信安Note_day17

访问控制列表ACL

ACL概述

访问控制列表ACL（Access Control List）可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等等。

所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。

ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。

针对于用户所产生的数据，经由路由器转发时，通过ACL规则来限制数据转发。

ACL工作原理

从第一条语句开始向下匹配，一旦匹配成功则进行执行并不再进行后续匹配。

路由器的一个接口同一个方向最多只能够有一个列表，但一个列表中可以有多条语句。

列表在调用时需要分清出入口，以数据流向为参照，进入接口的是"in" 出口是"out"。

访问控制列表在接口应用的方向

• 出 outbound：已经过路由器的处理，正离开路由器接口的数据包

• 入 inbound：已到达路由器接口的数据包，将被路由器处理

从路由器的角度来看，数据包可以分为进入的和出去的数据包。在不同方向应用ACL时，是对两种不同数据流量进行过滤，分别是出口流量和入口流量。

ACL是一组判断语句的集合，具体对下列数据包进行检测并控制：

• 从入站接口进入设备的数据包；

  <