访问控制列表、策略路由和NAT.K.pptVIP

访问控制列表、策略路由与NAT 访问控制列表 策略路由 NAT 访问控制列表 访问控制列表 访问控制列表配置过程 访问控制列表配置实例 访问控制列表 访问控制列表的概念 访问控制列表（Access Control List，ACL）是管理者加入的一系列控制数据包在路由器中输入、输出的规则。 访问控制列表是路由器接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的被路由协议，如IP、IPX、AppleTalk等。 在这里，我们只讲解IP协议的ACL。 访问控制列表 ACL的作用 ACL的作用ACL可以限制网络流量、提高网络性能。 ACL提供对通信流量的控制手段。 ACL是提供网络安全访问的基本手段。 ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。 访问控制列表 ACL的分类 目前有两种主要的ACL：标准ACL和扩展ACL。 标准ACL只检查数据包的源地址； 扩展ACL既检查数据包的源地址，也检查数据包的目的地址，同时还可以检查数据包的特定协议类型、端口号等。 IP标准访问控制表编号：1～99 IP扩展访问控制表编号：100～199 访问控制列表 ACL的执行过程 隐式拒绝一切 访问控制列表 编辑原则 标准ACL要尽量靠近目的端； 扩展ACL要尽量靠近源端。 访问控制列表 访问控制列表配置过程 标准ACL命令的详细语法 1、创建ACL定义 Router(config)#access-list listnumber {deny|permit} source source-wildcard [log] 2、应用于接口 Router(config-if)#ip access-group access-list-number {in|out} 访问控制列表 扩展ACL命令的详细语法 1、创建ACL定义 Router(config)#access-list access-list-number {deny|permit} protocol source source-wildcard destination destination-wildcard [log|log-input] 2、应用于接口 Router(config-if)#protocol access-group access-list-number {in | out } 二、策略路由 什么是策略路由 策略路由相关命令 基于政策的路由 策略路由 策略路由提供了这样一种机制：根据网络管理者制定的标准来进行报文的转发。这种标准根据实际的应用需求来指定，它的依据可以是协议类型、应用、报文大小、或者IP源地址中的一个或者多个的组合。 策略路由相关命令 策略路由相关命令 route-map demo permit 10 match X Y Z match A set B set C route-map demo permit 20 match Q set R route-map demo permit 30 策略路由相关命令 使用route-map命令创建route map Router(config)#route-map [permit|deny] 使用match route map命令定义检查条件 Router(config-route-map)#match {} 使用set route-map配置命令定义如果条件匹配后的行为 Router(config-route-map)#set {} 策略路由相关命令 Match 用来在route-map中执行匹配的标准包括： 1.IP访问列表中的源和目的地址 2.三层数据包长度 (1)标准访问列表和扩展访问列表都可用来建立策略路由的匹配标准。 要使用IP访问列表来实现策略路由，可以使用match ip address命令： Router(config-route-map)#match ip address {} 如果定义了多个访问控制列表，任何一个访问列表被匹配都认为这条语句被匹配。 策略路由相关命令 Match (2)match length 命令用来基于三层包长度来建立匹配。 Router(config-route-map)#match length 参数 定义了三层包的最大和最小长度。当一个包的长度在这两个值之间，匹配成立。 可以使用match length命令来区分传输类型，例如：交互数据包和文件传输数据包，文件传输数据包往往比较大。 策略路由相关命令 (1)Router（config-route-map）#set ip next-h