云计算学习笔记——ACL、NAT（静态、Easy）、VRRP篇

最新推荐文章于 2025-08-08 15:25:22 发布

守.护

最新推荐文章于 2025-08-08 15:25:22 发布

阅读量870

点赞数 24

CC 4.0 BY-SA版权

文章标签：智能路由器网络

本文链接：https://blog.csdn.net/forpoppet/article/details/149999782

《云计算学习日记Day4》—— 从零开始的云计算之旅
今天是系统学习云计算的第四天，记录了关于我的云计算学习，后续将每日更新我的笔记。欢迎大家一起来学习，如果内容有遗漏和错误，还请大家多多指正和包涵，谢谢大家。

ACL

ACL概述

什么是ACL

访问控制列表（Access Control List，ACL）是应用在路由器接口的指令列表（即规则）

ACL作用

读取第三层（网络层）、第四层（传输层）报文头信息
根据预先定义好的规则对报文进行过滤

ACL的主要类型

分类	编号范围	参数
基本ACL	2000-2999	源IP地址
高级ACL	3000-3999	源IP地址、目的IP地址、端口、协议

ACL规则

每个ACL可以包含多个规则，路由器根据规则对数据流量进行过滤
匹配即停止

基本ACL

基本ACL：
- 基于源IP地址过滤数据包
- 列表号是2000~2999

例子：

第一步：配置PC8 IP：192.168.1.1 网关：192.168.1.254

第二步：配置Client8 IP：192.168.1.2 网关：192.168.1.254

第三步：配置Server2 IP：192.168.2.1 网关：192.168.2.254

第四步：配置路由器AR4 GE0/0/0：192.168.1.254 GE0/0/1：192.168.2.254

第五步：在路由器AR4中配置ACL

<Huawei>sys
Enter system view, return user view with Ctrl+Z.

#创建acl文件，列表号是2000
[Huawei]acl 2000
#表示拒绝源IP是192.168.1.2的数据通过
#0.0.0.0是指精准匹配
[Huawei-acl-basic-2000]rule deny source 192.168.1.2 0.0.0.0
#查看这条规则
[Huawei-acl-basic-2000]display this
[V200R003C00]
#
acl number 2000  
 rule 5 deny source 192.168.1.2 0 
#第五条，正常来说创建时是每隔五条创建一个，为了更好的控制和修改规则
#
return
[Huawei-acl-basic-2000]quit
[Huawei]int g0/0/0          #进入接口GE0/0/0
#定义过滤数据是输入方向，并且使用上面创建的acl2000
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 2000
[Huawei-GigabitEthernet0/0/0]
<Huawei>save

第六步：如果配置错误可以这样修改：

<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]acl 2000
[Huawei-acl-basic-2000]undo rule 5   #删除第五条

相应的如果接口配置错误使用：undo traffic-filer inbound

高级ACL

高级ACL概述

基于源IP地址、目标IP地址、源端口、目的端口、协议过滤数据包
列表号是3000~3999

高级ACL配置

连接示例图

按图所示完成基础配置后进行高级ACL的配置

要求：拒绝192.168.1.2访问192.168.3.1的FTP服务

<Huawei>system-view        #进入系统视图
Enter system view, return user view with Ctrl+Z.
#创建配置高级ACL3000
[Huawei]acl 3000
#表示tcp协议，拒绝 192.168.1.2 访问 192.168.3.1 的FTP服务（端口号21）
[Huawei-acl-adv-3000]rule deny tcp source 192.168.1.2 0 destination 192.168.3.1 
0 destination-port eq 21
[Huawei-acl-adv-3000]quit
[Huawei]display acl 3000
Advanced ACL 3000, 1 rule
Acl's step is 5
 rule 5 deny tcp source 192.168.1.2 0 destination 192.168.3.1 0 destination-port
 eq ftp 

#进入接口0/0/0，在接口的进入的方向应用
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

NAT

NAT概述

NAT作用

NAT
- Network Address Translation，网络地址转换
- 作用：通过将内部网络的私有IP地址转换成全球唯一的公网IP地址，使内部网络可以连接到互联网
私有IP地址分类
- A类：10.0.0.0~10.255.255.255
- B类：172.16.0.0~172.31.255.255
- C类：192.168.0.0~192.168.255.255
N使用NAT带来的好处
- 节省公有合法IP地址
- 处理地址重叠
- 提高安全
NAT实现方式
- 静态转换
- Esay IP

Easy IP

Easy IP概述

Easy IP是一种基于NAT（网络地址转换）的技术，主要用于解决公网IP地址不足的问题，允许多个内网设备共享单个公网IP进行互联网访问

Easy IP工作原理

内网设备发起请求：（如访问百度）
- 源IP→路由器
NAT转换：
- 路由器将源IP替换为公网接口IP
服务器响应

配置示例图

代码配置

首先对所有区域配置IP、网关等，然后对它们进行相应的配置，使他们之间可以相互通信，这里的操作前面讲过，就当作是一种练习

配置结束后检验一下功能：

①-PC1-1 ping PC3-1→成功

②-PC3-1 ping PC1-1→成功

然后，配置NAT地址转换，在路由器中编写，代码如下

<Huawei>sys               #进入系统视图
Enter system view, return user view with Ctrl+Z.
#配置ACL2000（允许谁可以进行Easy IP地址转换）
[Huawei]acl 2000
[Huawei-acl-basic-2000]rule permit source any
[Huawei-acl-basic-2000]quit
#进入0/0/1接口，启用Easy IP地址转换
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]nat outbound 2000
[Huawei-GigabitEthernet0/0/1]
<Huawei>save

怎么验证是否配置成功呢？

我们根据之前所学的知识知道，在不进行Easy IP地址转换的前提下，要想实现两个网络之间的互通，需要配置网关，通过路由器来实现通信。

但是现在，我们进行了Easy IP地址的转换，192.168.1.0和192.168.2.0在通过路由器的Gigabit Ethernet0/0/1接口之后，IP转换成了200.168.1.254，和紫色中的设备处于同一个网络，那它们之间的通信就不需要网关了，所以我们把Server1-1的网关取消掉，然后再去ping一下，看看是否可以ping到，如果可以，那便是配置成功了

-PC1-1 ping Server1-1→成功

到这里，Easy IP的配置就完成了

静态转换（内网穿透技术、打洞技术）

静态NAT概述

静态转换是指将内部网络的地址转换成共有地址时，IP地址的对应关系是确定的

通俗点来讲，假如一个公司内部有一个服务器，公司内的网络都是192.168.0.0，是私有网络，我在公网上怎么才能访问到这个服务器呢？

第一步，公司需要去买一个公有固定IP，而且这个IP一般和公司的对外接口的IP在同一个网络上

第二步，把这个新买的公有IP和服务器上的私有IP绑定在公司的默认路由上

第三步，在这个路由上，这两个IP是绑定的，不管是从内到外还是从外到内，IP都会进行相应的转换，这样就实现了对这个公司内部的服务器的访问

静态转换的特点

一对一转换
双向

静态转换代码实现

命令：nat static global 公网IP inside 私有IP

解释：nat就是转换指令 static就是静态

如何测试是否转换成功呢？（或者说怎么确定代码起作用了？）

很简单，用外网的机器访问内网的这个服务器，IP填写购买的那个IP，也是就购买的那个公有IP，如果可以ping通，那么就成功了

VRRP（虚拟路由冗余协议）

VRRP概述

解释

虚拟路由冗余协议，英文Virtual Router Redundancy Protocol，简称vrrp

vrrp能够在不改变组网的情况下，将多台路由器虚拟成一个路由器，通过配置虚拟路由器的IP地址为虚拟网关，实现网关的备份

vrrp组成成员

-主（Master）路由器

-备份（Backup）路由器

-虚拟（Virtual）路由器

核心

解决客户端网关地址指向问题（客户端不需要手动修改网关地址）

举一个简单的例子：

还是Easy IP中的那张实验图，不过我再多加一个三层交换机，就像这样：

那这个图该怎么配置呢？

首先和第一个三层交换机一样配置新添加的这个三层交换机，只不过，关于它的vlan10 和vlan20 的IP改为192.168.1.253和192.168.2.253

然后把下面的pc和client的网关改为192.168.1.252和192.168.2.252

最后在虚拟一下就欧克了

配置

上面我们讲到了虚拟一下，怎么虚拟呢？

#这个是在LSW1-1上敲写的
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]int v10
#在vlanif10里面，组织名称为1，虚拟IP就是vlan10的网关
[Huawei-Vlanif10]vrrp vrid 1 virtual-ip 192.168.1.252
[Huawei-Vlanif10]vrrp vrid 1 priority 200   #优先级200，默认100
[Huawei-Vlanif10]int v20
#在vlanif20里面，组织名称为2，虚拟IP就是vlan20的网关
[Huawei-Vlanif20]vrrp vrid 2 virtual-ip 192.168.2.252
[Huawei-Vlanif20]vrrp vrid 2 priority 200   #优先级200，默认100
--------------------------------------------------------------
#这个在另一个三层交换机上敲写
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]int v10
#在vlanif10里面，组织名称为1，虚拟IP就是vlan10的网关
[Huawei-Vlanif10]vrrp vrid 1 virtual-ip 192.168.1.252
[Huawei-Vlanif10]int v20
#在vlanif20里面，组织名称为2，虚拟IP就是vlan20的网关
[Huawei-Vlanif20]vrrp vrid 2 virtual-ip 192.168.2.252