ACL技术原理浅析及实例.docx

?

?

ACL技术原理浅析及实例

?

?

论文导读：也可以按照网段进行大范围的访问控制管理。个标准IP访问控制列表匹配IP包中的源地址或源地址中的一部分。编号范围是从1到99的访问控制列表是标准IP访问控制列表。扩展配置，ACL技术原理浅析及实例。

关键词：IP，访问控制，标准，扩展配置

?

一、引言：

ACL是一种基于包过滤的流控制技术，在路由器中被广泛采用，它可以有效的在三层上控制网络用户对网络资源的访问，既可以具体到两台网络设备间的网络应用，也可以按照网段进行大范围的访问控制管理。通过实施ACL，可以有效的部署企业网络出网策略，也可以用来控制对局域网内部资源的访问能力，保障资源安全性，但会增加增加路由器开销，也会增加管理的复杂度和难度，是否采用ACL技术，是管理效益与网络安全之间的一个权衡。初期仅在路由器上支持ACL，近些年来已经扩展到三层交换机，部分二层交换机如2950之类也开始提供ACL的支持。

二、概述：

1．ACL工作原理：

ACL：AcessControlList，即访问控制列表。这张表中包含了匹配关系、条件和查询语句，ACL表只是一个框架结构，其目的是为了对某种访问进行控制，使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。(注意：过滤的依据仅仅只是第三层和第四层包头中的部分信息，如无法识别到具体的人，无法识别到应用内部的权限级别等。论文写作，扩展配置。因此，要和系统级及应用级的访问权限控制结合使用)

ACL中规定了两种操作，所有的应用都是围绕这两种操作来完成的：允许、拒绝。ACL主要用于对入站数据、出站数据、被路由器中继的数据进行控制。

2．ACL工作过程：

(1)无论路由器上有没有ACL，接到数据包后，当数据进入某个入站口时，路由器首先对其进行检查，看其是否可路由，如果不可路由那么就丢弃，否则通过查路由选择表发现该路由的详细信息及对应的出接口；

(2)假设可路由，则找出要将其送出站的接口，此时路由器检查该出站口有没有被编入ACL，没有，则直接从该口送出。如果有ACL，路由器将依照从上到下的顺序依次将该数据和ACL进行匹配，逐条执行，如果与其中某条ACL匹配，根据该ACL指定操作对数据进行相应处理（允许或拒绝），并停止继续查询；如果查到ACL的末尾也未找到匹配，则调用ACL最末尾的一条隐含语句denyany将该数据包丢弃；

(3)ACL有两种类型：入站ACL和出站ACL。上面的工作过程的解释是针对出站ACL，它是在数据包进入路由器并进行了路由选择找到了出接口后进行的匹配操作；而入站ACL是指当数据刚进入路由器接口时进行的匹配操作，减少了查表过程，但并不能说入站表省略了路由过程就认为它较之出站表更好，要依照实际情况。

三、主要ACL技术

访问控制列表大的划分可分为两类：标准访问控制列表和扩展访问控制列表，他们的命令都具有基本格式：Access-listaccess-list-number{permit/deny}match-condition

1．标准IP访问控制列表

一个标准IP访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的包采取拒绝或允许两个操作。论文写作，扩展配置。编号范围是从1到99的访问控制列表是标准IP访问控制列表。

2．扩展IP访问控制列表

扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。编号范围是从100到199的访问控制列表是扩展IP访问控制列表。

3．命名的IP访问控制列表

所谓命名的IP访问控制列表是以列表名代替列表编号来定义IP访问控制列表，同样包括标准和扩展两种列表，定义过滤的语句与编号方式中相似。

实际依据具体需要而选用不同的控制列表。论文写作，扩展配置。

四、配置ACL实例

总体思想是先在全局配置模式下设置ACL，后在接口配置模式下将ACL绑定到端口，越精确的表项越靠前，而越笼统的表项越靠后放置。

1．ACL标准控制列表配置实例：

要求网络/24网段上的服务器资源禁止被/24网段上的主机访问。

配置如下：

(1)准备工作：

假设网络基本配置(IP地址和路由)已经完成，但要在路由器RTA上做子接口。论文写作，扩展配置。

RTA(config)#interfacefastEthernet0/0.1

RTA(config-subif)#encapsulationdot1q10(在交换机SW上已划分VLAN10,20)

RTA(config-subif)#ipaddress28

RTA(config)#interfacefastEthernet0/0.