网络系统集成第12课.pptVIP

ACL

(AccessControlLists);本章学习目标;;为什么使用ACL?;其他使用ACL的场合

QOS与队列技术

策略路由

数据速率限制

灵活拨号控制〔SDC〕

路由策略

端口流镜像

NAT

……;;;;ACL过滤标准

协议类型

Ip

Udp

Tcp

Icmp

源IP地址

目的IP地址

源端口号

目的端口号

;按照由上到下的顺序执行，第一个匹配后执行相应的操作〔然后跳出ACL〕

末尾隐含为deny

ACL可应用于IP接口或某种效劳

在引用ACL之前，要首先创立好ACL

对于一个协议，一个接口的一个方向上同一时间内只能设置一个ACL;Inbound

Interface

Packets

;;NotifySender;DenyorPermit;DenyorPermit;DenyorPermit;PacketstoInterface(s)

intheAccessGroup;目的地址;1:设置判断标准语句(一个ACL可由多个语句组成);号码范围;标准与扩展ACL;通配符的作用;匹配条件:匹配所有32位地址----主机地址;0.0.0.0255.255.255.255意为接受所有地址

可简写为any;

指定特定地址范围172.30.16.0/24到172.30.31.0/24;配置标准ACL;;access-list1deny172.16.4.130.0.0.0

access-list1permit0.0.0.0

(implicitdenyall)

(access-list1deny0.0.0.0255.255.255.255)

interfacefei_1/2

ipaccess-group1out;标准ACL配置例如3;过滤telnet对路由器的访问;实例;扩展ACL的配置;;扩展ACL的配置实例1;access-list101denytcpeq21

access-list101denytcpeq20

access-list101permitipanyany

(implicitdenyall)

(access-list101denyip0.0.0.0255.255.255.2550.0.0.0255.255.255.255)

interfacefei_1/2

ipaccess-group101out;仅拒绝从子网172.16.4.0通过fei_1/2口外出的Telnet

允许其他所有流量;扩展ACL的配置实例2;access-list101denytcp172.16.4.00.0.0.255anyeq23

access-list101permitipanyany

(implicitdenyall)

Interfacefei_1/2

ipaccess-group101out;ACL配置原那么;放置扩展ACL应接近数据源

放置标准ACL应接近数据目的;ROUTER#showipaccess-list1

StandardIPaccesslist1

;内容回忆;思考题;

NAT

(NetworkAddressTranslation);学习目标;Outside;使用NAT的优点与缺点;地址转换的缺点;私有地址和公有地址;Internet;NAT工作方式:

一对一转换内部局部地址

一对多超载〔Overloading〕内部全局地址

端口重定向;;一对多转换;PAT概述;PAT概述;(zxr10-config)#ipnatpooltest-pool199.168.2.2199.168.2.2prefix-length24

(zxr10-config)#ipnatinsidesourcelist1pooltest-pooloverload

(zxr10-config;静态：手工指定转换关系

动态：由路由器自动建立转换关系

需要使用访问控制列表来决定那些主机地址可以被转换，那些不能。

需要定义公网地址池;动态：

将NAT接口设置为“内部”或“外部”

利用ACL来定义哪些地址可以被转换，哪些不能

设置NAT动态转换规那么

静态

将NAT接口设置为“内部”或“外部”

设置NAT静态转换规那么;静态NAT配置例如;ipnatpooldyn-nat199.168.2.2