锐捷ACL应用技术白皮书.docx

锐捷ACL应用技术白皮书.docx锐捷ACL应用技术白皮书摘要ACL,是访问控制列表(AccessControlLists)的简称。在实际的网络环境中,各种上层访问都是通过报文交互进行的,为了进行访问控制,就通过ACL设置一系列过滤规则来控制报文转发和过滤,从而达到目的,所以称之为访问控制列表。本文阐析了ACL功能的工作机制。并在此基础上,说明我司交换机在ACL功能上的特点,优越性及其应用。ACLACE技术白皮书修订记录日期修订版本修改章节修改描述作者2008-8- 1关键词 1缩略语 1概述 2ACL技术产生的背景 2我司交换机产品对ACL功能的支持情况 3技术介绍 4ACL工作原理 4ACL分类 4安全ACL种类 essControlEntry 4安全ACL过滤报文原理 5基于接口和基于VLAN的ACL 8锐捷ACL技术特点 10配置灵活方便 10功能完备 10过滤性能好 10各款产晶ACL功能限制 11各类型ACL共有限制 11各款产品支持情况差异性说明 11机箱式设备的线卡类型汇总 13各款产品ACL在各种应用情况下的限制和容量值 13IP标准ACL的限制和容量值 14IP扩展ACL的限制和容量值 14MAC扩展ACL的限制和容量值 15专家级ACL的限制和容量值 15IPv6ACL的限制和容量值 16使用我司ACL功能注意事项 16应用与案例分析 17核心层交换机S86关键配置 18汇聚层交换机S57关键配置 20接入层交换机S26关键配置 21结束语 24缩略语ACL:AccessControlList,访问控制列表ACE:AccessControlEntry,ACL的组成元索VACL:基于VLAN的ACLPortACL:基于二层接口的ACLAP:AggregatePortL2AP:二层AP接口L3AP:三层AP接口SVI:SwitchVianInterface,交换机虚拟VLAN接口RoutedPort:,各种上层访问,最常见的就是访问某个网站,归根结底是通过pc和服务器之间的报文交互进行的,而报文则是通过交换机,路由器等各种网络设备进行传输的。随着网络的普及,网络安全问题日益突出,如各种针对交换机的恶意攻击、病毒肆虐等等,对正常的网络通讯造成很大影响。以上种种原因迫使我们需要对网络中的数据流进行监控、控制,确保网络安全或将安全风险降低到最低程度。在典型的公司企业网络环境中(如图1所示):::::一些内部服务器如财务服务器,会计服务器只允许财务部的人员访问,其他部门不允许访问,此时就要对来自其他部门的数据流进行过滤。病毒无处不在,因此,的数摒包进行监控,过滤,对那些病毒经常使用的端口予以封堵,保证内部网络安全。各个部门之间的数据流如财务部和生产部之间,也就是VLAN间的数据流,出于安全考虑,对数据流进行检查,过滤等等。这些需求可以使用ACL就可对网络中的数据•流进行有效的检查、监控。,支持的ACL种类丰富,可满足不同层次需求。我司ACL可以过滤多种类型报文,如IP,IPX,各种二层报文。对网络中最常见的IP报文,可以过滤的内容也很丰富,从最常见的IP地址,MAC地址,端口到相对不太常见的TOS信息,分片信息,三层协议类型等都可进行匹配,过滤,可以满足各种用户需求。3技术介绍ACL工作原理我司具备的ACL功能强大,不但支持的ACL类型多,而且可以匹配的字段也很丰富,而且都是由硬件实现,过滤效率高。ACL分类ACL根据使用方式的不同主耍分为两大类型:安全ACL禾UQOSACL。本文主耍介绍安全ACL。安全ACL主要分为两大类型:基于接口的ACL和基于VLAN的ACL。基于接口的ACL,顾名思义,ACL的运用对象是接口,这里的端口包含的种类很多,主要分为二层接口和三层接口。运用于二层接口的ACL又被称为PortACL或基于二层接口的ACL,运用于三层接口的ACL又称为基于三层接口的ACL。ess口,Trunk口,L2AP口。三层接口主要包括RoutedPort,SVI口,L3AP口°不同层次的交换机所支持的接口类型范围不同。基于VLAN的ACL,ACL的运用对象是VLAN,又称为VACL。简单的说就是如果一个VLAN运用上一个ACL,当有报文进入或者离开这个VLAN时,就要受到该ACL的过滤。下文详细介绍原理。,那ACL是根据什么来区分哪些