1.1.4 ACL其他特性

ACL对分片报文的支持

• 传统的包过滤并不处理所有IP 报文分片，而是只对第一个（首片）分片报文进行匹配处理，后续分片一律放行。这样，网络攻击者可能构造后续的分片报文进行流量攻击，带来安全隐患。
• 在ACL规则中，可以通过设置不同的参数来达到不同的过滤效果：
  • fragment参数：标识该ACL规则对所有分片报文有效，而对非分片报文则忽略此规则；
  • none-first-fragment参数：标识该规则仅对非首片分片报文有效，而对非分片报文和首片分片报文则忽略此规则。
  • 不包含参数fragment或none-first-fragment的配置规则项对所有报文（包括分片报文）均有效。

ACL生效时间段

• 可以使ACL规则需要在某个或某些特定时间内生效，而在其他时间段则不生效。