第08章访问控制列表及地址转换(V5.0)

《第08章访问控制列表及地址转换(V5.0)》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、第8章访问控制列表及地址转换8-18.1培训目标8-18.2访问控制列表概述8-28.2.1IP包过滤技术介绍8-28.2.2访问控制列表的作用8-38.2.3访问控制列表原理8-48.2.4访问控制列表的分类8-68.3基本访问控制列表8-78.3.1基本访问控制列表概况8-78.3.2基本访问控制列表的配置命令8-88.3.3反掩码简介8-98.4高级访问控制列表8-108.4.1高级访问控制列表概况8-108.4.2高级访问控制列表的配置命令8-118.4.3高级访问列表的操作符operator定义8-13

2、8.4.4高级访问控制列表的举例8-148.5如何使用访问控制列表8-168.5.1访问控制列表的配置8-168.5.2防火墙的属性配置命令8-178.5.3在接口上应用访问控制列表8-188.5.4时间段包过滤8-198.5.5访问控制列表的组合8-228.6地址转换简介8-238.6.1私有地址和公有地址8-248.6.2地址转换的原理8-258.6.3地址转换的方式8-268.6.4地址转换的配置步骤8-278.6.5EASYIP特性8-288.6.6使用地址池进行地址转换8-298.6.7内部服务器的应用

3、8-308.6.8地址转换的监控和维护8-318.6.9地址转换的缺点8-338.7访问列表和地址转换应用举例8-348.7.1组网图8-348.7.2配置示例8-358.8小结8-37课程HL-008访问控制列表及地址转换Issue5.0第8章访问控制列表及地址转换8.1培训目标访问控制列表作为一种IP包过滤技术，有着非常广泛的应用。本章主要介绍了访问控制列表的基本原理和两种访问控制列表：基本访问控制列表、高级访问控制列表的配置方法，网络地址转换（NAT）的基本原理及配置方法，以及访问控制列表在防火墙及地址转换

4、方面的应用及配置。8-37课程HL-008访问控制列表及地址转换Issue5.0访问控制列表概述8.1.1IP包过滤技术介绍随着越来越多的私有网络连入公有网，网络管理员们逐渐需要面对这样一个问题：如何在保证合法访问的同时，对非法访问进行控制。这就需要对路由器转发的数据包做出区分，即需要包过滤。路由器对需要转发的数据包，先获取包头信息，包括IP层所承载的上层协议的协议号，数据包的源地址、目的地址、源端口号和目的端口号等，然后与设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。包过滤技术是在路由器上实现防火

5、墙的一种主要方式，而实现包过滤技术最核心内容就是使用访问控制列表。8-37课程HL-008访问控制列表及地址转换Issue5.0访问控制列表的作用访问控制列表具有区分数据包的功能，因此，它可以控制“什么样的数据包”可以做“什么样的事情”。例如：将访问控制列表应用于防火墙，可以在保证合法用户访问的同时拒绝非法用户的访问。也可以允许某种服务（如Telnet)通过，而拒绝另一种服务（如DNS)。在QoS的应用中，我们可以利用访问控制列表对网络中的数据流量进行控制，重要的数据得到优先处理，不重要的数据后处理，不需要的数据

6、被丢弃。在DCC（拨号控制中心）中我们则可以用访问控制列表来规定哪些数据包可以触发拨号（请参见DCC一章的内容）。在地址转换中，访问控制列表还可以用来规定哪些数据包需要进行地址转换。另外访问控制列表还广泛应用于路由策略中，主要用作路由信息的过滤。8-37课程HL-008访问控制列表及地址转换Issue5.0访问控制列表原理IP数据包具有一定的特征，例如，对于每个TCP数据包，都包含有源地址、目的地址、协议号、源端口、目的端口，利用这5个元素就可以描述出一个数据包的特征。访问控制列表利用的就是这些信息来定义规则，区

7、分不同的数据包（例如所有源地址是202.10.10.0地址段的数据包、所有使用Telnet访问的数据包等等），路由器将在使能访问控制列表的接口上对所有的数据包进行规则的匹配检查。例如，我们可以定义下面的规则：允许202.38.0.0/16网段的主机使用协议HTTP访问129.10.10.1。aclnumber3000rulepermittcpsource202.38.0.00.0.255.255destination129.10.10.10destination-porteqwww禁止从202.110.0.0/1

8、6网段发出的所有访问。aclnumber2000ruledenysource202.110.0.00.0.255.255不让任何主机使用Telnet登录。aclnumber30008-37课程HL-008访问控制列表及地址转换Issue5.0ruledenytcpsourceanydestinationanydestination-porteqtelnet某台主机10.0