訪問(wèn)控制列表的概念與分類***職業(yè)技術(shù)學(xué)院

主講教師：***訪問(wèn)控制列表的概念隨著Internet的快速發(fā)展，網(wǎng)絡(luò)安全問(wèn)題日趨突出。為了保護(hù)局域網(wǎng)內(nèi)某些設(shè)備和數(shù)據(jù)系統(tǒng)的安全，網(wǎng)絡(luò)管理員經(jīng)常需要設(shè)法拒絕某些非法用戶對(duì)保護(hù)對(duì)象的訪問(wèn)連接，但要允許那些正常的訪問(wèn)連接。例如，網(wǎng)絡(luò)管理員允許局域網(wǎng)內(nèi)的用戶訪問(wèn)Internet，同時(shí)它卻不希望局域網(wǎng)以外的用戶通過(guò)互聯(lián)網(wǎng)訪問(wèn)局域網(wǎng)內(nèi)部的文件服務(wù)器。

訪問(wèn)控制列表（AccessControlList，ACL）是一種應(yīng)用在交換機(jī)與路由器上的技術(shù)，其主要目的是對(duì)網(wǎng)絡(luò)數(shù)據(jù)通信進(jìn)行過(guò)濾，實(shí)現(xiàn)對(duì)各種訪問(wèn)的控制需求。訪問(wèn)控制列表通過(guò)對(duì)數(shù)據(jù)包中的信息，如源地址、目的地址、協(xié)議號(hào)、源端口、目的端口等來(lái)區(qū)分?jǐn)?shù)據(jù)包的特性，根據(jù)預(yù)先定義好的規(guī)則允許（permit）或拒絕（deny）該數(shù)據(jù)包是否被設(shè)備轉(zhuǎn)發(fā)，從而實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)目刂?。訪問(wèn)控制列表的工作原理訪問(wèn)控制列表是一組規(guī)則的集合，它應(yīng)用在交換機(jī)或者路由器的某個(gè)接口上。訪問(wèn)控制列表的設(shè)置過(guò)程主要有兩個(gè)步驟：定義規(guī)則和應(yīng)用到接口上。如果對(duì)接口應(yīng)用了訪問(wèn)控制列表，也就是說(shuō)該接口應(yīng)用了一組規(guī)則，那么路由器（或三層交換機(jī)）將對(duì)數(shù)據(jù)包應(yīng)用該組規(guī)則進(jìn)行檢測(cè)。訪問(wèn)控制列表的工作原理在檢測(cè)數(shù)據(jù)包是否允許轉(zhuǎn)發(fā)時(shí)，遵循以下基本規(guī)則。1、如果匹配第一條規(guī)則，則不再往下檢測(cè)，路由器或者交換機(jī)將決定允許該數(shù)據(jù)包通過(guò)或者拒絕其通過(guò)。2、如果不匹配第一條規(guī)則，則依次往下檢測(cè)，直到有任何一條規(guī)則匹配，路由器或交換機(jī)將決定允許該數(shù)據(jù)包通過(guò)或拒絕其通過(guò)。3、如果最后沒(méi)有一條規(guī)則匹配，則路由器或交換機(jī)根據(jù)默認(rèn)的規(guī)則將丟棄該數(shù)據(jù)包。由以上幾條基本規(guī)則可知，由于存在規(guī)則匹配的次序性，各條規(guī)則的放置順序很重要，一旦找到了某一匹配規(guī)則，就結(jié)束比較，不再檢測(cè)其后的其它規(guī)則。訪問(wèn)控制列表的工作原理需要注意的是在訪問(wèn)控制列表的末尾，總有一條隱含的拒絕所有（denyany）數(shù)據(jù)包通過(guò)，意味著如果數(shù)據(jù)包不與任何規(guī)則匹配，則默認(rèn)的動(dòng)作就是拒絕該數(shù)據(jù)包通過(guò)。訪問(wèn)控制列表的工作原理在路由器（或交換機(jī)）接口上應(yīng)用訪問(wèn)控制列表有進(jìn)（in）和出（out）兩個(gè)方向。

進(jìn)方向的ACL負(fù)載過(guò)濾進(jìn)入接口的數(shù)據(jù)流量，出方向的ACL負(fù)責(zé)過(guò)濾從接口發(fā)出的數(shù)據(jù)流量。

進(jìn)方向先檢查ACL，后查找路由表，出方向先查找路由表，再檢查ACL。訪問(wèn)控制列表的工作原理訪問(wèn)控制列表分為：標(biāo)準(zhǔn)IP訪問(wèn)控制列表和擴(kuò)展訪問(wèn)控制列表標(biāo)準(zhǔn)IP訪問(wèn)控制列表編號(hào)范圍為1-99，其作用為根據(jù)數(shù)據(jù)包的源地址（hostip）對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾處理，采取允許或拒絕的動(dòng)作。擴(kuò)展IP訪問(wèn)控制列表編號(hào)范圍為100-199，可以處理更多的匹配項(xiàng)，包括源地址、目的地址、協(xié)議號(hào)、源端口、目的端口等，根據(jù)這些匹配項(xiàng)對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾，采取允許或拒絕數(shù)據(jù)包的動(dòng)作。觀看謝謝PPT模板下載：/moban/行業(yè)PPT模板：/hangye/節(jié)日PPT模板：/jieri/PPT素材下載：/sucai/PPT背景圖片：/beijing/PPT圖表下載：/tubiao/優(yōu)秀PPT下載：/xiazai/PPT教程：/powerpoint/Word教程：/word/Excel教程：/excel/資料下載：/ziliao/PPT課件下載