P03 - Listes de contrôle d’accès (ACL) et NAT sur Cisco
1. Les ACL
Une ACL filtre les paquets sur un routeur (pare-feu « sans état » simple). Règles lues de haut en bas, la première qui correspond s’applique, et il y a un deny any implicite à la fin.
| Type | Numéros | Filtre sur | Où la placer |
|---|---|---|---|
| Standard | 1-99 | IP source uniquement | Près de la destination |
| Étendue | 100-199 | Source, destination, protocole, ports | Près de la source |
| Nommée | un nom | Standard ou étendue, plus lisible et modifiable |
Exemple : le VLAN invités (192.168.50.0/24) ne doit joindre que le Web, pas le LAN
ip access-list extended INVITES-IN
remark Invites : DNS et Web uniquement, pas d'acces aux reseaux internes
deny ip 192.168.50.0 0.0.0.255 10.0.0.0 0.255.255.255
deny ip 192.168.50.0 0.0.0.255 192.168.0.0 0.0.255.255
permit udp 192.168.50.0 0.0.0.255 any eq 53
permit tcp 192.168.50.0 0.0.0.255 any eq 80
permit tcp 192.168.50.0 0.0.0.255 any eq 443
deny ip any any log
exit
interface g0/0.50
ip access-group INVITES-IN inExemple : seul le VLAN admin accède en SSH au routeur
ip access-list standard ADMIN-SSH
permit 192.168.99.0 0.0.0.255
line vty 0 4
access-class ADMIN-SSH in| Mot-clé | Sens |
|---|---|
any | n’importe quelle adresse (= 0.0.0.0 255.255.255.255) |
host 10.0.0.5 | une seule adresse (= 10.0.0.5 0.0.0.0) |
eq 443 / range 20 21 / gt 1023 | port égal / plage / supérieur |
established | paquets d’une connexion TCP déjà ouverte |
Vérifier : show access-lists (compteurs de correspondances), show ip interface g0/0.50.
2. Le NAT
NAT = traduction d’adresses : les IP privées (RFC 1918) ne circulent pas sur Internet ; le routeur les remplace par son IP publique.
flowchart LR PC["PC 192.168.10.5:51000"] -->|"src 192.168.10.5"| R{{"Routeur NAT<br/>inside g0/0 | outside g0/1<br/>IP publique 203.0.113.10"}} R -->|"src 203.0.113.10:51000"| WEB["Serveur web Internet"] WEB -->|"dst 203.0.113.10:51000"| R R -->|"table NAT → dst 192.168.10.5"| PC
| Type | Principe | Usage |
|---|---|---|
| NAT statique | 1 IP privée ↔ 1 IP publique, permanent | Publier un serveur |
| NAT dynamique | Pool d’IP publiques | Rare |
| PAT / NAT overload | Toutes les IP privées ↔ 1 IP publique, différenciées par le port | Accès Internet (ta box) |
| Redirection de port | IP publique:port → IP privée:port | Publier un service précis |
interface g0/0
ip nat inside
interface g0/1
ip nat outside
exit
! PAT : tout le 192.168.0.0/16 sort avec l'IP de g0/1
access-list 1 permit 192.168.0.0 0.0.255.255
ip nat inside source list 1 interface g0/1 overload
! NAT statique : publier le serveur web interne
ip nat inside source static tcp 192.168.20.10 80 interface g0/1 80Vérifier : show ip nat translations, show ip nat statistics.
Équivalents vus en cours : MASQUERADE / DNAT sous Linux (S03 - Pare-feu Linux (iptables et nftables)), Outbound NAT / Port Forward sous pfSense (S02 - pfSense).