思科设备ACL与NAT技术
301
|
0
|
Cisco思科

3465 字
|
17 分钟

思科ACL访问控制

路由器接口的访问控制取决于应用在其上的ACL,数据在进出网络前,路由器会根据ACL对其进行匹配,匹配成功将对数据进行过滤或者是转发,匹配失败则丢弃数据包,目前主要有三种ACL控制,标准ACL,扩展ACL,命名ACL,我们只介绍前两种.

在路由器上应用ACL时,可以为每种协议,每个端口,每个方向,和每个接口,配置一个ACL,一般称为3p原则.

Diagram Description automatically generated

◆标准ACL配置◆

标准ALCL只能通过源地址进行访问过滤与控制,因此只能阻止/允许来自指定IP地址的访问请求.

配置交换机: 首先配置交换机,这里开启3个端口Fa0/1-3,并配置端口速率100.

Switch0> enable

Switch0># configure terminal

Switch0(config)# interface range fa0/1-3

Switch0(config-if-range)# speed 100

Switch0(config-if-range)# no shutdown

Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Fa0/1端口,并配置上网关地址.

Router0> enable

Router0# configure terminal

Router0(config)# interface GigabitEthernet 0/0

Router0(config-if)# ip address 192.168.1.254 255.255.255.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

Router0(config)# interface GigabitEthernet 0/1

Router0(config-if)# ip address 192.168.2.254 255.255.255.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

配置标准ACL: 在路由器上配置一条标准的ACL规则,禁止PC0访问Server0服务器.

Router0> enable

Router0# configure terminal

Router0(config)# access-list 1 deny 192.168.1.1 0.0.0.0 // 拒绝192.168.1.1访问Server0

Router0(config)# access-list 1 permit any // 设置默认允许所有,兜底操作

Router0(config)#

Router0(config)# interface GigabitEthernet 0/0 // 选择接口Gig0/0

Router0(config-if)# ip access-group 1 in // 将以上配置条目应用到当前接口上

#Router0(config-if)# ip access-group 1 out // 控制出口流量(可省略)

测试过滤效果: 配置完规则以后,我们测试一下效果,使用PC0无法访问server服务器而是用PC1则可以访问.

PC0> ping 192.168.2.1

Pinging 192.168.2.1 with 32 bytes of data:

Reply from 192.168.1.254: Destination host unreachable.

PC1> ping 192.168.2.1

Pinging 192.168.2.1 with 32 bytes of data:

Reply from 192.168.2.1: bytes=32 time=0ms TTL=127

这里需要注意一点,如果你有两个路由器相连,那么ACL规则应该设置在距离限制的目标较近的路由器上,否则可能会出现有效数据在到达目标之前就被过滤掉了.

◆拓展ACL配置◆

标准ACL只能使用源地址作为匹配条件,无法对访问进行精确的控制,为了解决这一问题,可以采用扩展ACL来对数据加以限制.

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable

Switch0># configure terminal

Switch0(config)# interface range fa0/1-4

Switch0(config-if-range)# speed 100

Switch0(config-if-range)# no shutdown

Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Fa0/1端口,并配置上网关地址.

Router0> enable

Router0# configure terminal

Router0(config)# interface GigabitEthernet 0/0

Router0(config-if)# ip address 192.168.1.254 255.255.255.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

Router0(config)# interface GigabitEthernet 0/0

Router0(config-if)# ip address 192.168.2.254 255.255.255.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

配置拓展ACL: 配置拓展ACL规则,禁止PC0访问192.168.2.1,禁止PC1访问192.168.2.1主机的80端口,允许其他所有.

Router0> enable

Router0# configure terminal

Router0(config)# access-list 100 deny ip host 192.168.1.1 host 192.168.2.1 // 拒绝IP地址

Router0(config)# access-list 100 deny TCP host 192.168.1.2 eq 80 host 192.168.2.1 eq 80 // 拒绝TCP=80

Router0(config)# access-list 100 permit ip any any // 默认允许

Router0(config)# interface GigabitEthernet 0/0 // 选择接口GigabitEthernet 0/0

Router0(config-if)# ip access-group 100 in // 将以上配置条目应用到当前接口上

Router0(config-if)# ip access-group 100 out // 将以上配置条目应用到当前接口上

Router0# show access-list // 查询配置结果

测试过滤效果: 配置完规则后测试下,经测试PC0无法访问Server0,而PC1无法访问目标主机的80端口其他主机放行.

PC0> ping 192.168.2.1

Pinging 192.168.2.1 with 32 bytes of data:

Reply from 192.168.1.254: Destination host unreachable.

PC1> ping 192.168.2.1

Pinging 192.168.2.1 with 32 bytes of data:

Reply from 192.168.2.1: bytes=32 time=0ms TTL=127

与标准ACL相比,扩展ACL能够更加精确的匹配和过滤数据包,因此扩展ACL的放置位置应该离源地址越近越好,这样才能够有效的提高链路的使用效率.

思科NAT地址转换

NAT 网络地址转换(Network Address Translation),是一个互联网工程任务组的标准,它可以实现内部私有IP地址和公网IP地址的转换,能够起到节约公网IP地址的作用,以下将介绍NAT的三种方式,静态转换、动态转换和端口复用技术.

NAT技术中有四种地址即,内部本地地址,内部全局地址,外部本地地址,外部全局地址.

◆配置静态NAT◆

静态NAT是指将内部本地地址与内部全局地址进行对应转换,某个本地地址只能转换为某个全局地址,通过配置静态NAT可以实现内部网络对外部网络的访问,也可以实现外部网络对内部网络中某个设备的访问.

Chart, diagram Description automatically generated

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable

Switch0># configure terminal

Switch0(config)# interface range fa0/1-4

Switch0(config-if-range)# speed 100

Switch0(config-if-range)# no shutdown

Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Se0/0/0端口,并配置上网关地址.

Router> enable

Router# configure terminal

#—-在Router10上操作————————-

Router0(config)# interface fa0/0

Router0(config-if)# ip address 192.168.1.1 255.255.255.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

Router0(config)# interface se0/0/0

Router0(config-if)# ip address 10.10.10.1 255.0.0.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

#—-在Router1上操作————————-

Router1(config)# interface se0/0/0

Router1(config-if)# ip address 10.10.10.2 255.0.0.0

Router1(config-if)# no shutdown

Router1(config-if)# exit

配置静态NAT: 在路由器Router0上配置静态NAT,将私有地址转为全局地址(内网地址–>外网地址).

Router> enable

Router# configure terminal

Router0(config)# ip nat inside source static 192.168.1.2 10.10.10.20 // 配置NAT条目1

Router0(config)# ip nat inside source static 192.168.1.3 10.10.10.30 // 配置NAT条目2

Router0(config)# ip nat inside source static 192.168.1.4 10.10.10.40 // 配置NAT条目3

Router0(config)# interface fa0/0 // 选择内部端口

Router0(config-if)# ip nat inside // 应用到定义的内部接口

Router0(config-if)#

Router0(config-if)# interface serial0/0/0 // 选择外部接口

Router0(config-if)# ip nat outside // 应用到定义的外部接口

Router0(config-if)# exit

查询NAT配置: 配置完成后,我们可以使用show ip nat translation命令,来查询端口情况.

Router0# show ip nat translation

Pro Inside global Inside local Outside local Outside global

— 10.10.10.20 192.168.1.2 — —

— 10.10.10.30 192.168.1.3 — —

— 10.10.10.40 192.168.1.4 — —

测试通信情况: 此时测试下通信情况,在PC0-PC2主机可Ping通Router1,同样Router1可Ping通PC0-PC2.

PC0> ping 10.10.10.2

Pinging 10.10.10.2 with 32 bytes of data:

Reply from 10.10.10.2: bytes=32 time=1ms TTL=254

Router1# ping 10.10.10.20

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.10.10.20, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/5/9 ms

◆配置动态NAT◆

动态NAT是指内部本地地址与内部全局地址进行转换时,内部地址可以随机转换为指定的外部全局地址,此过程是动态分配的不需要认为干预,从而减少了配置的工作量.

但需要注意的是,配置动态NAT只能实现内部网络对互联网的访问,无法实现互联网中的主机对内部网络中的主机的访问,也就是说,它是一种单向的NAT技术.

清除NAT列表: 动态NAT的配置我们同样适用上面的拓扑图,只是在NAT的配置上有些小改动.

Router0# clear ip nat translation * // 清除动态NAT转换列表

Router0# show ip access-list // 显示ACL配置信息

Router0# show ip nat statistics // 查看NAT转换统计信息

Router0# clear ip nat statistics // 清除NAT转换统计信息

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable

Switch0># configure terminal

Switch0(config)# interface range fa0/1-4

Switch0(config-if-range)# speed 100

Switch0(config-if-range)# no shutdown

Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Se0/0/0端口,并配置上网关地址.

Router> enable

Router# configure terminal

#—-在Router0上操作————————-

Router0(config)# interface fa0/0

Router0(config-if)# ip address 192.168.1.1 255.255.255.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

Router0(config)# interface se0/0/0

Router0(config-if)# ip address 10.10.10.1 255.0.0.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

#—-在Router1上操作————————-

Router1(config)# interface se0/0/0

Router1(config-if)# ip address 10.10.10.2 255.0.0.0

Router1(config-if)# no shutdown

Router1(config-if)# exit

配置动态NAT: 这里分配外网IP范围是10.10.10.20-40,内部地址范围是192.168.1.0/24,并绑定好接口.

Router0> enable

Router0# configure terminal

Router0(config)# ip nat pool NAT 10.10.10.20 10.10.10.40 netmask 255.0.0.0 //定义内部全局IP地址池

Router0(config)# access-list 1 permit 192.168.1.0 0.0.0.255 // 定义可转换的内部本地IP地址

Router0(config)# ip nat inside source list 1 pool NAT //配置动态NAT映射,将NAT地址池与ACL关联

Router0(config)# interface fa0/0 // 配置内部端口

Router0(config-if)# ip nat inside

Router0(config-if)# interface serial0/0/0 // 配置外部端口

Router0(config-if)# ip nat outside

Router0(config-if)# no shutdown

查询NAT配置: 配置完成后,我们可以使用show ip nat translation命令,来查询端口情况.

Router0# show ip nat translation

Pro Inside global Inside local Outside local Outside global

icmp 10.10.10.21:5 192.168.1.3:5 10.10.10.2:5 10.10.10.2:5

icmp 10.10.10.21:6 192.168.1.3:6 10.10.10.2:6 10.10.10.2:6

icmp 10.10.10.22:9 192.168.1.3:9 10.10.10.2:9 10.10.10.2:9

icmp 10.10.10.23:10 192.168.1.2:10 10.10.10.2:10 10.10.10.2:10

◆多路复用PAT◆

端口多路复用即端口地址转换(PAT,Port Address Translation),是指将内部本地IP地址动态的转换为单一的内部全局IP地址和端口号,内部全局IP地址只是用一个,而不是一组地址池,也就是一个IP地址绑定多个端口,从而更大的节约了IP地址的资源短缺.

Diagram Description automatically generated

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable

Switch0># configure terminal

Switch0(config)# interface range fa0/1-4

Switch0(config-if-range)# speed 100

Switch0(config-if-range)# no shutdown

Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Se0/0/0端口,并配置上网关地址.

Router> enable

Router# configure terminal

#—-在Router0上操作————————-

Router0(config)# interface fa0/0

Router0(config-if)# ip address 192.168.1.1 255.255.255.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

Router0(config)# interface se0/0/0

Router0(config-if)# ip address 10.10.10.1 255.0.0.0

Router0(config-if)# no shutdown

Router0(config-if)# exit

#—-在Router1上操作————————-

Router1(config)# interface se0/0/0

Router1(config-if)# ip address 10.10.10.2 255.0.0.0

Router1(config-if)# no shutdown

Router1(config-if)# exit

配置多路复用PAT: 在路由器Router0上配置PAT,多路复用.

Router> enable

Router# configure terminal

Router0(config)# ip nat pool PAT 10.10.10.10 10.10.10.10 netmask 255.0.0.0 // 定义外网IP地址

Router0(config)# access-list 1 permit 192.168.1.0 0.0.0.255 // 定义ACL

Router0(config)# ip nat inside source list 1 pool PAT overload // 将地址池与ACL绑定

Router0(config)# interface fa0/0 // 定义连接内部网络的接口

Router0(config-if)# ip nat inside

Router0(config-if)# interface serial0/0/0 // 定义链接外部网络的接口

Router0(config-if)# ip nat outside

查询配置地址表: 最后可以检测一下是否能够连接到内部与外部的主机.

Router#show ip nat translations

Pro Inside global Inside local Outside local Outside global

icmp 10.10.10.10:1024 192.168.1.4:1 10.10.10.2:1 10.10.10.2:1024

icmp 10.10.10.10:1025 192.168.1.2:8 10.10.10.2:8 10.10.10.2:1025

icmp 10.10.10.10:1027 192.168.1.3:1 10.10.10.2:1 10.10.10.2:1027

 

暂无评论

发送评论 编辑评论 


				

			

						

				

					

						

							

								
							

							
						

					

				

				

					

						

							

								
							

							
						

					

				

				

					

						

							

								
							

							
							
													

					

				

			

			
			

				

					
				

			

				

											

							
							
						

																				
					
											
						

	

		
|´・ω・)ノ
ヾ(≧∇≦*)ゝ
(☆ω☆)
（╯‵□′）╯︵┴─┴
￣﹃￣
(/ω＼)
∠( ᐛ 」∠)＿
(๑•̀ㅁ•́ฅ)
→_→
୧(๑•̀⌄•́๑)૭
٩(ˊᗜˋ*)و
(ノ°ο°)ノ
(´இ皿இ｀)
⌇●﹏●⌇
(ฅ´ω`ฅ)
(╯°A°)╯︵○○○
φ(￣∇￣o)
ヾ(´･ ･｀｡)ノ"
( ง ᵒ̌皿ᵒ̌)ง⁼³₌₃
(ó﹏ò｡)
Σ(っ °Д °;)っ
( ,,´･ω･)ﾉ"(´っω･｀｡)
╮(╯▽╰)╭
o(*////▽////*)q
＞﹏＜
( ๑´•ω•) "(ㆆᴗㆆ)
😂
😀
😅
😊
🙂
🙃
😌
😍
😘
😜
😝
😏
😒
🙄
😳
😡
😔
😫
😱
😭
💩
👻
🙌
🖕
👍
👫
👬
👭
🌚
🌝
🙈
💊
😶
🙏
🍦
🍉
😣
Source: github.com/k4yt3x/flowerhd
	

	

		
颜文字
Emoji
小恐龙
花!
	


									

			

			
			
		

	






上一篇
下一篇 

                    

                    
			        推荐文章
		            

		            

							
思科C9120的开局脚本

							
							

							
思科C9200的堆叠脚本

							
							

							
思科C9800控制器堆叠脚本

							
							

							
思科C9800控制器开局脚本

							
							

							
思科C9500系列交换机虚拟化堆叠

							
							

							
思科C9500开局脚本

							
							

							
思科ISR 3800路由器的开局脚本

							
							

							
思科ASA防火墙SSL VPN配置

							
							

							
思科9500交换机ospf配置

							
							

							
思科ASR9006路由器BGP配置，AS路径添加了三次

							
							

							
思科Nexus交换机虚拟化配置

							
							

							
思科9500交换机虚拟化配置

							
							

							
思科3850交换机虚拟化配置

							
							

							
思科Nexus交换机堆叠配置

							
							

							
思科9500核心交换机堆叠配置