網(wǎng)絡(luò)規(guī)劃與設(shè)計(jì)補(bǔ)充內(nèi)容ppt課件

1、下一代的網(wǎng)際協(xié)議IPv6IPv6新特性：1、更大的地址空間2、簡(jiǎn)化了首部格式3、靈活的協(xié)議4、允許對(duì)資源預(yù)分配5、允許協(xié)議繼續(xù)演變（1版本(version)（2通信量類(traffic class)（3流標(biāo)號(hào)(flow label)（4有效載荷長(zhǎng)度(payload length)（5下一個(gè)首部(next header)（6跳數(shù)限制(hop limit)（7源地址（8目的地址六種擴(kuò)展首部：六種擴(kuò)展首部： 逐跳選項(xiàng)逐跳選項(xiàng) 路由選擇路由選擇 分片分片 鑒別鑒別 封裝安全有效載荷封裝安全有效載荷 目的站選項(xiàng)目的站選項(xiàng)擴(kuò)展首部IPv6保留了IPv4分片的大部分特征，其分片擴(kuò)展首部共有以下幾個(gè)字段：（1

2、下一個(gè)首部(8 bit)（2保管(10 bit)（3片偏移(13 bit)（4M(1 bit)（5標(biāo)識(shí)符(32 bit)私有地址私有地址1.靜態(tài)NAT內(nèi)部主機(jī)地址被一對(duì)一映射到外部主機(jī)地址Pc1:-Pc2:-Pc3:-Pc4:-?XNAT分類NAT分類2. 動(dòng)態(tài)NAT內(nèi)部主機(jī)使用地址池中的公網(wǎng)地址來(lái)映射Pc1:-Pc2:-3. 端口復(fù)用(PAT) 端口復(fù)用的特征是內(nèi)部多個(gè)

3、私有地址通過(guò)不同的端口被映射到一個(gè)公網(wǎng)地址，Overloading, or Port 理想狀況下，一個(gè)單一的IP地址可以使用的端口數(shù)為4000個(gè)。 NAT分類配置NAT靜態(tài)NAT配置實(shí)例靜態(tài)NAT配置實(shí)例r1(config)#ip nat inside source static r1(config)#ip nat inside source static r1(config)#interface f0/0r1(config-if)#ip nat inside r1(config)#int s0/0r1(c

4、onfig-if)#ip nat outside 靜態(tài)NAT配置實(shí)例r1# debug ip nat IP NAT debugging is on00:11:09: NAT: s=-, d= 4093600:11:09: NAT*: s=, d=- 40936r1# sh ip nat translations Pro Inside global Inside local Outside local Outside global- - -

5、動(dòng)態(tài)NAT配置實(shí)例動(dòng)態(tài)NAT配置實(shí)例r1(config)#ip nat pool NAT 0 netmask r1(config)#access-list 1 permit 55r1(config)#ip nat inside source list 1 pool NATr1(config)#interface f0/0r1(config-if)#ip nat inside r1(config)#int s0/0r1(config-if)#ip nat outside 動(dòng)態(tài)NAT配置

6、實(shí)例r1# debug ip nat 00:45:40: NAT: s=-, d= 3893000:45:40: NAT*: s=, d=- 3893000:46:03: NAT: s=-, d= 3896100:46:03: NAT*: s=, d=- 3896100:46:27: NAT: s=-, d= 3899

7、3動(dòng)態(tài)NAT配置實(shí)例r1#sh ip nat translations Pro Inside global Inside local Outside local Outside global- - - - - -r1#clear ip nat translation *r1#sh ip nat translations PAT配置實(shí)例PAT配置實(shí)例r1(config)#ip nat pool NAT 0

8、netmask r1(config)#access-list 1 permit 55r1(config)#ip nat inside source list 1 pool NAT overloadr1(config)#interface f0/0r1(config-if)#ip nat inside r1(config)#int s0/0r1(config-if)#ip nat outside r1(config)#ip route PAT配置實(shí)例 (PAT Example)r1

9、#sh ip nat translations Pro Inside global Inside local Outside local Outside globalicmp :1792 :1792 :1792 :1792icmp :1024 :1792 :1792 :1024NAT排錯(cuò)路由器DHCP服務(wù) ip dhcp pool global /global是pool namenetwork /動(dòng)態(tài)分配的地址段i

10、p dhcp excluded-address 9 /不用于分配的地址ip dhcp excluded-address 40 54domain-name client /為客戶機(jī)配置域后綴 dns-server /配置dns服務(wù)器netbios-name-server /配置wins服務(wù)器 lease 3 /地址租用期限ip dhcp pool vlan1network /本pool是global子pooldef

11、ault-router 00 01 /配置默認(rèn)網(wǎng)關(guān) no service dhcp /停止DHCP服務(wù)sh ip dhcp binding /顯示地址分配情況 show ip dhcp conflict /顯示地址沖突情況路由器DHCP服務(wù)Router1#show ip dhcp bindingIP address Hardware address Lease expiration Type1 0100.0103.85e9.87 Apr 10 2019 08:55 PM Automatic2 0100.50da.2a5e.

12、a2 Apr 10 2019 09:00 PM Automatic3 0100.0103.ea1b.ed Apr 10 2019 08:58 PM Automatic 路由器DHCP服務(wù)ACL1限制網(wǎng)絡(luò)流量、提高網(wǎng)絡(luò)性能。 2提供對(duì)通信流量的控制手段。3提供網(wǎng)絡(luò)訪問(wèn)的基本安全手段。4在路由器接口處，決定哪種類型的通信流量被轉(zhuǎn)發(fā)、哪種類型的通信流量被阻塞。 ACL如何工作ACL條件順序ACL條件順序 Cisco IOS按照各描述語(yǔ)句在ACL中的順序，根據(jù)各描述語(yǔ)句的判斷條件，對(duì)數(shù)據(jù)包進(jìn)行檢查。一旦找到了某一匹配條件，就結(jié)束比較過(guò)程，不再檢查以后的其他條件判斷語(yǔ)句。 規(guī)范 AC

13、L 規(guī)范 ACL （ Standard ACL ） 檢查源地址Checks Source address ） 允許或拒絕整個(gè)協(xié)議族Generally permits or denies entire protocol suite）OutgoingPacketfa0/0S0/0IncomingPacketAccess List ProcessesPermit?Source 擴(kuò)展 ACL （ Extended ACL ） 檢查源和目的地址 （ Checks Source and Destination address） 通常允許或拒絕特定的協(xié)議 （Generally permits or deni

14、es specific protocols）OutgoingPacketFa0/0s0/0IncomingPacketAccess List ProcessesPermit?Sourceand DestinationProtocol擴(kuò)展 ACL用擴(kuò)展ACL檢查數(shù)據(jù)包常見(jiàn)端口號(hào)端口號(hào)(Port Number)20文件傳輸協(xié)議（FTP）數(shù)據(jù)21文件傳輸協(xié)議（FTP）程序23遠(yuǎn)程登錄（Telnet）25簡(jiǎn)單郵件傳輸協(xié)議（SMTP）69普通文件傳送協(xié)議（TFTP）80超文本傳輸協(xié)議(HTTP)53域名服務(wù)系統(tǒng)（DNS）ACL表號(hào)協(xié)議（Protocol）ACL表號(hào)的取值范圍（ACL Range）IP（I

15、nternet協(xié)議）1-99Extended IP(擴(kuò)展Internet協(xié)議)100-199AppleTalk600-699IPX（互聯(lián)網(wǎng)數(shù)據(jù)包交換）800-899Extended IPX(擴(kuò)展互聯(lián)網(wǎng)數(shù)據(jù)包交換)900-999IPX service Advertising Protocol(IPX服務(wù)通告協(xié)議)1000-1099通配符掩碼Wildcard Mask ） 1.是一個(gè)32比特位的數(shù)字字符串2.0表示“檢查相應(yīng)的位”,1表示“不檢查忽略相應(yīng)的位”特殊的通配符掩碼1. Any 552. Host9 Host 1

16、9Access List 命令Step 1:定義訪問(wèn)控制列表定義訪問(wèn)控制列表Define the ACL）access-list access-list-number permit | deny test conditions Router(config)#Router(config)#access-list 1 permit 55Step 2:將訪問(wèn)控制列表應(yīng)用到某一接口上將訪問(wèn)控制列表應(yīng)用到某一接口上（Apply ACL to a Interface） protocol access-group access-list-numbe

17、r in | out Router(config-if)#Access List 命令Router(config-if)#ip access-group 1 out僅允許我的網(wǎng)絡(luò)Permit my network only）access-list 1 permit 55(implicit deny all - not visible in the list)(access-list 1 deny 55)interface ethernet 0ip access-group 1 outinterface ether

18、net 1ip access-group 1 out標(biāo)準(zhǔn)IP ACL實(shí)例13E0S0E1Non-access-list 1 deny 3 access-list 1 permit 55(implicit deny all)(access-list 1 deny 55)interface ethernet 0ip access-group 1 out標(biāo)準(zhǔn)IP ACL實(shí)例2172.

19、16.4.03E0S0E1Non-拒絕特定的主機(jī)Deny a specific host）access-list 1 deny 55access-list 1 permit any(implicit deny all)(access-list 1 deny 55)interface ethernet 0ip access-group 1 out標(biāo)準(zhǔn)IP ACL實(shí)例33E0S0E1Non-拒絕特定的子

20、網(wǎng)Deny a specific subnet）擴(kuò)展ACL配置Router(config)# access-list access-list-number permit | deny protocol source source-wildcard operator port destination destination-wildcard operator port established log參數(shù)參數(shù)參數(shù)描述參數(shù)描述access-list-number訪問(wèn)控制列表表號(hào)訪問(wèn)控制列表表號(hào)permit|deny如果滿足條件，允許或拒絕后面指定特定地址的通信流如果滿足條件，允許或拒絕后面指定特定地

21、址的通信流量量protocol用來(lái)指定協(xié)議類型，如用來(lái)指定協(xié)議類型，如IPIP、TCPTCP、UDPUDP、ICMPICMP等等source and destination分別用來(lái)標(biāo)識(shí)源地址和目的地址分別用來(lái)標(biāo)識(shí)源地址和目的地址source-mask通配符掩碼，跟源地址相對(duì)應(yīng)通配符掩碼，跟源地址相對(duì)應(yīng)destination-mask通配符掩碼，跟目的地址相對(duì)應(yīng)通配符掩碼，跟目的地址相對(duì)應(yīng)operator lt,gt,eq,neq(lt,gt,eq,neq(小于，大于，等于，不等于小于，大于，等于，不等于) ) operand一個(gè)端口號(hào)一個(gè)端口號(hào)established如果數(shù)據(jù)包使用一個(gè)已建立連接

22、，便可允許如果數(shù)據(jù)包使用一個(gè)已建立連接，便可允許TCPTCP信息通過(guò)信息通過(guò)access-list 101 deny tcp 55 55 eq 21access-list 101 deny tcp 55 55 eq 20access-list 101 permit ip any any(implicit deny all)(access-list 101 deny ip 55 255.255.2

23、55.255)interface ethernet 0ip access-group 101 out 拒絕從到的經(jīng)過(guò)E0出方向的FTP流量 Deny FTP from subnet to subnet out of E0 允許其他所有的流量 Permit all other traffic擴(kuò)展ACL實(shí)例13E0S0E1Non-access-list 101 deny tcp 55 any eq 2

24、3access-list 101 permit ip any any(implicit deny all)interface ethernet 0ip access-group 101 out僅拒絕子網(wǎng) 在E0出方向的流量Deny only Telnet from subnet 172.1 6.4.0 out of E0允許其他流量Permit all other traffic）實(shí)例 23E0S0E1Non-標(biāo)準(zhǔn)ACL與擴(kuò)展ACL比較規(guī)范規(guī)范Standard）擴(kuò)展擴(kuò)展Ex

25、tended）過(guò)濾基于源過(guò)濾基于源（Filters Based onSource.）過(guò)濾基于源和目的（過(guò)濾基于源和目的（ Filters Based on Source and destination.）允許或拒絕整個(gè)協(xié)議族允許或拒絕整個(gè)協(xié)議族Permit or deny entire TCP/IP protocol suite.）允許或拒絕特定的允許或拒絕特定的IP協(xié)議或端口協(xié)議或端口（Specifies a specific IP protocol and port number.）范圍范圍100-199）Range is 100 through 199.范圍范圍1-99）Range is

26、 1 through 99命名IP ACLRouter(config)#ip access-list standard | extended name IOS11.2 以后支持的特征以后支持的特征 Feature for Cisco IOS Release 11.2 or later 名字字符串要唯一名字字符串要唯一 Name string must be unique使用命名IP ACL permit | deny ip access list test conditions permit | deny ip access list test conditions no permit | d

27、eny ip access list test conditions Router(config std- | ext-nacl)# 允許或拒絕陳述條件前沒(méi)有表號(hào)允許或拒絕陳述條件前沒(méi)有表號(hào) Permit or deny statements have no prepended number 可以用可以用“NO命令移去特定的陳述命令移去特定的陳述 no removes the specific test from the named access list 創(chuàng)建一個(gè)擴(kuò)展的命名訪問(wèn)控制表，拒絕子網(wǎng)絡(luò)的telnet的數(shù)據(jù)通過(guò)F0端口轉(zhuǎn)發(fā)到網(wǎng)絡(luò)。 Ip acc

28、ess-list extended ACL1 Deny tcp 55 55 eq 23 Permit ip any any Interface Fastethernet 0/0 Ip access-group ACL1 out擴(kuò)展ACL靠近源Place extended access lists close to the source標(biāo)準(zhǔn)ACL靠近目的Place standard access lists close to the destinationE0E0E1S0To0S1S0S1E0E0TokenRing放置ACLwg_ro_a#show ip int e0Ethernet0 is up, line protocol is up Internet address is 1/24 Broadcast address is 255.2