结合NAT的ACL设计用例

在网络学习中，ACL访问控制的实现相对来讲有一定难度，本文即设计一例，用于说明ACL配合NAT的使用的配置方法。

先看拓扑：

配置要求：

网络使用ospf协议连通（均使用了 Area 0）。

  ⑴NAT地址池：202.0.0.2-202.0.0.9

  ⑵允许192.168.10.1-10、192.168.11.0网段能够访问外网。

  ⑶允许192.168.10.1-5、192.168.11.1-10访问服务器的Web

好了，下面我们来实现它。

一、基本配置：实现网络连通

左侧二层交换机：（看IP地址分配知道，要做单臂路由，所以配置Vlan）

en

conf t             //全局配置模式

vl 10              //创建Vlan，加端口

vl 20

vl 30

in f 0/1

sw ac vl 10

in f 0/11

sw ac vl 20

in f 0/21

sw ac vl 30

in g 0/1

sw m t            //trunk，允许所有Vlan包转发

左侧路由器（注意掩码）：

en

conf t

in f0/1        //接口up

no sh

in f 0/1.1     //配置子接口：封装→配地址

en d 10        //dot1q封装

ip ad 192.168.10.1 255.255.255.0

in f 0/1.2

en d 20

ip ad 192.168.11.1 255.255.255.0

in f 0/1.3

en d 30

ip ad 192.168.12.1 255.255.255.0

in f 0/0

no sh

ip ad 1.1.1.1 255.255.255.252

ro os 1

net 192.168.10.0 0.0.0.255 a 0

net 192.168.11.0 0.0.0.255 a 0

net 192.168.12.0 0.0.0.255 a 0

net 1.1.1.0 0.0.0.3 a 0

中间路由器：

en

conf t

in f 0/0

no sh

ip ad 1.1.1.2 255.255.255.252

in f 0/1

no sh

ip ad 1.1.2.1 255.255.255.252

ro os 1

net 1.1.1.0 0.0.0.3 a 0

net 1.1.2.0 0.0.0.3 a 0

右侧路由器：

en

conf t

in f 0/0

no sh

ip ad 1.1.2.2 255.255.255.252

in f 0/1

no sh

ip ad 202.0.0.1 255.255.255.0

ro os 1

net 1.1.2.0 0.0.0.3 a 0

net 202.0.0.0 0.0.0.255 a 0

好了！！现在可以进行连通性测试，各个网段都ping一下。

建议采用“逐级”ping方式，即由近及远的进行测试，以便发现、分析问题所在的位置。

如果发现问题，可以通过查看配置细节，或在PC或路由器上分别测试，以确定问题所在。

如下图，测试通过！！

二、配置NAT和ACL：NAT最好在靠近要控制的网络

 先配置NAT和ACL（在 右侧路由器）：

NAT：

ip nat po p2 202.0.0.2 202.0.0.9 net 255.255.255.0    //使用p2做地址池是为了避免把1当成l这类的问题

ip nat in so li 100 po p2 ov

ACL：

ac 100 per tcp 192.168.10.0 0.0.0.5 ho 202.0.0.10 eq www

ac 100 per tcp 192.168.10.0 0.0.0.3 ho 202.0.0.10 eq www

ac 100 den tcp 192.168.10.0 0.0.0.255 ho 202.0.0.10 eq www

ac 100 per tcp 192.168.11.0 0.0.0.7 ho 202.0.0.10 eq www

ac 100 per tcp 192.168.11.0 0.0.0.9 ho 202.0.0.10 eq www

ac 100 per tcp ho 192.168.11.10 ho 202.0.0.10 eq www

ac 100 den tcp 192.168.11.0 0.0.0.255 ho 202.0.0.10 eq www

ac 100 per ip 192.168.10.0 0.0.0.7 any

ac 100 per ip 192.168.10.0 0.0.0.9 any

ac 100 per ip host 192.168.10.10 any

ac 100 per ip 192.168.11.0 0.0.0.255 any

 然后，应用NAT到指定接口：

in f0/0

ip nat in

in f 0/1

ip nat out

 测试：

好了好了！可以去测试一下。

由于是NAT，所以，此时可以将202.0.0.0网段的服务器和PC的网关删除。

再去做web访问和ping测试。

1、配置服务器的Web

在系统的web页添加一些你的标识即可。

2、分别做各个IP地址的测试。

完成！！！