擴充套件ACL

問題列表：

TO DO LITS

工作高效的17個工具

---

流量控制工具 - ACL
-作用
-物件
2層流量(DMAC+SMAC+Vlan+Type+ ..... +FCS-frame-checksum)
3層流量(DIP+SIP)
-動作
permit 
deny 
-實現
ACL

IP-ACL（3層ACL，針對的是3層流量）

標準ACL：
只能匹配IP資料包的 源IP地址

擴充套件ACL：
能夠同時匹配IP資料包的(源IP 目標IP) 傳輸層協議

擴充套件ACL匹配流量，更加精確：

     確定流量的唯一5元組：
         源IP、目標IP、源埠、目標埠、傳輸層協議

     對資料而言，凡是能夠通過“傳輸層協議+埠號”的方式
     進行表示的，則表示該資料是屬於“應用層”。

     路由器查詢路由表時，有一個最長匹配原則，
        匹配的越長，表示地址越精確。

---

實驗名稱：擴充套件ACL的原理與應用
實驗拓撲：
實驗需求：
R1可以ping通R4；
R1的 loopback 0 無法 telnet R4 ；
實驗步驟：
1、確保網路互通
#基於拓撲圖，配置裝置埠地址；
#配置靜態路由，確保網段互通；
&一個一個的寫；
&預設路由： 0.0.0.0 0.0.0.0 -> 0.0.0.0/0 ,表示所有網路。

2、配置ACL策略              
           想要抓取一個流量
           必須瞭解一個流量

            配置命令：(R2)
               ip access-list extended Deny-telnet
                     10  deny   tcp 10.10.1.0 0.0.0.255 10.10.4.0 0.0.0.255 eq telnet
                     20  deny   tcp 10.10.1.0 0.0.0.255 192.168.34.0 0.0.0.255 eq telnet
                     30  permit ip any any

! 
或者

               ip access-list extended Deny-telnet
                     10  deny   tcp 10.10.1.1 0.0.0.0 10.10.4.4 0.0.0.0 eq telnet
                     20  deny   tcp 10.10.1.1 0.0.0.0 192.168.34.4 0.0.0.0 eq telnet
                     30  permit ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255

3、呼叫ACL策略
          R2:
             interface fas0/1
                ip access-group Deny-telnet in 
4、驗證ACL策略
           R2: 
              show ip access-list 
              show ip interface fas0/1 
           R1:
              telnet 10.10.4.4 /source-interface loopback 0 -> no 
              telnet 192.168.34.4 /source-interface loopback 0 -> no
              其他所有地址之間的所有型別流量，都是通的。                   

注意： 
ACL不會對本地裝置發起的流量起作用，僅僅對穿越流量起作用；

=========================================================

ISP(internet service provider)

EMS

==========================================================
NAT
network address translation : 網路地址轉換
-作用：
-實現：
1、區分NAT網路邊界
nat inside / outside

        GW:
           interface fas0/0 
               ip nat inside 
           interface fas0/1 
               ip nat outside 

  2、配置轉換條目
        ip nat inside source static  192.168.10.1  34.1.1.3

  3、驗證與測試
         GW:
         show ip nat translation  -> 檢視NAT的轉換表
         debug ip nat  --> 檢視閘道器對資料包的NAT處理過程
         undebug all --> 同時關閉所有的 debug 除錯命令；
         PC1/2:
            ping 100.1.1.4

實驗名稱： NAT 的原理與應用
實驗拓撲： 
實驗需求： 
1、在GW(R3)配置NAT，實現 PC1/2 對模擬伺服器 - 100.1.1.4/24
的訪問； 
2、基於圖中所示，配置IP地址；
配置思路： 
1、配置R1/R2模擬成PC；
關閉路由功能 - no ip routing 
配置閘道器IP地址 - ip default-gateway 192.168.10.254
2、配置閘道器裝置的IP地址以及路由
3、配置NAT的相關命令：
#配置NAT網路邊界
#配置NAT轉換條目命令
4、驗證與測試
GW:
show ip route 
show ip nat translation 
debug ip nat 
undebug all
PC-1/2: 
ping x.x.x.x

本文轉自 Mr_Lee_1986 51CTO部落格，原文連結：http://blog.51cto.com/13504837/2057491，如需轉載請自行聯絡原作者