DTL110015訪問控制列表和地址轉(zhuǎn)換原理

1、HUAWEI TECHNOLOGIES CO., LTDHUAWEI Confidential Security Level: DTL110015 訪問控制列表和地址轉(zhuǎn)換原理ISSUE 1.0InternalHUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 1l學習完本課程，您應該能夠：理解訪問控制列表的基本原理理解地址轉(zhuǎn)換的基本原理HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 2IP包過濾技術(shù)介紹l對路由器需要轉(zhuǎn)發(fā)的數(shù)據(jù)包，先獲取包頭信息，然后和設定的規(guī)則進行比較，根據(jù)比較

2、的結(jié)果對數(shù)據(jù)包進行轉(zhuǎn)發(fā)或者丟棄。而實現(xiàn)包過濾的核心技術(shù)是訪問控制列表。RInternet公司總部內(nèi)部網(wǎng)絡未授權(quán)用戶辦事處HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 3訪問控制列表的作用l訪問控制列表可以用于防火墻；l訪問控制列表可以用于Qos（Quality of Service），對數(shù)據(jù)流量進行控制；l在DCC中，訪問控制列表還可用來規(guī)定觸發(fā)撥號的條件；l訪問控制列表還可以用于地址轉(zhuǎn)換；l在配置路由策略時，可以利用訪問控制列表來作路由信息的過濾。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confid

3、ential Page 4訪問控制列表是什么？l一個IP數(shù)據(jù)包如下圖所示（圖中IP所承載的上層協(xié)議為TCP/UDP）：IP報頭報頭TCP/UDP報頭報頭數(shù)據(jù)數(shù)據(jù)協(xié)議號協(xié)議號源地址源地址目的地址目的地址源端口源端口目的端口目的端口對于TCP/UDP來說，這5個元素組成了一個TCP/UDP相關，訪問控制列表就是利用這些元素定義的規(guī)則HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 5如何標識訪問控制列表？l利用數(shù)字標識訪問控制列表l利用數(shù)字范圍標識訪問控制列表的種類列表的種類列表的種類數(shù)字標識的范圍數(shù)字標識的范圍IP standard li

4、st2000-2999IP extended list3000-3999HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 6標準訪問控制列表l標準訪問控制列表只使用源地址描述數(shù)據(jù)，表明是允許還是拒絕。從/24來的數(shù)據(jù)包可以通過！從/24來的數(shù)據(jù)包不能通過！路由器HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 7標準訪問控制列表的配置l配置標準訪問列表的命令格式如下：acl acl-number match-order auto |

5、 config rule normal | special permit | deny source source-addr source-wildcard | any 怎樣利用 IP 地址 和 反掩碼wildcard-mask 來表示一個網(wǎng)段?HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 8如何使用反掩碼l反掩碼和子網(wǎng)掩碼相似，但寫法不同：0表示需要比較1表示忽略比較l反掩碼和IP地址結(jié)合使用，可以描述一個地址范圍。000255只比較前24位003255只比較前22位0255255255只比較前8位HUAWEI TECHNOLOG

6、IES CO., LTD.HUAWEI Confidential Page 9擴展訪問控制列表l擴展訪問控制列表使用除源地址外更多的信息描述數(shù)據(jù)包，表明是允許還是拒絕。從/24來的,到0的，使用TCP協(xié)議，利用HTTP訪問的數(shù)據(jù)包可以通過！路由器HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 10擴展訪問控制列表的配置命令l配置TCP/UDP協(xié)議的擴展訪問列表：rule normal | special permit | deny tcp | udp source source-addr

7、 source-wildcard | any source-port operator port1 port2 destination dest-addr dest- wildcard | any destination-port operator port1 port2 loggingl配置ICMP協(xié)議的擴展訪問列表：rule normal | special permit | deny icmp source source-addr source-wildcard | any destination dest-addr dest- wildcard | any icmp-type icmp

8、-type icmp-code loggingl配置其它協(xié)議的擴展訪問列表：rule normal | special permit | deny ip | ospf | igmp | gre source source-addr source-wildcard | any destination dest-addr dest- wildcard | any loggingHUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 11擴展訪問控制列表操作符的含義操作符及語法操作符及語法意義意義equal portnumber等于端口號 port

9、numbergreater-than portnumber大于端口號portnumberless-than portnumber小于端口號portnumbernot-equal portnumber不等于端口號portnumber rangeportnumber1 portnumber2介于端口號portnumber1 和portnumber2之間HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 12擴展訪問控制列表舉例lrule deny icmp source 55 destination any

10、 icmp-type host-redirectlrule deny tcp source 55 destination 55 destination-port equal www logging問題: 下面這條訪問控制列表表示什么意思?rule deny udp source 55 destination 55 destination-port greater-than 128/16ICMP主機重定向報文/1

11、6TCP報文/24WWW 端口HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 13如何使用訪問控制列表l防火墻配置常見步驟：啟用防火墻定義訪問控制列表將訪問控制列表應用到接口上Internet公司總部網(wǎng)絡啟用防火墻將訪問控制列表應用到接口上HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 14防火墻的屬性配置命令l打開或者關閉防火墻firewall enable | disable l設置防火墻的缺省過濾模式firewall default permit

12、|deny l顯示防火墻的狀態(tài)信息display firewallHUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 15在接口上應用訪問控制列表l將訪問控制列表應用到接口上l指明在接口上是OUT還是IN方向l在接口視圖下配置：firewall packet-filter acl-number inbound | outboundEthernet0訪問控制列表3001作用在Ethernet0接口在out方向有效Serial0訪問控制列表2001作用在Serial0接口上在in方向上有效HUAWEI TECHNOLOGIES CO., LT

13、D.HUAWEI Confidential Page 16基于時間段的包過濾l“特殊時間段內(nèi)應用特殊的規(guī)則”上班時間（上午8：00 下午5：00）只能訪問特定的站點；其余時間可以訪問其他站點InternetHUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 17訪問控制列表的組合l一條訪問列表可以由多條規(guī)則組成,對于這些規(guī)則，有兩種匹配順序：auto和config。l規(guī)則沖突時，若匹配順序為auto（深度優(yōu)先），描述的地址范圍越小的規(guī)則，將會優(yōu)先考慮。深度的判斷要依靠通配比較位和IP地址結(jié)合比較 rule deny

14、55 rule permit 55 兩條規(guī)則結(jié)合則表示禁止一個大網(wǎng)段 （）上的主機但允許其中的一小部分主 機（）的訪問。l規(guī)則沖突時，若匹配順序為config，先配置的規(guī)則會被優(yōu)先考慮。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 18l學習完本課程，您應該能夠：理解訪問控制列表的基本原理理解地址轉(zhuǎn)換的基本原理HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 19引入l按照目

15、前Internet網(wǎng)絡迅猛發(fā)展的速度，到2010年IPv4的地址將消耗殆盡。l目前IPv6(IPng)的推廣和部署受到一定的阻力，無法在短時間內(nèi)完成網(wǎng)絡從IPv4到IPv6的過渡。l目前解決IP地址短缺的有效方法：NAT和CIDRHUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 20學習完本課程，您應該能夠：掌握NAT的基本概念掌握NAT的基本工作原理掌握8070產(chǎn)品的NAT實現(xiàn)掌握8011產(chǎn)品的NAT實現(xiàn)填寫課程目標。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 21第二章

16、第二章 NAT基本工作原理基本工作原理第三章第三章 8070產(chǎn)品產(chǎn)品NAT實現(xiàn)實現(xiàn)第四章第四章 8011產(chǎn)品產(chǎn)品NAT實現(xiàn)實現(xiàn)HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 22第一章 NAT基本概念NAT(Network Address Translator)l網(wǎng)絡地址轉(zhuǎn)換，即改變IP報文中的源或目的地址的一種處理方式；l使一個局域網(wǎng)中的多臺主機使用少數(shù)的合法地址訪問外部資源，也可以按照要求設定內(nèi)部的WWW、FTP、TELNET的服務提供給外部網(wǎng)絡使用；l有效的隱藏了內(nèi)部局域網(wǎng)的主機IP地址，起到了安全保護的作用。HUAWEI TE

17、CHNOLOGIES CO., LTD.HUAWEI Confidential Page 23第一章 NAT基本概念共有地址和私有地址共有地址和私有地址l私有地址是指內(nèi)部網(wǎng)絡(局域網(wǎng)內(nèi)部)的主機地址，而公有地址是局域網(wǎng)的外部地址（在因特網(wǎng)上的全球唯一的IP地址）。因特網(wǎng)地址分配組織規(guī)定以下的三個網(wǎng)絡地址保留用做私有地址： - 55 - 55 - 55 HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page

18、24第一章 NAT基本概念l地址池地址池 地址池是由一些外部地址（全球唯一的IP地址）組合而成的，我們稱這樣的一個地址集合為地址池。在內(nèi)部網(wǎng)絡的數(shù)據(jù)包通過地址轉(zhuǎn)換達到外部網(wǎng)絡時，將會選擇地址池中的某個地址作為轉(zhuǎn)換后的源地址，這樣可以有效利用用戶的外部地址，提高內(nèi)部網(wǎng)絡訪問外部網(wǎng)絡的能力。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 25第一章 NAT基本概念l訪問控制列表訪問控制列表 訪問列表是由ACCESS-LIST命令生成的，它依據(jù)IP數(shù)據(jù)包報頭以及它承載的上層協(xié)議數(shù)據(jù)包頭的格式定義了一定的規(guī)則，可以表示允許或者是禁止具有某些特

19、征(包頭數(shù)據(jù)可以描述的）的數(shù)據(jù)包，地址轉(zhuǎn)換按照這樣的規(guī)則判定哪些包是被允許轉(zhuǎn)換或者是禁止轉(zhuǎn)換，這樣可以禁止一些內(nèi)部的主機訪問外部網(wǎng)絡，提高一些網(wǎng)絡的安全性問題。有關的詳細概念可以參考防火墻中的有關內(nèi)容。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 26第一章 NAT基本概念l轉(zhuǎn)換關聯(lián)轉(zhuǎn)換關聯(lián) 轉(zhuǎn)換關聯(lián)就是將一個地址池和一個訪問列表關聯(lián)起來，這種關聯(lián)指定了“具有某些特征的IP報文”是使用“這樣的地址池中的地址”，而另一些可能是使用另外一個地址池中的地址。在地址轉(zhuǎn)換時，是根據(jù)這樣的對應進行地址轉(zhuǎn)換的。當一個內(nèi)部網(wǎng)絡的數(shù)據(jù)包文發(fā)往外部網(wǎng)絡

20、時，首先根據(jù)訪問列表判定是否是允許的數(shù)據(jù)包，然后根據(jù)轉(zhuǎn)換的關聯(lián)找到于之相對應的地址池，我們就可以把源地址轉(zhuǎn)換成這個地址池中的某一個地址，完成地址轉(zhuǎn)換。 HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 27第一章 NAT基本概念l內(nèi)部服務器映射表內(nèi)部服務器映射表 內(nèi)部服務器映射表是由NAT SERVER命令配置的，允許用戶依照自己的需要提供內(nèi)部服務。在轉(zhuǎn)換時，根據(jù)用戶的配置查找外部數(shù)據(jù)包的目的地址，如果是訪問內(nèi)部的服務器，則轉(zhuǎn)換成相應的內(nèi)部服務器的目的地址和端口，達到訪問內(nèi)部服務器的目的。還原時對源地址進行查找，判斷是否是從內(nèi)部服務器出

21、去的報文，如果是將源地址轉(zhuǎn)換成相應的外部地址。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 28第一章第一章 NAT基本概念基本概念第三章第三章 8070產(chǎn)品產(chǎn)品NAT實現(xiàn)實現(xiàn)第四章第四章 8011產(chǎn)品產(chǎn)品NAT實現(xiàn)實現(xiàn)HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 29第二章 NAT的基本工作原理lNAT在系統(tǒng)中的位置在系統(tǒng)中的位置 IPTCP/UDPLink LayerNATHUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential

22、 Page 30第二章 NAT的基本工作原理 NAT基本工作原理（以出口基本工作原理（以出口NAT為例）為例）l 在在IP層的出口處調(diào)用層的出口處調(diào)用NAT是否是LIST中允許的地址？建立新的HASH表項，記錄有關轉(zhuǎn)換信息,轉(zhuǎn)換地址以及端口Yes是否是內(nèi)部服務器的數(shù)據(jù)報由NATSERVER命令形成的關聯(lián)表No轉(zhuǎn)換源地址、源端口YesHASH表NoIP層HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 31第二章 NAT的基本工作原理l在在IP層的入口出調(diào)用層的入口出調(diào)用NAT是否是到內(nèi)部服務器的數(shù)據(jù)報？轉(zhuǎn)換目的地址和端口Yes由NATS

23、ERVER命令形成的關聯(lián)表是否是HASH表中的地址NoHASH表還原數(shù)據(jù)目的地址以及端口YesIP層NoHUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 32第二章 NAT的基本工作原理透明的地址分配透明的地址分配l靜態(tài)的地址分配指一個特定的主機使用固定的地址訪問外部的網(wǎng)絡。l動態(tài)的地址分配是指NAT在一些地址中挑選一個地址，做為內(nèi)部網(wǎng)絡的主機訪問外部網(wǎng)絡的IP地址。無論是那種，地址的分配應該對用戶來說是透明的。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 33第二章 NAT

24、的基本工作原理NAT的基本工作方式：的基本工作方式：lNAT一對一的地址轉(zhuǎn)換lPAT多對一的地址轉(zhuǎn)換lNPAT多對多的地址轉(zhuǎn)換HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 34第二章 NAT的基本工作原理lNAT方式方式HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 35第二章 NAT的基本工作原理NAT方式方式l在出方向上轉(zhuǎn)換IP報文頭中的源IP地址，而不對端口進行轉(zhuǎn)換。l在私有網(wǎng)絡地址和外部網(wǎng)絡地址之間建立一對一映射，實現(xiàn)比較簡單l只轉(zhuǎn)換IP報文頭中的IP地址，所以適用

25、于所有IP報文轉(zhuǎn)換HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 36第二章 NAT的基本工作原理PAT方式方式( 0: 1001 - 6: 23) - (00:12964 - 6: 23) (6: 23 - 00:12964) - (6: 23 - 0: 1001) HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 37第二

26、章 NAT的基本工作原理PAT方式方式lPAT（Port Address Translation）方式的地址轉(zhuǎn)換利用了TCP/UDP協(xié)議的端口號，進行地址轉(zhuǎn)換。lPAT方式的地址轉(zhuǎn)換是采用了“地址端口”的映射方式，因此可以使內(nèi)部局域網(wǎng)的許多主機共享一個IP地址訪問Internet。在私有網(wǎng)絡地址和外部網(wǎng)絡地址之間建立多對一映射。l不同的內(nèi)部網(wǎng)地址，轉(zhuǎn)換時采用相同的公網(wǎng)地址，并依靠不同的端口號來區(qū)分每一個內(nèi)部網(wǎng)主機。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 38第二章 NAT的基本工作原理NPAT方式方式( 0:

27、1001 - 6: 23) - (00:12964 - 6: 23) (:2001 - 7: 25) (6: 23 - 00:12964) - (6: 23 - 0: 1001) (7: 25 - :2001) HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 39第二章 NAT的基本工作原理NPAT方式方式lNPAT（N

28、at & Port Address Translation）方式的地址轉(zhuǎn)換也是利用了TCP/UDP協(xié)議的端口號，進行地址轉(zhuǎn)換。l私網(wǎng)地址和公網(wǎng)地址之間建立了多對多的映射關系。lNPAT方式也是采用“地址端口”的映射關系，因此可以使內(nèi)部局域網(wǎng)的多個主機共享多個IP地址訪問Internet。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 40第二章 NAT的基本工作原理內(nèi)部服務器內(nèi)部服務器l內(nèi)部服務器是一種反相的地址轉(zhuǎn)換。l地址轉(zhuǎn)換屏蔽了內(nèi)部網(wǎng)絡中的主機，而內(nèi)部服務器可以提供外部網(wǎng)絡訪問內(nèi)部網(wǎng)絡的服務?？梢耘渲肳WW、FTP、Te

29、lnet等服務。l內(nèi)部服務器映射表是由NAT SERVER命令配置的，在轉(zhuǎn)換時，根據(jù)用戶的配置查找外部數(shù)據(jù)包的目的地址，如果是訪問內(nèi)部的服務器，則轉(zhuǎn)換成相應的內(nèi)部服務器的目的地址和端口，達到訪問內(nèi)部服務器的目的。還原時對源地址進行查找，判斷是否是從內(nèi)部服務器出去的報文，如果是將源地址轉(zhuǎn)換成相應的外部地址。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 41第二章 NAT的基本工作原理l內(nèi)部服務器內(nèi)部服務器HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 42第二章 NAT的基本

30、工作原理l利用利用ACL控制地址轉(zhuǎn)換控制地址轉(zhuǎn)換不能訪問Internet可以使用地址轉(zhuǎn)換訪問InternetHUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 43第二章 NAT的基本工作原理支持特殊協(xié)議（支持特殊協(xié)議（ALG應用程序網(wǎng)關）應用程序網(wǎng)關）l地址轉(zhuǎn)換改變了IP數(shù)據(jù)包頭的IP地址信息，如果數(shù)據(jù)報文的載荷中含有地址信息，地址轉(zhuǎn)換就需要特殊處理，除了改變IP包頭的地址信息以外還需要改變數(shù)據(jù)報文中載荷中的地址信息。比較典型的應用是FTPl目前VRP NAT平臺支持FTP、Radius、L2tp、PPTP、CMC幾種特殊的協(xié)議。以及后

31、來支持的H.323、SMTP、DNS等。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 44第二章 NAT的基本工作原理以以FTP ALG為例：為例：l在TCP的應用FTP中，包含兩種連接：控制連接（會話）、數(shù)據(jù)連接（傳輸）。l其中控制連接是用大家都熟悉的21端口的TCP連接。數(shù)據(jù)連接卻是由客戶端“發(fā)起”的，它通過控制連接“通知”服務器它已經(jīng)初始化完的端口，F(xiàn)TP服務器通過20端口（默認情況）將數(shù)據(jù)傳送到客戶端。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential Page 45第二章 NAT的基本工作原理l以以FTP ALG為例（續(xù)）：為例（續(xù)）： 在通知服務器的時候，會用到“PORT命令”，其中在這次TCP連接的數(shù)據(jù)中是這樣的：“PORT 10,110,1,2,13,23AD”（表示：端口=13IP入端口-lFIB查找-lACL匹配重定向到NAT板下行-l查找NAT轉(zhuǎn)換表進行轉(zhuǎn)換-l（查找不成功按照報文類型決定添加表項還是丟棄，添加表項由微碼完成）l送自環(huán)物理接口至NAT板上行-lNAT板上行查找FIB-l送目的LPU板下行-l目的LPU板下行封裝、轉(zhuǎn)發(fā)HUAWEI TECHNOLOGIES CO., LTD.HUAWEI