网工干货知识

网工技术详解
当前位置:首页 > 干货知识

ACL访问控制列表原理

更新时间:2021年11月04日   作者:spoto   标签(Tag):

一、ACL概述

ACL(Access Control List)是由一系列规则组成的集合,通过这些规则对报文进行分类,从而使设备可以对不同类报文进行不同的处理。网络中的设备相互通信时,需要保障网络传输的安全可靠和性能稳定。

 

1、防止对网络的攻击

例如IP(Internet Protocol)报文、TCP(Transmission Control Protocol)报文、ICMP(Internet Control Message Protocol)报文的攻击。

 

 

2、对网络访问行为进行控制

例如企业网中内、外网的通信,用户访问特定网络资源的控制,特定时间段内允许对网络的访问。

 

 

3、限制网络流量和提高网络性能

例如限定网络上行、下行流量的带宽,对用户申请的带宽进行收费,保证高带宽网络资源的充分利用。
ACL的出现,有效地解决了上述问题,切实保障了网络传输的稳定性和可靠性。

 

 

 

二、ACL原理

ACL负责管理用户配置的所有规则,并提供报文匹配规则的算法。

ACL访问控制列表原理

 

 

 

 

1、ACL的规则管理

每个ACL作为一个规则组,可以包含多个规则。规则通过规则ID(rule-id)来标识,规则ID可以由用户进行配置,也可以由系统自动根据步长生成。一个ACL中所有规则均按照规则ID从小到大排序。规则ID之间会留下一定的间隔。如果不指定规则ID时,具体间隔大小由“ACL的步长”来设定。
例如步长设定为5,ACL规则ID分配是按照5、10、15……来分配的。如果步长值是2,自动生成的规则ID从2开始。用户可以根据规则ID方便地把新规则插入到规则组的某一位置。

 

 

 

2、ACL的规则匹配

报文到达设备时,设备从报文中提取信息,并将该信息与ACL中的规则进行匹配,只要有一条规则和报文匹配,就停止查找,称为命中规则。查找完所有规则,如果没有符合条件的规则,称为未命中规则。
ACL的规则分为“permit”(允许)规则和“deny”(拒绝)规则。
综上所述,ACL可以将报文分成三类:
(1)命中“permit”规则的报文
(2)命中“deny”规则的报文
(3)未命中规则的报文

 

 

3、ACL的实现方式

目前设备支持的ACL,有以下两种实现方式。

 

 

(1)软件ACL

针对与本机交互的报文(必须上送CPU处理的报文),由软件实现来匹配报文的ACL,比如FTP、TFTP、Telnet、SNMP、HTTP、路由协议、组播协议中引用的ACL。

 

(2)硬件ACL

针对所有报文(一般是针对转发的数据报文),通过下发硬件ACL资源来匹配报文的ACL,比如流策略、基于ACL的简化流策略、自反ACL、用户组以及为接口收到的报文添加外层Tag功能中引用的ACL。

 

4、ACL的命名规则

用户在创建ACL时,可以为ACL指定一个名称,每个ACL最多只能有一个名称。命名型的ACL使用户可以通过名称唯一地确定一个ACL,并对其进行相应的操作。在创建ACL时,用户可以选择是否配置名称。ACL创建后,不允许用户修改或者删除ACL名称,也不允许为未命名的ACL添加名称。
在指定命名型ACL时,也可以同时配置对应编号。如果没有配置对应编号,系统在记录此命名型ACL时会自动为其分配一个数字型ACL的编号。ACL的名称对于ACL全局唯一,但允许基本ACL与基本ACL6,高级ACL与高级ACL6使用相同的名称。

 

 

5、ACL的匹配顺序

一个ACL可以由多条“deny | permit”语句组成,每一条语句描述一条规则,这些规则可能存在重复或矛盾的地方(一条规则可以包含另一条规则,但两条规则不可能完全相同)。华为设备支持两种匹配顺序,即配置顺序(config)和自动排序(auto)。当将一个数据包和访问控制列表的规则进行匹配的时候,由规则的匹配顺序决定规则的优先级,ACL通过设置规则的优先级来处理规则之间重复或矛盾的情形。

 

 

(1)配置顺序(默认顺序)

配置顺序按ACL规则编号(rule-id)从小到大的顺序进行匹配。

 

(2)自动排序

自动排序(auto)使用“深度优先”的原则进行匹配。“深度优先”即根据规则的精确度排序,匹配条件(如协议类型、源和目的IP地址范围等)限制越严格越精确。例如可以比较地址的通配符,通配符越小,则指定的主机的范围就越小,限制就越严格。若“深度优先”的顺序相同,则匹配该规则时按rule-id从小到大排列。通配符掩码与反向掩码类似,以点分十进制表示,并用二进制的“0”表示“匹配”,“1”表示“不关心”,这恰好与子网掩码的表示方法相反,另外通配符1或者0可以不连续,掩码与反掩码必须连续。

 马上抢免费试听资格
意向课程: *必选
姓名: *必填
联系方式: *必填
QQ:
思博SPOTO在线咨询

相关资讯


即刻预约

免费试听-咨询课程-获取免费资料

思博网络SPOTO新活动