项目14 访问控制列表.pdfVIP

CONTENTS

14.1ACL的工作原理14.2配置示例

14.1ACL的工作原理

03

14.1ACL的工作原理

14.1.1基于包过滤的ACL的基本原理

ACL在网络中的作用有很多，这里以基

于包过滤的ACL为例进行介绍。数据包进入

路由器后会检查入端口是否存在ACL，如果

不存在正在运行的入端口ACL，则直接匹配

路由表；如果存在正在运行的入端口ACL，

则根据ACL的规则判断该IP报文是丢弃还是

继续匹配路由表。

基ACL的基本原理

14.1ACL的工作原理

14.1.1基于包过滤的ACL的基本原理

在匹配上路由表后，IP报文在

出端口，还需要检查出端口是否存

在ACL，如果不存在正在运行的出

端口ACL，则直接对该报文封装转

发；如果存在正在运行的出端口

ACL，则根据出端口ACL规则判断

是丢弃还是继续封装转发。

14.1ACL的工作原理

14.1.2ACL匹配规则

ACL是由多条规则（rule）语句组另外，还可以有IP优先级、分片报

成的一个集合，每一条规则语句都定义文位、MAC地址、VLAN信息等。不同

了一个匹配条件及其相应动作。ACL规的ACL分类所能包含的匹配条件也不同。

则的匹配条件主要包括数据包的源IP地ACL规则的动作只有两个：允许

址、目的IP地址、协议号、源端口号、（Pemmit）或拒绝（Deny）。每一条规

目的端口号等；则都有一个编号（ruleID），编号的顺

序就是匹配规则的顺序。

14.1ACL的工作原理

14.1.2ACL匹配规则

设备收到数据后，会从第一条规则开始

逐条匹配ACL规则，看其是否匹配。一旦找

到一条匹配的规则，则执行规则中指定的动

作，并且该数据不再继续与后续规则进行匹