acl技术.ppt

文档介绍：ACL
课程内容
第一节以太网访问控制列表
第二节以太网访问控制列表的配置
IP包过滤技术
对路由器需要转发的数据包,先获取包头信息,然后和设定的规则进行比较,根据比较的结果对数据包进行转发或者丢弃。而实现包过滤的核心技术是访问控制列表。
公司总部
内部网络
未授权用户
办事处
IP 数据包过滤
IP header
TCP header
Application-level header
Data
应用程序和数据
源/目的端口号
源/目的IP地址
L3/L4过滤
应用网关
TCP/IP包过滤元素
访问控制列表是什么?
一个IP数据包如下图所示(图中IP所承载的上层协议为TCP/UDP):
IP报头
TCP/UDP报头
数据
协议号
源地址
目的地址
源端口
目的端口
对于TCP/UDP来说,这5个元素组成了一个TCP/UDP相关,访问控制列表就是利用这些元素定义的规则


管理网络中逐步增长的 IP 数据
当数据通过路由器时进行过滤
为什么要使用访问控制列表
为什么要使用访问控制列表
性能
对网络设计中特定的用户进行控制
对网络之间的数据流量进行控制
安全
可以基于主机地址、目的地址和服务器类型来允许或禁止为特定的用户提供资源
访问控制列表的使用场合
访问控制列表可以用于防火墙包过滤;
访问控制列表可以用于Qos(Quality of Service),对数据流量进行控制;
中,访问控制列表还可用来规定触发拨号的条件;
访问控制列表还可以用于地址转换;
在配置路由策略时,可以利用访问控制列表来作路由信息的过滤。
访问控制列表的构成
ACE(访问控制列表的子规则)
Time-range(时间段机制)
ACL=ACE [+ time-range]
(访问控制列表由一系列规则组成,有必要时
会和时间段结合)
访问控制列表
策略:ACL1
策略:ACL2
策略:ACL3
...
策略:ACLN
访问列表类型
IP标准访问列表
能够对源地址进行过滤,是一种简单,直接的数据控制手段。
IP扩展访问列表
除了基于数据包源地址的过滤以外,还能够对协议,目的地址,端口号进行网络流量过滤。当然,配置也更复杂。