目录
ACL --- 访问控制列表
ACL访问控制列表的作用
ACL列表的分类---华为体系
示例及配置方法
需求一
需求二
需求三
VLAN --- 虚拟局域网
VLAN中的数据传输
配置过程
1、创建VLAN
2、将接口划入VLAN
3、配置Trunk干道
4、VLAN间的路由
NAT --- 网络地址转换
公网与私网
NAT的分类和配置
静态NAT --- 一对一的NAT
动态NAT --- 多对多的NAT
NAPT --- 网络地址端口转换 --- PAT
端口映射
ACL --- 访问控制列表
策略中的一种，很多网络设备都可以进行配置。匹配到流量后进行控制手段。
策略 --- 为达到想要的控制手段而配置的一组条件、约束和设置。
ACL访问控制列表的作用
以路由器为例：
1，访问控制：在路由器流量流入或流出的接口上，匹配流量，然后执行设定好的动作 --- permit（允许）或者deny（拒绝）。（进行流控）
2，抓取感兴趣流：ACL的另一个作用就是和其他服务（QOS）结合使用。ACL只负责抓取流量，动作由其他服务来执行。
ACL列表的匹配规则：自上而下，逐一匹配。如果匹配到了，则执行对应的动作，则不再向下匹配。
思科设备：ACL列表末尾默认包含一条拒绝所有的规则。（即不再列表中的流量就都拒绝）
华为：ACL列表末尾没有包含任何规则。（即不会限制不在列表中的流量）
ACL列表的分类---华为体系
1、基础ACL：仅关注数据包中的源IP地址 --- “只关注你是谁”。
2、高级ACL：不仅关注数据包中的源IP地址，还关注目标IP地址，以及协议和端口号 --- “不仅关注你是谁，还关注你去哪，干啥”。
3、二层ACL
4、用户自定义ACL列表
示例及配置方法
需求一
要求PC1可以访问3.0网段，但是PC2不行。
基础ACL配置的位置原则：因为基础ACL只关注源IP地址，所以，可能会造成误伤，所以，建议基础ACL配置位置越靠近目标越好。
基础ACL配置：
1，创建ACL列表 --- 系统视图
[Huawei] acl 2000 （列表编号，因数据大小电脑判断为不同列表）
INTEGER<2000-2999> Basic access-list(add to current using rules) --- 基础ACL
INTEGER<3000-3999> Advanced access-list(add to current using rules) --- 高级ACL
INTEGER<4000-4999> Specify a L2 acl group --- 二层ACL
[r2-acl-basic-2000]
2，在ACL列表中添加规则
[Huawei-acl-basic-2000] rule deny （规则，允许或者拒绝） source 192.168.1.3 （允许或者拒绝的流量的源IP地址） 0.0.0.0 （ 通配符：0代表不可变，1代表可变，通配符和反掩码不同，它可以0和1穿插着使用。）
[Huawei-acl-basic-2000] rule permit source any
--- 允许所有流量通过（除了其他规则规定的）
[Huawei-acl-basic-2000]rule 1 deny source 192.168.1.3 0.0.0.0 --- 手动添加规则序号
[Huawei]display acl 2000（列表序号） --- 查看ACL列表
每一个规则后都跟一个序号，用来标记该规则。序号间间隔为5，这个5被称为步调。
华为的规则默认以5为步调自动添加序号，目的为了方便插入规则。
[Huawei-acl-basic-2000] undo rule 1 （规则序号）
--- 删除规则
3，在接口上调用ACL列表
[Huawei-GigabitEthernet0/0/1] traffic-filter outbound （选择入或者出接口）
acl 2000 （列表序号）
一个接口的一个方向上只能调用一张ACL列表。
需求二
要求PC1可以ping通PC3，但是不能ping通PC4。
高级ACL列表配置位置原则：因为高级ACL列表可以进行精准的匹配，所以，位置应该放在尽可能靠近源的地方，可以节约链路资源。
[Huawei] acl name xuqiuer （自定义名称）
3000 （列表序号）
--- 通过重命名的方法来创建高级ACL列表。
[Huawei-acl-adv-xuqiuer]
高级ACL列表规则：
[Huawei-acl-adv-xueqiuer] rule deny ip （选择协议）
source 192.168.1.2 0.0.0.0 （源IP）
destination 192.168.3.3 0.0.0.0 （目标IP） --- 添加目标IP限制
[Huawei-GigabitEthernet0/0/0] traffic-filter inbound （入或者出接口）
acl name xuqiuer
--- 通过调用名称来调用列表
需求三
要求AR3可以ping通R2，但是不能telnetR2。
telnet使用的是TCP的23号端口。
[Huawei-acl-adv-xuqiuer] rule deny tcp （协议）
source 192.168.1.10 0.0.0.0 destination 192.168.2.2 0.0.0.0 destination-port eq （可以选择eq、gt、it、range，分别代表“=”、“>”、“<”、“范围”）
23 （端口号）
注意：这个需求要求不能telnetR2，以上这样写只能在IP地址为192.168.2.2的那一个接口拒绝，而路由器有多个接口，要想绝对不能telnet，其他接口也应该填写相应的规则。
VLAN --- 虚拟局域网
V --- Virtual --- 虚拟
LAN --- 局域网
MAN --- 城域网
WAN --- 广域网
VLAN：虚拟广播域 --- 交换机和路由器协同工作后，将原来的一个广播域，逻辑上切分为多个。（虚拟的，但能起到隔离广播域的作用。）
VLAN中的数据传输
VID配置映射到交换机的接口上，实现VLAN范围的划分，称为物理VLAN或一层VLAN。
VID配置映射到数据帧中的MAC地址上，实现VLAN的划分称为二层VLAN。
VID可以配置映射到数据帧中类型字段（Type）上，实现VLAN的划分称为三层VLAN。
如果有多台交换机相连，每一天交换机都有几个VLAN，那么相同的VID的VLAN应属于同一个广播域。这些相同VID的VLAN通过交换机传递信息。
交换机如何区分不同VLAN的数据包呢？
802.1Q标准规定在以太网Ⅱ型帧源MAC地址和类型字段之间，增加了4个字节的tag，其中包含12位的VID。因此叫做802.1Q帧，也叫Tagged帧。这个tag在从交换机发往交换机的接口会添上，而发往电脑时交换机会将此tag去除。
注意：电脑只能识别普通的以太网Ⅱ型帧，也叫Untagged帧。（不带tag）
根据以上特性，我们将交换机和电脑之间的链路称为 Access链路 （交换机侧的接口称为 Access接口），这些链路中，只能通过Untagged帧，并且这些帧只能属于某一种特定的VLAN；交换机和换机之间的链路，我们称为 Trunk干道（交换机侧的接口称为 Trunk接 口），这些链路允许通过tagged帧，并且这些帧可以属于多种VLAN。
配置过程
在交换机上配置。交换机也使用VRP操作系统。
配置时不同VLAN可以是一个网段，但这样不同网段间就永远不能通信。所以在配置时应该将不同的VLAN配置不同的网段，进而通过路由器进行数据传输。
1、创建VLAN
<Huawei> display vlan --- 查看设备VLAN的配置信息
VLAN ID --- 用来区分和标定不同的VLAN
交换机在没有进行配置的时候，默认存在一个VLAN，其VID（VLAN ID）为1。所有接口都划分到该区域。
802.1Q标准对VID进行设定 --- 12位二进制构成的 --- 取值范围是0 - 4095。因为0和4095这两个数字保留，真实的取值范围1 - 4094。
[Huawei] vlan 2 （VID）
[Huawei-vlan2]
[Huawei] vlan batch 4 to 100 （范围） --- 批量创建VLAN
Info: This operation may take a few seconds. Please wait for a moment...done.
[Huawei] undo vlan batch 4 to 100 （范围） --- 批量删除
Warning: The configurations of the VLAN will be deleted. Continue?[Y/N]: y
2、将接口划入VLAN
[Huawei-GigabitEthernet0/0/1] port link-type access --- 定义接口类型
[Huawei-GigabitEthernet0/0/1] port default vlan 2 （VID） --- 定义通过该接口的流量归属
[Huawei] port-group group-member GigabitEthernet 0/0/3 GigabitEthernet 0/0/4 ---创建接口组
[Huawei-port-group] --- 接口组视图，相当于给组中所有接口配置
3、配置Trunk干道
[Huawei-GigabitEthernet0/0/5] port link-type trunk （接口类型）
[Huawei-GigabitEthernet0/0/5] port trunk allow-pass vlan 2 to 3 （允许通过的区域流量，如果不写就代表允许所有。也可以不写to改写2 3，代表2和3）
[Huawei-GigabitEthernet0/0/3] port trunk allow-pass vlan all --- 放通所有VLAN的流量
4、VLAN间的路由
可以用路由器的不同接口去连接不同的交换机来进行网段分配（此时路由器接口应为Access接口），但这样浪费资源且路由器接口有限，这时候应该进行子接口的配置。这样就可以使用一个接口进行多个VLAN的数据传递 --- 单臂路由（此时接口应为Trunk接口）。
创建子接口 --- 单臂路由
[Huawei] interface GigabitEthernet 0/0/0.1 （小数点后加数字可取范围是 1-4096
，代表该接口的子接口。虚拟的。）
子接口虽然是虚拟的，但待遇与真实设备相同。子接口专门为VLAN准备。
[Huawei-GigabitEthernet0/0/0.1] dot1q （802.1Q的别名，表明要遵循802.1Q标准）
termination vid 2
--- 开启识别tag并将该子接口划入VLAN
[Huawei-GigabitEthernet0/0/0.1] arp broadcast enable --- 开启ARP广播应答
因为子接口不会响应ARP广播。
注意：每一个VLAN都应该有一个子接口管理。
NAT --- 网络地址转换
他的基本任务就是实现私网地址和公网地址之间的一个转换。当私网想要访问公网时，数据包到达该私网的最后一个路由器时，该路由器会将该数据包的源IP地址修改为一个公网地址后发往公网。
这个技术用于解决IP地址（IPV4）不够的问题。
公网与私网
在IP地址中，A，B，C三类地址中各有一部分地址，他们被称为私有IP地址（私网地址），其余的被称为公有IP地址（公网地址）。我们一般习惯性的将使用私网IP地址构成的网络称为 私网，使用公网IP地址构成的网路称为 公网。
A：10.0.0.0 - 10.255.255.255 --- 相当于1条A类网段
B：172.16.0.0 - 172.31.255.255 --- 相当于16条B类网段
C：192.168.0.0 - 192.168.255.255 --- 相当于256条C类网段
我们要求这些私网地址可以重复使用，仅需保证私网内部唯一即可，但是，不允许他们在互联网中使用。
NAT的分类和配置
华为设备所有和NAT相关的配置都是在边界路由器的出接口上配置的。
静态NAT --- 一对一的NAT
静态NAT就是通过在边界路由器上维护一张 静态地址映射表 。静态地址映射表中记录的是私网IP地址和公网IP地址之间一一对应的关系。即一个私网地址对应一个公网地址，当该私网地址想要访问公网时，将那个私网地址（源IP）在边界路由器上转换为公网地址，当访问流量从公网回到私网时，再由边界路由器将目标IP改回到私网地址
[Huawei-GigabitEthernet0/0/2] nat static global 12.0.0.3 （公） inside 192.168.1.2 （私）
注意：该公网IP必须包含在边界路由器与公网相连的那个网段里。且这个IP地址必须是花钱在运营商处买到的合法公网地址。
[Huawei]display nat static --- 查看静态地址映射表
动态NAT --- 多对多的NAT
动态NAT就是通过在边界路由器上维护一张 动态地址映射表 。可以实现多对多的NAT转换，但是，在同一时刻，依然是一对一的过程。如果上网需求较大时，需要排对等待。（出去一个记一个，回来一个删一个）
1，创建公网地址池
[Huawei] nat address-group 0 （地址池编号） 12.0.0.4 12.0.0.8 （公网IP，必须是连续的）
2，通过ACL列表抓取私网流量
[Huawei-acl-basic-2000] rule permit source 192.168.0.0 0.0.255.255 （抓取源IP为这些的数据包）
3，在接口上配置动态NAT
[Huawei-GigabitEthernet0/0/2] nat outbound 2000 （接口和ACL列表序号） address-group 0 no-pat （）
NAPT --- 网络地址端口转换 --- PAT
可以实现一对多（easy IP），也可以多对多。
在边界路由器中的映射表中相比动态NAT加入端口号进行记录。
多对多的配置：与动态NAT几乎相同
1，创建公网地址池
[Huawei] nat address-group 0 12.0.0.4 12.0.0.8
2，通过ACL列表抓取私网流量
[Huawei-acl-basic-2000] rule permit source 192.168.0.0 0.0.255.255
3，在接口上配置动态NAT
[Huawei-GigabitEthernet0/0/2] nat outbound 2000 address-group 0
Easy ip：只需要一个公网地址，即边界路由器通往公网的接口IP地址。
1，通过ACL列表抓取私网流量
[Huawei-acl-basic-2000] rule permit source 192.168.0.0 0.0.255.255
2，在接口上配置easy ip
[Huawei-GigabitEthernet0/0/2] nat outbound 2000
端口映射
从公网访问私网时使用。通过在边界路由器的地址映射表中写入一条需要访问的对象的私网IP&端口号与需要访问该IP的信息的端口号对应的信息。
[Huawei-GigabitEthernet0/0/2]nat server protocol tcp（协议） global current-interface 80（公网发送到私网的信息的端口号） inside 192.168.1.10（想要访问的私网对象的IP） 80（想要访问的私网对象的端口号）
如果想要访问的私网中有两个端口号相同的（运行HTTP的服务器）的设备，就将访问其中一台的端口号写为其他随机的端口号对应该设备的私网IP。
例如结合上面：[Huawei-GigabitEthernet0/0/2]nat server protocol tcp global current-interface 8080 inside 192.168.1.20 80
