平常笔记--ACL

内容回顾：

网络
   IP
    规模愈来愈大
    浪费愈来愈严重
    IP地址空间有限
       -公有地址|私有地址  （NAT）
       -子网划分
       -IPv6

    内网：私有地址
    -通讯
         私有地址没有资格在 Internet 流通；

         出去，可是回不来

         让企业的数据包在出去的时候，
         携带的并非内部的私有地址，
         而是本身花钱买的公网IP地址；

         数据在传输过程当中，IP地址是永远不会变化的（默认状况下）。

         数据在传输过程当中，MAC地址是随时变化的，每通过一个网段，都会
             变化一次。

         NAT：
            将内网的数据包中的源IP地址，转换为购买的公网IP地址；

            NAT工做的时候，是依靠一个核心工做表：
                                                 NAT转换表；
                        私有地址1   -----  公有地址1

--------
NAT：network address translation 
   静态NAT：
       在边界设备上，手动的建立 NAT 转换条目；

       私有：公有 =====   1:1

   动态NAT：
       在边界设备上，设备基于数据包触发而造成的 NAT 转换条目，
       不须要人工干预。若是一个NAT转换条目在一段时间以内不使用，
       在会自动的在 NAT 转换表中自动删除；

       -基本动态NAT
                私有:公有  ===== 1:1

       -P-NAT（端口复用）
                私有:公有  ===== N:1

    问题：
        内网主动ping外网，是能够通的；
        反之，则不通。

    缘由：

     in        路由表
               NAT表        out  

NAT高级应用：
    端口映射

    ip nat inside source static  tcp 192.168.1.1  23   100.1.1.1 10011  

---------------------------------------------------------------------
ACL:access control list ，访问  控制  列表

   -做用：
       匹配感兴趣的流量。
   -实现：
       #规则
       #动做(容许/拒绝)
       #事件     
   -表示：
       # ID 
       # name 
   -类型：
       #标准ACL/基本ACL
              ID 
              name
       #扩展ACL/高级ACL
              ID 
              name
--------------------------------------------------------------------
ACL的配置思路：

    0、确保原有数据的连通性(基于现网须要来肯定)；
          在没有实施ACL以前，PC-1 与 PC-2 之间是互通的；

    一、查看设备上已经存在的ACL
          [R1] display acl [2000] | all 

    二、建立ACL
          [R1] acl 2000 [match-order  {config} | {auto} ]
          [R1-acl-basic-2000] rule [id] deny  source 192.168.10.1 0.0.0.0 

    三、调用ACL
          [R1]interface gi0/0/0
          [R1-gi0/0/0]tranffic-filter inbound acl 2000
    四、验证、测试、保存

          display acl 2000 //查看ACL的配置条目信息；
          display traffic-filter applied-record //查看ACL的调用信息；
          display traffic-filter statistics interface GigabitEthernet 0/0/0 inbound
                           //查看特定端口上调用的ACL的使用信息；
          ping x.x.x.x
          save 

实验拓扑图：

    PC-1 ---> PC-2 
       #研究清楚流量的转发路径（来回路径）
            &干掉去的流量
            &干掉回的流量
       #研究流量自己(特色+结构)

              L2 +  L3 + ICMP + FCS 

                  ip-acl 
                       L3 
                         source-ip  +  destination-ip 
                              基本ACL 
                                   -仅仅关注IP头部中的 source-ip ; 
                              高级ACL 
                                   -能够同时关注 source 和 destination ，
                                     而且，还能够关注 IP 头部后面的内容，
                                     好比 TCP/UDP             
====================================================================

删除ACL：
    一、正确的删除姿式
           #首先解除 ACL 调用关系
               Interface gi0/0/0 
                   undo traffic-filter inbound

           #其次删除 ACL 条目自己
               undo acl 2000 

           #最后删除的最终结果

    二、当调用一个不存在的 ACL 时，表示的是容许全部；

注意：
    一、同一个端口的，同一个方向，只能同时存在一个 ACL ；

    二、若是想更改端口上调用的 ACL ，必须：
       首先，删除端口上的 ACL 调用命令；
       再次，从新调用一个新的 ACL ； 

    三、端口上的 ACL ，不容许直接覆盖；

    四、华为中的ACL，没有匹配住的流量，默认是容许的；

    五、基本ACL/标准ACL，强烈建议调用在“距离目标设备”近的地方；

--------------------------------------------------------------------

3层ACL
   基本ACL 
      数字ACL
      命名ACL
   高级ACL 
      数字ACL 
      命名ACL 
2层ACL
~~~~~~~~~~~~~~~~~~~~~

  一、命名的ACL在建立的时候，须要指定类型；
  二、在ACL中，若是不写 source 或者不写 destination ，则表示全部源或目标
  三、在配置ACL的过程当中，若是在输入 source 或 destination 的时候，直接回车
     则表明“全部”；

=================================================================

R2：PC1-PC2不通，其余所有互通；
  一、建立ACL
       [R2]acl 3000
       [R2-acl-advance-3000]rule 5 deny ip source 192.168.20.1 0.0.0.0
                                           destination 192.168.10.1 0.0.0.0
  二、调用ACL
       [R2]interface gi0/0/0 
       [R2-gi0/0/0]traffic-filter inbound acl 3000
  三、验证、测试、保存
       display acl 3000
       display traffic-filter applied-record
       PC2:
          ping 192.168.10.1 ,no
          ping 192.168.10.3 ,yes
       PC4/5:
          ping x.x.x.x , yes 

       <R2>save

R2:PC4/5与全网其余主机互通，其余流量所有不通；
   一、建立ACL 
         [R2]acl name Only-PC4-5 advance 
         [R2-acl-advance-Only-PC4-5]rule permit ip source 192.168.20.4 0.0.0.0
         [R2-acl-advance-Only-PC4-5]rule permit ip source 192.168.20.5 0.0.0.0
         [R2-acl-advance-Only-PC4-5]rule 100 deny ip         
   二、调用ACL 
         [R2]interface gi0/0/0
         [R1-gi0/0/0] traffic-filter inbound acl name Only-PC4-5
   三、验证、测试、保存 

===============================================================

小实验配置需求：
一、PC-1与PC-2之间的任何类型的流量都没法互通；
二、PC-3能够 ping 192.168.30.88(server-2)，可是没法 ping www.ntd1711.com ； 
三、PC-4与PC-3之间的任何类型的流量都没法互通；
四、Client-1 能够 ping www.ntd1711.com，可是没法经过自带的浏览器打开
   Server-2中的 web 功能（即，www.ntd1711.com）

   秘诀：
       想要控制流量，必须先认识流量的封装方式、使用的协议；
       想要控制流量，必须先认识流量的转发路径和方向；