网络设备第5章_路由及其工作原理.ppt

第5章路由及其工作原理 本章目标 了解路由 Route 的基本知识 了解 配置静态路由 掌握 配置动态路由协议 掌握 配置VLAN间路由 掌握 访问控制列表 了解 如何操作和访问控制列表 掌握 如何配置访问控制列表 掌握 验证访问控制列表 了解 NAT技术 了解 授课重点 路由 Route 的基本知识动态路由协议的配置访问控制列表 授课方法 建议使用投影或分屏教室 先理论授课 后使用PacketTracer软件模拟 所见即所得 5 1路由概述 5 1 1路由选择概述 172 16 1 0 10 120 2 0 路由器路由所需要知道的信息 目的地址信息源可能的路由最佳的路由路由器还需要负责维护路由信息 路由的前提 路由器必须支持转发的协议组 如TCP IP 路由器必须知道目的网络路由器必须知道哪个外出接口是到达目的地的最佳路径 172 16 1 0 10 120 2 0 5 1 1路由选择概述 续 NetworkProtocol DestinationNetwork ConnectedLearned 10 120 2 0172 16 1 0 ExitInterface E0S0 RoutedProtocol IP 路由器通过路由协议可以学习到非直连网段的信息 172 16 1 0 10 120 2 0 E0 S0 路由表 路由表中的最长匹配原则 如果在查找路由表时 发现不止一条路由匹配 那么路由的选择遵从最长匹配原则 5 1 2怎样建立路由表 直接连接 路由器端口连接静态 管理员人工定义动态 由路由协议建立 区分静态和动态路由 静态路由由管理员手动输入到路由表中的路由不占用网络带宽不会随着网络的拓扑变化而变化 缺少灵活性 动态路由由路由器通过动态学习得到的路由占用网络带宽和资源会随着网络的拓扑变化而变化 非常灵活 5 1 3配置静态路由和默认路由 172 16 2 1 SO 172 16 1 0 B 172 16 2 2 Network A B StubNetwork 静态路由是单向的 通常用于一个末梢网络的出口 5 1 3配置静态路由和默认路由 续 Router config iproutenetwork mask address interface distance permanent 到达某一个目标网络的静态路由的用法 5 1 3配置静态路由和默认路由 续 StubNetwork iproute172 16 1 0255 255 255 0172 16 2 1 172 16 2 1 SO 172 16 1 0 B 172 16 2 2 Network A B 这是一个单方向的路由 你必须在相反的方向有一个路由设置 5 1 3配置静态路由和默认路由 续 StubNetwork iproute0 0 0 00 0 0 0172 16 2 2 172 16 2 1 SO 172 16 1 0 B 172 16 2 2 Network A B 到达所有未知网络的路由的数据包将通过路由器A 这是默认路由的用法 5 1 4验证静态路由的配置 使用showiproute命令查路由表用ping命令检测网络的连通性 5 1 5动态路由协议介绍 路由协议被用作路由器之间决定路径和保持路由表信息的算法路径确定下来后 路由器路由的是可路由的协议 NetworkProtocol DestinationNetwork ConnectedRIPIGRP 10 120 2 0172 16 2 0172 17 3 0 ExitInterface E0S0S1 可路由的协议 IP路由协议 RIP IGRP 172 17 3 0 172 16 1 0 10 120 2 0 E0 S0 5 1 6管理距离 IGRPAdministrativeDistance 100 RouterD RouterB RouterA RouterC RIPAdministrativeDistance 120 E 我需要发送一个包到网络E 可以通过B也可以通过C 问到底选择哪条路径更好 管理开销 AdministrativeDistance 管理开销是路由选择信息源的可信度的级别 在Cisco路由器中 管理开销由从0到255的数值表示 数值越高 可信度级别越低 静态路由与各种路由协议的缺省管理开销值 路由信息源缺省管理开销直接相连的网络接口0静态路由1EnhancedIGRP90IGRP100OSPF110RIP120EIGRP170未知 不可信255 5 2路由选择协议概述 距离向量法 混合路由 链路状态法 C B A D C D B A 5 2 1距离矢量路由协议 周期性与邻居交换路由信息并且重新生成新的路由表 5 2 1 1路由发现 选择与维护 路由器从它的邻居中发现到达目标的路径 在其上度量值加一 形成自己的路由表中的度量值 5 2 1 1路由发现 选择与维护 度量值 56 T1 56 T1 Ticks hopcount B A Hopcount IPX RIP IGRP BandwidthDelayLoadReliabilityMTU 不同的路由协议更据不同的标准选择最好路径 5 2 1 1路由发现 选择与维护 维护路由信息 5 2 2路由选择环路问题 每个结点都保留着从它自己到达其他目标网络的路由表项 5 2 2路由选择环路问题 续1 缓慢收会产生不一致的路由信息 5 2 2路由选择环路问题 续2 路由器C认为到10 4 0 0子网的最佳路径是通过路由器B 5 2 2路由选择环路问题 续3 路由器A更新自己的路由表并反映出错误的跳数 5 2 2路由选择环路问题 续4 到达10 4 0 0子网的跳数会变得无穷大 5 2 3解决路由环路问题 5 2 3 1定义最大值 定义一个最大的度量值来防止无限循环 5 2 3 2水平分割 不向原始路由更新来的方向再次发送相关的路由更新信息 5 2 3 3路由毒化 路由器向邻居通告失效的路由表项 其度量值为无穷大 5 2 3 4毒化逆转 为保证所有路由器都收到毒化信息 毒化逆转不考虑水平分割的限制 5 2 3 5抑制计时器 路由器收到一条路由不可达的消息后 会在路由表中将这条路由冻结 在冻结时间内 不接受其他路由器告诉它可达的消息 同时会在这段时间内将这条消息通知给网络中的其他路由器 5 2 3 6触发更新 当网络变化的时候 路由器立刻触发路由更新 综合运用多种方法维护路由 D B E A X C 10 4 0 0 综合运用多种方法维护路由 D B E A C X 10 4 0 0 抑制定时器 抑制定时器 抑制定时器 综合运用多种方法维护路由 D B E A C X 10 4 0 0 抑制定时器 抑制定时器 毒性逆转 毒性逆转 毒性逆转 毒性逆转 综合运用多种方法维护路由 D B E A C X 10 4 0 0 抑制定时器 抑制定时器 发往网络10 4 0 0的数据包 发往网络10 4 0 0的数据包 综合运用多种方法维护路由 D B E A C Linkup 10 4 0 0 综合运用多种方法维护路由 D B E A C Linkup 10 4 0 0 5 3链路状态路由协议 Link StatePackets SPFAlgorithm TopologicalDatabase ShortestPathFirstTree RoutingTable C A D B 路由器之间发送的不是路由表 而是链路状态通告 每个路由器都知道整个区域的拓扑 链路状态路由协议 路由更新 单个条目 路由表 路由表 完整的路由表 距离矢量 链路状态 5 4混合路由 选择一个基于距离向量法的路由协议汇聚时间很短 混合路由协议 混合路由协议兼有距离向量法和链路状态法的特点 5 5配置动态路由协议 路由配置选择路由协议指定网络或接口 Network160 89 0 0 Network172 30 0 0 IGRP RIP Network172 16 0 0 RIP RIP IGRP 5 5配置动态路由协议 续 定义一个路由协议 Router config routerprotocol keyword 在全局配置模式下启动路由协议将路由器直连的主网络号码加入路由协议 Router config router networknetwork number 5 5 1RIP 5 5 1 1RIP概述 路由信息协议 RIP 是以跳数作为metric的距离向量协议 RIP是广泛用于互联网的路由协议之一 是一种内部网关协议 interiorgatewayprotocol 即在自治系统内部执行路由功能 RIP的封装格式 520 RIP161 SNMP69 TFTP53 DNS 5 5 1 2RIP路由更新 RIP中路由的更新是通过定时广播实现的 默认更新周期30秒默认失效时间180秒默认刷新时间240秒 广播更新 RIPv1 5 5 1 3RIP路由度量值 RIP使用单一路由度量值 跳数 来衡量源网络到目的网络的距离 每经过一跳 度量值值加1RIP通过对从源到目的的最大跳数加以限制来防止路由环 最大值为15 跳数到达16跳的路由被认为是无效的 5 5 1 4RIP的稳定性 RIP实现了水平分割 split horizon 和hold down机制来防止路由信息的错误传播 5 5 1 5RIP的缺陷 过于简单 以跳数为依据计算度量值 经常得出非最优路由 度量值以16为限 不适合大的网络 安全性差 接受来自任何设备的路由更新 不支持无类IP地址和VLSM VariableLengthSubnetMask 变长子网掩码 收敛缓慢 时间经常大于5分钟 利用广播更新路由信息 消耗带宽很大 跳计数的问题 不能充分描述路径特性导致所选路径不为最优 RIPv1与RIPv2 广播更新组播更新有类路由无类路由不支持VLSM支持VLSM不支持认证支持MD5认证RFC1058RFC1723 RIPv1 RIPv2 5 5 2配置RIP Router config routerrip Router config router networknetwork number 选择参与路由协议的网络网络号必须是一个直连的主网络号码 启动RIP的路由协议 配置RIPv2 Router config router version2 Router config router noautosummary 使用RIPv2 关闭自动总结 5 5 2 1配置RIP示例 172 16 1 1 S2 E0 S3 192 168 1 1 10 1 1 1 10 2 2 2 10 1 1 2 S2 S3 10 2 2 3 172 16 1 0 A B C 192 168 1 0 E0 5 5 2 2验证RIP配置 RouterA shipprotocolsRoutingProtocolis rip Sendingupdatesevery30seconds nextduein0secondsInvalidafter180seconds holddown180 flushedafter240OutgoingupdatefilterlistforallinterfacesisIncomingupdatefilterlistforallinterfacesisRedistributing ripDefaultversioncontrol sendversion1 receiveanyversionInterfaceSendRecvKey chainEthernet0112Serial2112RoutingforNetworks 10 0 0 0172 16 0 0RoutingInformationSources GatewayDistanceLastUpdate10 1 1 212000 00 10Distance defaultis120 172 16 1 1 S2 E0 S3 192 168 1 1 10 1 1 1 10 2 2 2 10 1 1 2 S2 S3 10 2 2 3 172 16 1 0 A B C 192 168 1 0 E0 5 5 2 2验证RIP配置 续1 RouterA shiprouteCodes C connected S static I IGRP R RIP M mobile B BGPD EIGRP EX EIGRPexternal O OSPF IA OSPFinterareaN1 OSPFNSSAexternaltype1 N2 OSPFNSSAexternaltype2E1 OSPFexternaltype1 E2 OSPFexternaltype2 E EGPi IS IS L1 IS ISlevel 1 L2 IS ISlevel 2 candidatedefaultU per userstaticroute o ODRT trafficengineeredrouteGatewayoflastresortisnotset172 16 0 0 24issubnetted 1subnetsC172 16 1 0isdirectlyconnected Ethernet010 0 0 0 24issubnetted 2subnetsR10 2 2 0 120 1 via10 1 1 2 00 00 07 Serial2C10 1 1 0isdirectlyconnected Serial2R192 168 1 0 24 120 2 via10 1 1 2 00 00 07 Serial2 172 16 1 1 S2 E0 S3 192 168 1 1 10 1 1 1 10 2 2 2 10 1 1 2 S2 S3 10 2 2 3 172 16 1 0 A B C 192 168 1 0 E0 5 5 2 2验证RIP配置 续2 RouterA debugipripRIPprotocoldebuggingisonRouterA 00 06 24 RIP receivedv1updatefrom10 1 1 2onSerial200 06 24 10 2 2 0in1hops00 06 24 192 168 1 0in2hops00 06 33 RIP sendingv1updateto255 255 255 255viaEthernet0 172 16 1 1 00 06 34 network10 0 0 0 metric100 06 34 network192 168 1 0 metric300 06 34 RIP sendingv1updateto255 255 255 255viaSerial2 10 1 1 1 00 06 34 network172 16 0 0 metric1 172 16 1 1 S2 E0 S3 192 168 1 1 10 1 1 1 10 2 2 2 10 1 1 2 S2 S3 10 2 2 3 172 16 1 0 A B C 192 168 1 0 E0 5 5 3配置IGRP 5 5 3 1IGRP介绍 支持比RIP更复杂的网络更复杂的度量值计算可以多路选择 负载均衡 IGRP 5 5 3 2IGRP综合度量 19 2kbps 19 2kbps Source Destination 带宽延迟可信程度负载最大传输单元 5 5 3 3IGRP非等值多路径 最大支持6条路径 默认4条 下一条必须更接近目标可选择度量值不相等的路径 NewRoute InitialRoute Source Destination 5 5 3 4配置IGRP Router config router networknetwork number 选择参与的直连网络 Router config routerigrpautonomous system 启动IGRP作为路由协议 5 5 3 4配置IGRP 续 Router config router traffic share balanced min 控制负载均衡的控制方式 Router config router variancemultiplier 控制IGRP的负载均衡的差分范围 5 5 3 4IGRP配置示例 routerigrp100network172 16 0 0network10 0 0 0 routerigrp100network10 0 0 0 routerigrp100network192 168 1 0network10 0 0 0 AutonomousSystem 100 172 16 1 1 S2 E0 S3 192 168 1 1 10 1 1 1 10 2 2 2 10 1 1 2 S2 S3 10 2 2 3 172 16 1 0 A B C 192 168 1 0 E0 5 5 3 5验证IGRP配置 RouterA shipprotocolsRoutingProtocolis igrp100 Sendingupdatesevery90seconds nextduein21secondsInvalidafter270seconds holddown280 flushedafter630OutgoingupdatefilterlistforallinterfacesisIncomingupdatefilterlistforallinterfacesisDefaultnetworksflaggedinoutgoingupdatesDefaultnetworksacceptedfromincomingupdatesIGRPmetricweightK1 1 K2 0 K3 1 K4 0 K5 0IGRPmaximumhopcount100IGRPmaximummetricvariance1Redistributing igrp100RoutingforNetworks 10 0 0 0172 16 0 0RoutingInformationSources GatewayDistanceLastUpdate10 1 1 210000 01 01Distance defaultis100 172 16 1 1 S2 E0 S3 192 168 1 1 10 1 1 1 10 2 2 2 10 1 1 2 S2 S3 10 2 2 3 172 16 1 0 A B C 192 168 1 0 E0 5 5 3 5验证IGRP配置 RouterA shiprouteCodes C connected S static I IGRP R RIP M mobile B BGPD EIGRP EX EIGRPexternal O OSPF IA OSPFinterareaN1 OSPFNSSAexternaltype1 N2 OSPFNSSAexternaltype2E1 OSPFexternaltype1 E2 OSPFexternaltype2 E EGPi IS IS L1 IS ISlevel 1 L2 IS ISlevel 2 candidatedefaultU per userstaticroute o ODRT trafficengineeredrouteGatewayoflastresortisnotset172 16 0 0 24issubnetted 1subnetsC172 16 1 0isdirectlyconnected Ethernet010 0 0 0 24issubnetted 2subnetsI10 2 2 0 100 90956 via10 1 1 2 00 00 23 Serial2C10 1 1 0isdirectlyconnected Serial2I192 168 1 0 24 100 91056 via10 1 1 2 00 00 23 Serial2 172 16 1 1 S2 E0 S3 192 168 1 1 10 1 1 1 10 2 2 2 10 1 1 2 S2 S3 10 2 2 3 172 16 1 0 A B C 192 168 1 0 E0 5 5 3 5验证IGRP配置 RouterA debugipigrptransactionsIGRPprotocoldebuggingisonRouterA 00 21 06 IGRP sendingupdateto255 255 255 255viaEthernet0 172 16 1 1 00 21 06 network10 0 0 0 metric 8895600 21 06 network192 168 1 0 metric 9105600 21 07 IGRP sendingupdateto255 255 255 255viaSerial2 10 1 1 1 00 21 07 network172 16 0 0 metric 110000 21 16 IGRP receivedupdatefrom10 1 1 2onSerial200 21 16 subnet10 2 2 0 metric90956 neighbor88956 00 21 16 network192 168 1 0 metric91056 neighbor89056 172 16 1 1 S2 E0 S3 192 168 1 1 10 1 1 1 10 2 2 2 10 1 1 2 S2 S3 10 2 2 3 172 16 1 0 A B C 192 168 1 0 E0 5 5 3 5验证IGRP配置 RouterA debugipigrpeventsIGRPeventdebuggingisonRouterA 00 23 44 IGRP sendingupdateto255 255 255 255viaEthernet0 172 16 1 1 00 23 44 IGRP Updatecontains0interior 2system and0exteriorroutes 00 23 44 IGRP Totalroutesinupdate 200 23 44 IGRP sendingupdateto255 255 255 255viaSerial2 10 1 1 1 00 23 45 IGRP Updatecontains0interior 1system and0exteriorroutes 00 23 45 IGRP Totalroutesinupdate 100 23 48 IGRP receivedupdatefrom10 1 1 2onSerial200 23 48 IGRP Updatecontains1interior 1system and0exteriorroutes 00 23 48 IGRP Totalroutesinupdate 2 172 16 1 1 S2 E0 S3 192 168 1 1 10 1 1 1 10 2 2 2 10 1 1 2 S2 S3 10 2 2 3 172 16 1 0 A B C 192 168 1 0 E0 5 5 4配置EIGRP 5 5 4 1EIGRP概述 快速收敛 减少带宽占用 对多种网络层协议的支持 增强的距离矢量能力 100 无环路 易于配置 增量更新 对VLSM 不连续网络和无类别路由的支持 EIGRP最多支持6条 默认4条 到给定目的网络的路径 与IGRP兼容 5 5 4 2EIGRP综合度量 19 2kbps 19 2kbps Source Destination 带宽延迟可信程度负载最大传输单元 5 5 4 3配置EIGRP Router config router networknetwork number 选择参与的连接网络 Router config routereigrpautonomous system 启动IGRP作为路由协议 5 5 4 3配置EIGRP 续 Router config router traffic share balanced min 控制负载均衡的均衡方式 Router config router variancemultiplier 控制EIGRP的负载均衡 5 5 4 4验证EIGRP配置 Router showipprotocol显示路由协议的配置情况 Router showiprouteeigrp显示路由表中有关EIGRP的条目 Router showipeigrptraffic显示发送和接收的EIGRP数据包的数量 Router debugeigrppackets显示发送和接收的EIGRP数据包类型 5 5 5配置OSPF 5 5 5 1OSPF概述 是开放标准使用最短路径优先 SPF 算法典型的链路状态路由协议 5 5 5 2OSPF协议的特点 采用Cost作为度量值支持变长子网掩码 VLSM 不需要定期更新 收敛速度快将网络划分为多个区域 区域间支持路由汇总只有路由验证较好的支持负载均衡 OSPF的层次结构 补充 由层次化的区域组成很小的路由更新流量必须存在区域0 Area0 来定义骨干 backbone 区域 OSPF网络中路由器种类 补充 内部路由器 InternalRouter 区域边界路由器 AreaBorderRouter 骨干路由器 BackboneRouter 自治系统边界路由器 AutonomousSystemBoundaryRouter OSPF网络中路由器种类 补充 外部lAS 内部路由器 骨干 内部路由器 ABR与骨干路由器 ABR与骨干路由器 内部路由器 ASBR与骨干路由器 区域1 区域2 区域0 骨干区域 自治系统 OSPF的封装格式 补充 IPHeader ProtocolNumber FrameHeader CRC PacketPayload FramePayload 89 OSPF6 TCP17 UDP OSPF中的术语 补充 路由表 拓朴结构数据库 邻居关系数据库 Cost 10 Cost 1785 Cost 6 邻居 区域1 区域0 选取DR与BDR 补充 有最高优先级的路由器为DR 第二高优先级为BDR优先级相等时 依照路由器ID的高低判定 P 1 P 0 P 1 P 3 P 2 DR BDR 建立邻居 补充 172 16 5 1 24E0 路由器ID172 16 5 2看到路由器ID172 16 5 1 RouterA邻居列表172 16 5 2 24 intE0 172 16 5 2 24E1 路由器B邻居列表172 16 5 1 24 intE1 路由器ID172 16 5 1未看到任何其他路由器 Down状态 Init状态 Two Way状态 A B 发现路由 补充 路由器ID172 16 5 3的链路状态数据库总结 DBD afadjfjorqpoeru39547439070713 Exchange状态 路由器ID172 16 5 1的链路状态数据库总结 E0172 16 5 1 DR E0172 16 5 3 确认 LSAck afadjfjorqpoeru39547439070713 LSAck afadjfjorqpoeru39547439070713 发现路由 补充 请求网络172 16 6 0 24的完整条目 回应网络172 16 6 0 24的完整条目 确认 LSR afadjfjorqpoeru39547439070713 LSAck afadjfjorqpoeru39547439070713 LSU afadjfjorqpoeru39547439070713 Loading状态 E0172 16 5 1 E0172 16 5 3 DR Full状态 选择路由 补充 TopologyTableNetCostOutInterface10 2 2 07To010 3 3 017To010 3 3 020E0 Cost 10 Cost 6 Cost 1 A B C 到10 3 3 0的最优路径 10 1 1 0 24 10 2 2 0 24 10 3 3 0 24 10 4 4 0 24 Cost 10 5 5 5 3OSPF基本算法 SPF算法及最短路径树链路状态算法 5 5 5 4配置OSPF Router config routerospfprocess id Router config router networkaddressmaskareaarea id 分配网络到特定的区域 定义使用OSPF路由协议 OSPF的配置 分配RouterID启动OSPF进程指定网络和所属区域检查配置结果配置OSPF根区域 5 5 5 4通配符 如何检查对应的地址 0意味检验匹配的地址位1意味着忽略匹配的地址位 不检验地址 忽略所有的地址位 0 0 0 0 0 0 0 0 八位数的位置决定检验的位数t 忽略最后的6个地址位 检验所有的地址 匹配所有的 忽略最后的4个地址位 检验最后的2个地址位 例子 5 5 5 4匹配指定IP主机地址的通配符 例子172 30 16 290 0 0 0检验所有的地址位可以缩写这个通配符用IP地址为host host172 30 16 29 检验条件 检验所有的地址位 匹配所有的 172 30 16 29 0 0 0 0 检验所有位 一个IP主机地址 例如 通配符 5 5 5 4匹配任何IP地址的通配符 接受任何地址 0 0 0 0255 255 255 255缩写这种表达用any 检验条件 忽略所有的地址位 匹配所有的 0 0 0 0 255 255 255 255 忽略所有 任何IP地址 通配符 通配符 00001111 00010000 1600010001 1700010010 18 00011111 31 5 5 5 4匹配IP子网掩码的通配符 检验IP子网172 30 16 0 24to172 30 31 0 24 网络 主机172 30 16 0 地址和通配符172 30 16 00 0 15 255 5 5 5 4在单区域内配置OSPF OSPF的配置示例 单区域配置 5 5 5 4验证OSPF配置 showipprotocols可以显示路由协议的配置情况showiproute可以显示当前的路由表 路由条目带有 O 标记的就是OSPF协议所生成的路由 showiprouteospf只显示由OSPF协议所生成的路由 showipospfinterface核实接口是否已经被配置到目标区域了 showipospf能显示所执行过的SPF算法的次数 检查配置结果 Router showipospfinterface 显示接口上的OSPF信息 Router showipprotocols 察看OSPF的配置状态 Router showiproute 显示路由表 察看配置结果 Router showipospfneighbordetail Router showipospfdatabase Router showipospf 检查OSPF进程的一般消息 检查OSPF的邻居信息 显示OSPF的链路状态数据库 5 5 6VLAN间的路由 VLAN1 VLAN2 ISL 10 1 1 2 10 2 2 2 Routeronastick Application TCP IP ISL Ethernet Fa0 0 在物理接口上划分子接口 FastEthernet0 0 FastEthernet0 0 2 FastEthernet0 0 3 FastEthernet0 0 1 物理接口可以划分为多个逻辑子接口 设置ISL封装 配置路由器的子接口使用ISL协议 Router confIg subIf encapsulatIonIslvlanIdentIfIer 配置VLAN间路由 5 6访问控制列表 5 6 1什么是访问列表 OutgoingPacket E0 S0 IncomingPacket AccessListProcesses Permit Protocol 标准的检验源地址一般允许或者禁止整个协议栈扩展的检查源和目的地址通常允许或者禁止某个具体的协议访问控制列表要绑定到路由器的接口的输入或输出方向上 5 6 2为什么使用访问列表 172 16 0 0 172 17 0 0 Internet 管理IP网络资源过滤通过路由器的数据包 5 6 3访问控制列表的类型 标准型访问控制列表扩展型访问控制列表 5 7如何操作访问控制列表 5 7 1访问列表作用方向 入站访问列表出站访问列表 5 7 2访问控制列表的作用 允许或者阻止某些通过路由器的包允许或禁止远程登录到路由器没有访问控制列表所有的包将通过路由器 Virtualterminallineaccess IP Transmissionofpacketsonaninterface 5 7 2访问控制列表的作用 续 路由过滤 RoutingTable QueueList 优先极和定制队列的应用 按需拨号路由 访问控制列表的应用很广 5 7 3出站访问列表 NotifySender 如果没有匹配的访问控制列表 将丢弃这个包 N Y 包丢弃桶 ChooseInterface RoutingTableEntry N Y TestAccessListStatements Permit Y AccessList DiscardPacket N OutboundInterfaces Packet Packet S0 E0 InboundInterfacePackets 5 7 4测试清单 拒绝或允许 进入端口的包 包丢弃桶 Y 接口 目的地 Deny Y MatchFirstTest Permit N Deny Permit MatchNextTest s Deny MatchLastTest Y Y N Y Y Permit ImplicitDeny 如果不匹配所有的规则 则丢弃 Deny N 5 8访问列表配置指南 访问控制列表的编号标明哪个协议是被过滤的每个接口 每个协议 每个方向上可以有一个访问控制列表访问控制列表的顺序决定被检验的顺序最特殊的规则应该被放到访问控制列表的前面在访问控制列表的最后有隐含的规则 禁止所有的 访问控制列表应绑定到端口上访问控制列表过滤通过路由器的包 但是不能过滤由路由器自身产生的包 5 8 1如何标识访问列表 号码范围 标志 IP 1 99100 199Name CiscoIOS11 2andlater 800 899900 9991000 1099Name CiscoIOS11 2 Fandlater 标准的扩展的SAP过滤的名字的 标准的扩展的名字的 访问控制列表类型 IPX 标准的访问控制列表 1to99 检验所有从源地址产生的IP包扩展访问控制列表 100to199 检验源和目的地址 具体的TCP IP协议和目的端口其他的访问控制列表检验其他的网络协议 5 8 2配置IP访问控制列表 5 8 2 1访问列表命令概述 第一步 设置访问控制列表测试语句 一个列表可以由一条或多条语句组成 Router config 第二步 在接口上启用特定的访问控制列表 protocol access groupaccess list number in out Router config if access listaccess list number permit deny testconditions 5 8 2 2配置标准IP访问列表 access listaccess list number permit deny source mask Router config 把列表应用到端口上设置进入方向还是出去方向的检验默认的是出去方向的检验 noipaccess groupaccess list number 将从端口上删除这个访问控制列表 Router config if ipaccess groupaccess list number in out 标准的访问控制列表用1to99默认的通配符 0 0 0 0 noaccess listaccess list number 删除整个访问控制列表 5 8 2 2标准IP访问列表示例1 只允许访问一个网段 access list1permit172 16 0 00 0 255 255 implicitdenyall notvisibleinthelist access list1deny0 0 0 0255 255 255 255 interfaceethernet0ipaccess group1outinterfaceethernet1ipaccess group1out 172 16 3 0 172 16 4 0 172 16 4 13 E0 S0 E1 Non 172 16 0 0 5 8 2 2标准IP访问列表示例2 access list1deny172 16 4 130 0 0 0access list1permit0 0 0 0255 255 255 255 implicitdenyall access list1deny0 0 0 0255 255 255 255 interfaceethernet0ipaccess group1out 172 16 3 0 172 16 4 0 172 16 4 13 E0 S0 E1 Non 172 16 0 0 只拒绝一个具体的主机 5 8 2 2标准IP访问列表示例3 access list1deny172 16 4 00 0 0 255access list1permitany implicitdenyall access list1deny0 0 0 0255 255 255 255 interfaceethernet0ipaccess group1out 172 16 3 0 172 16 4 0 172 16 4 13 E0 S0 E1 Non 172 16 0 0 只拒绝一个具体的子网 5 8 2 3扩展IP访问列表配置 Router config if ipaccess groupaccess list number in out 将访问控制列表应用到端口上 设置访问控制列表 Router config access listaccess list number permit deny protocolsourcesource wildcard operatorport destinationdestination wildcard operatorport established log 5 8 2 3扩展访问列表示例1 access list101denytcp172 16 4 00 0 0 255172 16 3 00 0 0 255eq21access list101denytcp172 16 4 00 0 0 255172 16 3 00 0 0 255eq20access list101permitipanyany implicitdenyall access list101denyip0 0 0 0255 255 255 2550 0 0 0255 255 255 255 interfaceethernet0ipaccess group101out 禁止从子网172 16 4 0到子网172 16 3 0从E0出去的FTP服务允许所有其他的包 172 16 3 0 172 16 4 0 172 16 4 13 E0 S0 E1 Non 172 16 0 0 5 8 2 3扩展访问列表示例2 access list101denytcp172 16 4 00 0 0 255anyeq23access list101permitipanyany implicitdenyall interfaceethernet0ipaccess group101out 禁止网络172 16 4 0从E0出去的telnet允许其他所有的IP包 172 16 3 0 172 16 4 0 172 16 4 13 E0 S0 E1 Non 172 16 0 0 5 8 2 3标准和扩展访问列表对比 标准的 扩展的 只过滤源 过滤源或者目的地址 允许或者禁止整个TCP IP协议 允许或者禁止一个具体的协议和端口号 范围是从100到199 范围是从1到99 5 8 3 4实际应用步骤 第1步 创建一个访问控制列表第2步 指定接口第3步 定义方向 5 9验证访问控制列表 wg ro a showipinte0Ethernet0isup lineprotocolisupInternetaddressis10 1 1 11 24Broadcastaddressis255 255 255 255AddressdeterminedbysetupcommandMTUis1500bytesHelperaddressisnotsetDirectedbroadcastforwardingisdisabledOutgoingaccesslistisnotsetInboundaccesslistis1ProxyARPisenabledSecuritylevelisdefaultSplithorizonisenabledICMPredirectsarealwayssentICMPunreachablesarealwayssentICMPmaskrepliesareneversent 5 9验证访问控制列表 续 wg ro a showaccess listsStandardIPaccesslist1permit10 2 2 1permit10 3 3 1permit10 4 4 1permit10 5 5 1ExtendedIPaccesslist101permittcphost10 22 22 1anyeqtelnetpermittcphost10 33 33 1anyeqftppermittcphost10 44 44 1anyeqftp data wg ro a showaccess lists access listnumber wg ro a show protocol access list access listnumber 5 10用NAT来缩放网络 5 10 1NAT技术的定义 NAT英文全称是NetworkAddressTranslation 称是网络地址转换 它是一个IETF标准 允许一个机构以一个地址出现在Internet上 NAT将每个局域网节点的地址转换成一个IP地址 反之亦然 5 10 2NAT技术的基本原理和类型 在内部网络中使用内部地址 通过NAT把内部地址翻译成合法的IP地址在Internet上使用 其具体的做法是把IP包内的地址用合法的IP地址来替换 NAT有三种类型 静态NAT StaticNAT 动态地址NAT PooledNAT 网络地址端口转换PAT NAT技术原理 NAT术语 1 内部本地地址 insidelocaladdress 2 内