《访问控制列表和地址转换原理剖析》由会员分享，可在线阅读，更多相关《访问控制列表和地址转换原理剖析（48页珍藏版）》请在金锄头文库上搜索。
1、访问控制列表和地址转换原理,ISSUE 1.0,Internal,学习完本课程，您应该能够： 理解访问控制列表的基本原理 理解地址转换的基本原理,Page 1,学习目标,对路由器需要转发的数据包，先获取包头信息，然后和设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。而实现包过滤的核心技术是访问控制列表。,IP包过滤技术介绍,Page 2,访问控制列表可以用于防火墙； 访问控制列表可以用于Qos（Quality of Service），对数据流量进行控制； 在DCC中，访问控制列表还可用来规定触发拨号的条件； 访问控制列表还可以用于地址转换； 在配置路由策略时，可以利用访问控制列表来
2、作路由信息的过滤。,访问控制列表的作用,Page 3,一个IP数据包如下图所示（图中IP所承载的上层协议为TCP/UDP）：,访问控制列表是什么？,Page 4,利用数字标识访问控制列表 利用数字范围标识访问控制列表的种类,如何标识访问控制列表？,Page 5,标准访问控制列表只使用源地址描述数据，表明是允许还是拒绝。,标准访问控制列表,Page 6,配置标准访问列表的命令格式如下： acl acl-number match-order auto | config rule normal | special permit | deny source source-addr source-wil
3、dcard | any ,标准访问控制列表的配置,Page 7,怎样利用 IP 地址 和 反掩码wildcard-mask 来表示 一个网段?,如何使用反掩码,Page 8,反掩码和子网掩码相似，但写法不同： 0表示需要比较 1表示忽略比较 反掩码和IP地址结合使用，可以描述一个地址范围。,扩展访问控制列表使用除源地址外更多的信息描述数据包，表明是允许还是拒绝。,扩展访问控制列表,Page 9,配置TCP/UDP协议的扩展访问列表： rule normal | special permit | deny tcp | udp source source-addr source-wildcard
4、| any source-port operator port1 port2 destination dest-addr dest- wildcard | any destination-port operator port1 port2 logging 配置ICMP协议的扩展访问列表： rule normal | special permit | deny icmp source source-addr source-wildcard | any destination dest-addr dest- wildcard | any icmp-type icmp-type icmp-code
5、logging 配置其它协议的扩展访问列表： rule normal | special permit | deny ip | ospf | igmp | gre source source-addr source-wildcard | any destination dest-addr dest- wildcard | any logging,扩展访问控制列表的配置命令,Page 10,扩展访问控制列表操作符的含义,Page 11,rule deny icmp source 10.1.0.0 0.0.255.255 destination any icmp-type host-redirec
6、t,扩展访问控制列表举例,Page 12,rule deny tcp source 129.9.0.0 0.0.255.255 destination 202.38.160.0 0.0.0.255 destination-port equal www logging,问题: 下面这条访问控制列表表示什么意思? rule deny udp source 129.9.8.0 0.0.0.255 destination 202.38.160.0 0.0.0.255 destination-port greater-than 128,防火墙配置常见步骤： 启用防火墙 定义访问控制列表 将访问控制列表应
7、用到接口上,如何使用访问控制列表,Page 13,Internet,公司总部网络,启用防火墙,将访问控制列表应用到接口上,打开或者关闭防火墙 firewall enable | disable 设置防火墙的缺省过滤模式 firewall default permit|deny 显示防火墙的状态信息 display firewall,防火墙的属性配置命令,Page 14,将访问控制列表应用到接口上 指明在接口上是OUT还是IN方向 在接口视图下配置： firewall packet-filter acl-number inbound | outbound,在接口上应用访问控制列表,Page 15
8、,Ethernet0,Serial0,“特殊时间段内应用特殊的规则”,基于时间段的包过滤,Page 16,上班时间 （上午8：00 下午5：00） 只能访问特定的站点；其余 时间可以访问其他站点,一条访问列表可以由多条规则组成,对于这些规则，有两种匹配顺序：auto和config。 规则冲突时，若匹配顺序为auto（深度优先），描述的地址范围越小的规则，将会优先考虑。 深度的判断要依靠通配比较位和IP地址结合比较 rule deny 202.38.0.0 0.0.255.255 rule permit 202.38.160.0 0.0.0.255 两条规则结合则表示禁止一个大网段 （202.3
9、8.0.0）上的主机但允许其中的一小部分主 机（202.38.160.0）的访问。 规则冲突时，若匹配顺序为config，先配置的规则会被优先考虑。,访问控制列表的组合,Page 17,学习完本课程，您应该能够： 理解访问控制列表的基本原理 理解地址转换的基本原理,Page 18,学习目标,按照目前Internet网络迅猛发展的速度，到2010年IPv4的地址将消耗殆尽。 目前IPv6(IPng)的推广和部署受到一定的阻力，无法在短时间内完成网络从IPv4到IPv6的过渡。 目前解决IP地址短缺的有效方法：NAT和CIDR,引入,Page 19,学习完本课程，您应该能够： 掌握NAT的基本概念
10、 掌握NAT的基本工作原理,Page 20,目 标,Page 21,内容介绍,第一章 NAT基本概念 第二章 NAT基本工作原理,NAT(Network Address Translator) 网络地址转换，即改变IP报文中的源或目的地址的一种处理方式； 使一个局域网中的多台主机使用少数的合法地址访问外部资源，也可以按照要求设定内部的WWW、FTP、TELNET的服务提供给外部网络使用； 有效的隐藏了内部局域网的主机IP地址，起到了安全保护的作用。,第一章 NAT基本概念,Page 22,共有地址和私有地址 私有地址是指内部网络(局域网内部)的主机地址，而公有地址是局域网的外部地址（在因特网上
11、的全球唯一的IP地址）。因特网地址分配组织规定以下的三个网络地址保留用做私有地址： 10.0.0.0 - 10.255.255.255 172.16.0.0 - 172.31.255.255 192.168.0.0 - 192.168.255.255,第一章 NAT基本概念,Page 23,地址池 地址池是由一些外部地址（全球唯一的IP地址）组合而成的，我们称这样的一个地址集合为地址池。在内部网络的数据包通过地址转换达到外部网络时，将会选择地址池中的某个地址作为转换后的源地址，这样可以有效利用用户的外部地址，提高内部网络访问外部网络的能力。,第一章 NAT基本概念,Page 24,访问控制列表
12、 访问列表是由ACCESS-LIST命令生成的，它依据IP数据包报头以及它承载的上层协议数据包头的格式定义了一定的规则，可以表示允许或者是禁止具有某些特征(包头数据可以描述的）的数据包，地址转换按照这样的规则判定哪些包是被允许转换或者是禁止转换，这样可以禁止一些内部的主机访问外部网络，提高一些网络的安全性问题。有关的详细概念可以参考防火墙中的有关内容。,第一章 NAT基本概念,Page 25,转换关联 转换关联就是将一个地址池和一个访问列表关联起来，这种关联指定了“具有某些特征的IP报文”是使用“这样的地址池中的地址”，而另一些可能是使用另外一个地址池中的地址。在地址转换时，是根据这样的对应进
13、行地址转换的。当一个内部网络的数据包文发往外部网络时，首先根据访问列表判定是否是允许的数据包，然后根据转换的关联找到于之相对应的地址池，我们就可以把源地址转换成这个地址池中的某一个地址，完成地址转换。,第一章 NAT基本概念,Page 26,Page 27,内容介绍,第一章 NAT基本概念 第二章 NAT基本工作原理,第二章 NAT的基本工作原理,NAT在系统中的位置,Page 28,第二章 NAT的基本工作原理,NAT基本工作原理（以出口NAT为例） 在IP层的出口处调用NAT,Page 29,第二章 NAT的基本工作原理,在IP层的入口出调用NAT,Page 30,透明的地址分配 静态的地
14、址分配指一个特定的主机使用固定的地址访问外部的网络。 动态的地址分配是指NAT在一些地址中挑选一个地址，做为内部网络的主机访问外部网络的IP地址。无论是那种，地址的分配应该对用户来说是透明的。,第二章 NAT的基本工作原理,Page 31,NAT的基本工作方式： NAT一对一的地址转换 PAT多对一的地址转换 NPAT多对多的地址转换,第二章 NAT的基本工作原理,Page 32,第二章 NAT的基本工作原理,NAT方式,Page 33,NAT方式 在出方向上转换IP报文头中的源IP地址，而不对端口进行转换。 在私有网络地址和外部网络地址之间建立一对一映射，实现比较简单 只转换IP报文头中的I
15、P地址，所以适用于所有IP报文转换,第二章 NAT的基本工作原理,Page 34,PAT方式 ( 10.0.0.10: 1001 - 200.0.0.66: 23) - (100.100.100.100:12964 - 200.0.0.66: 23) (200.0.0.66: 23 - 100.100.100.100:12964) - (200.0.0.66: 23 - 10.0.0.10: 1001),第二章 NAT的基本工作原理,Page 35,PAT方式 PAT（Port Address Translation）方式的地址转换利用了TCP/UDP协议的端口号，进行地址转换。 PAT方式的地址转换是采用了“地址端口”的映射方式，因此可以使内部局域网的许多主机共享一个IP地址访问Internet。在私有网络地址和外部网络地址之间建立多对一映射。 不同的内部网地址，转换时采用相同的公网地址，并依靠不同的端口号来区分每一个内部网主机。,第二章 NAT的基本工作原理,Page 36,NPAT方式 ( 10.0.0.10: 1001 - 200.0.0.66: 23) - (100.100.100.100:12964 - 200.0.0.66: 23) (200.0.0.66: 23 - 1
