淺析ACL原理以及分類
ACL簡介
隨著網(wǎng)絡的飛速發(fā)展，網(wǎng)絡安全和網(wǎng)絡服務質(zhì)量QoS（Quality of Service）問題日益突出。
l 企業(yè)重要服務器資源被隨意訪問，企業(yè)機密信息容易泄露，造成安全隱患。
l Internet病毒肆意侵略企業(yè)內(nèi)網(wǎng)，內(nèi)網(wǎng)環(huán)境的安全性堪憂。
l 網(wǎng)絡帶寬被各類業(yè)務隨意擠占，服務質(zhì)量要求最高的語音、視頻業(yè)務的帶寬得不到保障，造成用戶體驗差。
以上種種問題，都對正常的網(wǎng)絡通信造成了很大的影響。因此，提高網(wǎng)絡安全性服務質(zhì)量迫在眉睫。ACL就在這種情況下應運而生了。通過ACL可以實現(xiàn)對網(wǎng)絡中報文流的精確識別和控制，達到控制網(wǎng)絡訪問行為、防止網(wǎng)絡攻擊和提高網(wǎng)絡帶寬利用率的目的，從而切實保障網(wǎng)絡環(huán)境的安全性和網(wǎng)絡服務質(zhì)量的可靠性。
訪問控制列表ACL（Access Control List）是由一條或多條規(guī)則組成的集合。所謂規(guī)則，是指描述報文匹配條件的判斷語句，這些條件可以是報文的源地址、目的地址、端口號等。
ACL本質(zhì)上是一種報文過濾器，規(guī)則是過濾器的濾芯。設備基于這些規(guī)則進行報文匹配，可以過濾出特定的報文，并根據(jù)應用ACL的業(yè)務模塊的處理策略來允許或阻止該報文通過。
以下是一個典型的ACL應用組網(wǎng)場景。
l 某企業(yè)為保證財務數(shù)據(jù)安全，禁止研發(fā)部門訪問財務服務器，但總裁辦公室不受限制。
實現(xiàn)方式：在Interface 1的入方向上部署ACL，禁止研發(fā)部門訪問財務服務器的報文通過。Interface 2上無需部署ACL，總裁辦公室訪問財務服務器的報文默認允許通過。
l 保護企業(yè)內(nèi)網(wǎng)環(huán)境安全，防止Internet病毒入侵。
實現(xiàn)方式：在Interface 3的入方向上部署ACL，將病毒經(jīng)常使用的端口予以封堵。
ACL的基本原理
ACL由一系列規(guī)則組成，通過將報文與ACL規(guī)則進行匹配，設備可以過濾出特定的報文
ACL的組成
ACL編號：
用于標識ACL，表明該ACL是數(shù)字型ACL。
根據(jù)ACL規(guī)則功能的不同，ACL被劃分為基本ACL、高級ACL、二層ACL和用戶ACL這幾種類型，每類ACL編號的取值范圍不同。
規(guī)則：
即描述報文匹配條件的判斷語句。
規(guī)則編號：用于標識ACL規(guī)則?？梢宰孕信渲靡?guī)則編號，也可以由系統(tǒng)自動分配。
ACL規(guī)則的編號范圍是0～4294967294，所有規(guī)則均按照規(guī)則編號從小到大進行排序。所以，圖1中的rule 5排在首位，而規(guī)則編號最大的rule 4294967294排在末位。系統(tǒng)按照規(guī)則編號從小到大的順序，將規(guī)則依次與報文匹配，一旦匹配上一條規(guī)則即停止匹配。
動作：
包括permit/deny兩種動作，表示允許/拒絕。
匹配項：
ACL定義了極其豐富的匹配項。除了圖中的源地址和生效時間段，ACL還支持很多其他規(guī)則匹配項。例如，二層以太網(wǎng)幀頭信息（如源MAC、目的MAC、以太幀協(xié)議類型）、三層報文信息（如目的地址、協(xié)議類型）以及四層報文信息（如TCP/UDP端口號）等。
ACL的匹配機制
設備將報文與ACL規(guī)則進行匹配時，遵循“一旦命中即停止匹配”的機制
首先系統(tǒng)會查找設備上是否配置了ACL。
l 如果ACL不存在，則返回ACL匹配結果為：不匹配。
l 如果ACL存在，則查找設備是否配置了ACL規(guī)則。
n 如果規(guī)則不存在，則返回ACL匹配結果為：不匹配。
n 如果規(guī)則存在，則系統(tǒng)會從ACL中編號最小的規(guī)則開始查找。
u 如果匹配上了permit規(guī)則，則停止查找規(guī)則，并返回ACL匹配結果為：匹配（允許）。
u 如果匹配上了deny規(guī)則，則停止查找規(guī)則，并返回ACL匹配結果為：匹配（拒絕）。
u 如果未匹配上規(guī)則，則繼續(xù)查找下一條規(guī)則，以此循環(huán)。如果一直查到最后一條規(guī)則，報文仍未匹配上，則返回ACL匹配結果為：不匹配。
從整個ACL匹配流程可以看出，報文與ACL規(guī)則匹配后，會產(chǎn)生兩種匹配結果：“匹配”和“不匹配”。
l 匹配（命中規(guī)則）：指存在ACL，且在ACL中查找到了符合匹配條件的規(guī)則。不論匹配的動作是“permit”還是“deny”，都稱為“匹配”，而不是只是匹配上permit規(guī)則才算“匹配”。
l 不匹配（未命中規(guī)則）：指不存在ACL，或ACL中無規(guī)則，再或者在ACL中遍歷了所有規(guī)則都沒有找到符合匹配條件的規(guī)則。以上三種情況，都叫做“不匹配”。
ACL的分類
基于ACL標識方法的劃分
劃分如下：
l 數(shù)字型ACL：傳統(tǒng)的ACL標識方法。創(chuàng)建ACL時，指定一個唯一的數(shù)字標識該ACL。
l 命名型ACL：通過名稱代替編號來標識ACL。
用戶在創(chuàng)建ACL時可以為其指定編號，不同的編號對應不同類型的ACL。同時，為了便于記憶和識別，用戶還可以創(chuàng)建命名型ACL，即在創(chuàng)建ACL時為其設置名稱。命名型ACL，也可以是“名稱 數(shù)字”的形式，即在定義命名型ACL時，同時指定ACL編號。如果不指定編號，系統(tǒng)則會自動為其分配一個數(shù)字型ACL的編號。
基于ACL規(guī)則定義方式的劃分
l 基本ACL
僅使用報文的源IP地址、分片信息和生效時間段信息來定義規(guī)則。編號范圍2000～2999。
配置舉例：
[Huawei] acl 2001
[Huawei-acl-basic-2001] rule permit source 192.168.1.3 0
#在ACL 2001中配置規(guī)則，允許源IP地址是192.168.1.3主機地址的報文通過。
l 高級ACL
既可使用IPv4報文的源IP地址，也可使用目的IP地址、IP協(xié)議類型、ICMP類型、TCP源/目的端口、UDP源/目的端口號、生效時間段等來定義規(guī)則。編號范圍3000～3999
配置舉例：
[Huawei] acl 3001
[Huawei-acl-adv-3001] rule permit icmp source 192.168.1.3 0 destination 192.168.2.0 0.0.0.255
#在ACL 3001中配置規(guī)則，允許源IP地址是192.168.1.3主機地址且目的IP地址是192.168.2.0/24網(wǎng)段地址的ICMP報文通過。
l 二層ACL
使用報文的以太網(wǎng)幀頭信息來定義規(guī)則，如根據(jù)源MAC（Media Access Control）地址、目的MAC地址、二層協(xié)議類型等。編號范圍4000～4999
配置舉例：
[Huawei] acl 4001
[Huawei-acl-L2-4001] rule permit destination-mac 0000-0000-0001 source-mac 0000-0000-0002 l2-protocol 0x0806
#在ACL 4001中配置規(guī)則，允許目的MAC地址是0000-0000-0001、源MAC地址是0000-0000-0002的ARP報文（二層協(xié)議類型值為0x0806）通過。
l 用戶ACL
既可使用IPv4報文的源IP地址，也可使用目的IP地址、IP協(xié)議類型、ICMP類型、TCP源端口/目的端口、UDP源端口/目的端口號等來定義規(guī)則。編號范圍6000～6031
配置舉例：
[Huawei] acl 6000
[Huawei-acl-ucl-6000] rule permit ip destination 10.1.1.1 255.255.255.0
#在ACL 6000中配置規(guī)則，允許所有Portal用戶可以免認證訪問IP地址為10.1.1.1/24的網(wǎng)絡。
關于ACL原理以及分類， SPOTO思博網(wǎng)絡今天就跟大家分享到這里，更多相關ACL的內(nèi)容請繼續(xù)關注SPOTO思博網(wǎng)絡：SPOTO思博網(wǎng)絡是全球IT技術人才在線培訓學習基地，致力于培育優(yōu)質(zhì)的IT人才，加速IT互聯(lián)網(wǎng)技術人才職業(yè)技能進階。我們在思科認證、華為認證、CISSP信息安全認證、Linux、云計算、大數(shù)據(jù)和人工智能等領域為客戶提供有競爭力的培訓產(chǎn)品和可信賴的服務，持續(xù)為客戶創(chuàng)造價值，釋放個人潛能。始終圍繞客戶需求持續(xù)創(chuàng)新，加大課程研發(fā)投入，厚積薄發(fā)，推動個人成長，加速職業(yè)進程，為世界節(jié)省培養(yǎng)ICT架構師的時間。
