網絡的基礎知識
OSI 7層參考
TCP/IP協議棧
靜態路由
動態路由協議：RIP\OSPF\EIGRP
一、ACL
IP流量的管理
ACL：Acccess control list，訪問控制列表，用來管理經過本路由器的IP流量
1、ACL：過濾，過濾經過路由器的IP流量
分類，識別流量目標進行後續特殊處理
2、ACL，過濾：允許（Permit）、拒絕（Deny）
若沒有使用ACL，只要路由可達報文就會被傳輸到任何位置
分類：
3、ACL的應用方向：
出口方向：先檢查路由表，若路由表中沒有去往目標子網的路徑直接丟棄；若有該路由則交換到出接口，然後查看該接口是否應用了ACL，
若沒有沒有ACL直接發送，若有ACL則判斷ACL的執行動作
入口方向：先檢查ACL，若被ACL deny則直接丟棄，若被permit則開始檢查路由表，若有該目標子網的路由則送到出接口，若沒有則丟棄
匹配ACL的規則：採用首次匹配，思科設備ACL最後都隱藏一句deny any
注意：路由表，最長匹配（最精確匹配）
4、思科設備ACL的分類
標準ACL：檢查源地址，只檢查來自哪裡？
1-99,1300-1999
擴展ACL：檢查源地址和目標地址，檢查來自哪裡去網哪裡做什麼？
100-199,2000-2699
5、ACL的位置：
標準的ACL儘量放在靠近目標
擴展的ACL儘量放在靠近源，原則上只要是數據的必經之路都可以
6、配置命令
標準
需求：禁止R1 訪問R3
？？？？
擴展：
需求：禁止16.1.1.1 ping R3，運行16.1.1.1 telnet R3，其他訪問都被允許
access-list 100 deny icmp host 16.1.1.1 16.2.2.0 0.0.0.3 echo
access-list 100 deny icmp host 16.1.1.1 16.7.7.0 0.0.0.3 echo
access-list 100 deny icmp host 16.1.1.1 172.16.2.0 0.0.0.3 echo
access-list 100 deny icmp host 16.1.1.1 16.8.8.0 0.0.0.31 echo
access-list 100 permit tcp host 16.1.1.1 16.2.2.0 0.0.0.3 eq telnet
access-list 100 permit tcp host 16.1.1.1 172.16.2.0 0.0.0.3 eq telnet
access-list 100 permit tcp host 16.1.1.1 16.7.7.0 0.0.0.3 eq telnet
access-list 100 permit tcp host 16.1.1.1 16.8.8.0 0.0.0.31 eq telnet
access-list 100 permit ip any any
int f0/0
ip access-group 100 out
7、查看命令
show run
show ip access-list
注意：刪除access，把下面所有的該編號的規則都刪除
8、命名的ACL
標準
ip access-list standard tor3acl
deny 172.16.1.0 0.0.0.127
permit any
interface f0/0
ip access-group tor3acl out
擴展
ip access-list extended acl
deny ip host 172.16.1.1 host 172.16.2.1
permit ip any any
interface f0/0
ip access-group acl out
二、NAT：網絡地址轉換協議
用來轉換源IP位址，目的為了節省IP位址，實現私網域與公網域互通。
1對1的NAT，1個私網對應1個公網地址，缺點；不能節省IP位址
PAT（多對1：引入埠），多個私網對應1個公網，優點；節省IP位址
PAT；埠超載
配置：
靜態1對1的配置；伺服器映射
ip nat inside source static 172.16.1.1 16.1.1.1
int s1/1
ip nat outside
int lo2
ip nat inside
多對多的配置（1:1）
ip nat pool outlan 6.6.6.1 6.6.6.10 netmask 255.255.255.0
ip nat inside source list 1 pool outlan
!
access-list 1 permit 172.16.1.0 0.0.0.127
int s1/1
ip nat outside
int lo2
ip nat inside
多對多的配置（n:m,N>M）（用的多）
ip nat pool outlan 6.6.6.1 6.6.6.10 netmask 255.255.255.0
ip nat inside source list 1 pool outlan overload
!
access-list 1 permit 172.16.1.0 0.0.0.127
int s1/1
ip nat outside
int lo2
ip nat inside
多對1的埠超載（用的多）
ip nat inside source list 1 interface Serial1/1 overload
!
access-list 1 permit 172.16.1.0 0.0.0.127
int s1/1
ip nat outside
int lo2
ip nat inside
查看命令：
show ip nat translation
show ip nat statistics
debug ip nat
debug ip icmp
clear ip nat translation *
注意1：定義ACL；定義NAT的邊界
注意2：路由