《AC的基本原理、功能与局限性.docVIP

ACL的基本原理、功能与局限性 　　网络中常说的ACL是Cisco IOS所提供的一种访问控制技术，初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分必威体育精装版的二层交换机如2950之类也开始提供ACL的支持。只不过支持的特性不是那么完善而已。在其它厂商的路由器或多层交换机上也提供类似的技术，不过名称和配置方式都可能有细微的差别。本文所有的配置实例均基于Cisco IOS的ACL进行编写。基本原理：ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。功能：网络中的节点资源节点和用户节点两大类，其中资源节点提供服务或数据，用户节点访问资源节点所提供的服务与数据。ACL的主要功能就是一方面保护资源节点，阻止非法用户对资源节点的访问，另一方面限制特定的用户节点所能具备的访问权限。配置ACL的基本原则：在实施ACL的过程中，应当遵循如下两个基本原则：u 最小特权原则：只给受控对象完成任务所必须的最小的权限u 最靠近受控对象原则：所有的网络层访问权限控制局限性：由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到end to end的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。ACL配置技术详解“做为一个网管，我不期望普通用户能telnet到网络设备”――ACL基础“补充一点，要求能够从我现在的机器(研发VLAN的6)上telnet到网络设备上去。”。hamm，是个不错的主意，谁都不希望有人在自己的花园中撤野。让我们分析一下，在A公司的网络中，除出口路由器外，其它所有的网络设备段的是放在Vlan1中，那个我只需要在到VLAN 1的路由器接口上配置只允许源地址为6的包通过，其它的包通通过滤掉。这中只管源IP地址的ACL就叫做标准IP ACL：我们在SWA上进行如下的配置：access-list 1 permit host 6access-list 1 deny anyint vlan 1ip access-group 1 out这几条命令中的相应关键字的意义如下：access-list：配置均ACL的关键字，所有的ACL均使用这个命令进行配置。access-list后面的1：ACL号，ACL号相同的所有ACL形成一个组。在判断一个包时，使用同一组中的条目从上到?鹨唤信卸希挥龅铰愕奶跄烤椭罩苟愿冒呐卸稀?-99为标准的IP ACL号，标准IP ACL由于只读取IP包头的源地址部分，消耗资源少。 permit/deny：*作。Permit是允许通过，deny是丢弃包。host 6/any：匹配条件，等同于6 。刚才说过，标准的ACL只限制源地址。Host 6(6 )的意思是只匹配源地址为6的包。是wildcards，某位的wildcards为0表示IP地址的对应位必须符合，为1表示IP地址的对应位不管是什么都行。简单点说，就是55减去子网掩码后的值，的wildcards就是意味着IP地址必须符合6，可以简称为host 6。any表示匹配所有地址。注意：IOS中的ACL均使用wildcards，并且会用wildcards对IP地址进行严格的对齐，如你输入一条access-list 1 permit 29 1，在你show access-list看时，会变成access-list 1 permit 28 1，PIXOS中的ACL均使用subnet masks，并且不会进行对齐*作。更为详细的关于IP V4地址的资料可以参见拙著《IP v4基础知识》/s ... s=articleid=60 一文int vlan1///ip access-group 1 out：这两句将access-list 1应用到vlan1接口的out方向。其中1是ACL号，和相应的ACL进行关联。Out是对路由器该接口上哪个方向的包进行过滤，可以有in和out两种选择。注意：这里的in/out都是站在路由器或三层模块（以后简称R）上看的，in表示从该接口进入R的包，out表示从该接口出去的包。好了，这就是一个最基本的ACL的配置方法。什么，你说普通用户还能telnet到RTA？那你在int vlan3上现加一个ip access-group 1 out吧。Hammmm，等等，你这样加上去普通用户就访问不了internet了。让我们把刚才的ACL去掉，重新写一个。回忆一下，我们的目的是除了6能够进行telnet*作外，其它用户都不允许进行telnet*作。刚才我们说过