|
網絡技術是從1990年代中期發展起來的新技術，它把互聯網上分散的資源融為有機整體，實現資源的全面共享和有機協作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計算機、存儲資源、數據資源、信息資源、知識資源、專家資源、大型數據庫、網絡、傳感器等。 當前的互聯網只限于信息共享，網絡則被認為是互聯網發展的第三階段。 由于構成Internet的TCP/IP協議缺乏安全性，網絡安全成為用戶在提供開放式環境時必須認真考慮的問題。
ACL提升邊際安全
非法接入、報文竊取、IP地址欺騙、拒絕服務攻擊等來自網絡層和應用層的攻擊常常會耗盡網絡資源，讓用戶網管人員疲于應對。針對這些問題，二、三層的訪問控制、防火墻技術、入侵檢測、身份驗證、數據加密、防病毒都提供了有效的解決途徑。而在保障網絡邊際安全方面，訪問控制列表（Access Control List，ACL）可以說是最先與安全威脅最行交火的生力軍。
ACL是對通過網絡接口進入網絡內部的數據包進行控制的機制，分為標準ACL和擴展ACL（Extended ACL）兩種。標準ACL只對數據包的源地址進行檢查，擴展ACL對數據包中的源地址、目的地址、協議以及端口號進行檢查。作為一種應用在路由器接口的指令列表，ACL已經在一些核心路由交換機和邊緣交換機上得到應用，從原來的網絡層技術擴展為端口限速、端口過濾、端口綁定等二層技術，實現對網絡的各層面的有效控制。具體到安全領域來說，ACL的作用主要體現在以下幾個方面。
限制網絡流量提高網絡性能
通過設定端口上、下行流量的帶寬，ACL可以定制多種應用的帶寬管理，避免因為帶寬資源的浪費而影響網絡的整體性能。如果能夠根據帶寬大小來制定收費標準，那么運營商就可以根據客戶申請的帶寬，通過啟用ACL方式限定訪問者的上、下行帶寬，實現更好的管理，充分利用現有的網絡資源，保證網絡的使用性能。
有效的通信流量控制手段
ACL 可以限定或簡化路由選擇更新信息的長度，用來限制通過路由器的某一網段的流量。
提供網絡訪問的基本安全手段
ACL 允許某一主機訪問一個網絡，阻止另一主機訪問同樣的網絡，這種功能可以有效防止未經授權用戶的非法接入。如果在邊緣接入層啟用二、三層網絡訪問的基本安全策略，ACL能夠將用戶的MAC、IP地址、端口號與交換機的端口進行綁定，有效防止其他用戶訪問同樣的網絡。
在交換機（路由器）接口處，ACL決定哪種類型的通信流量被轉發或被拒絕。根據數據包的協議（IP、IPX等），ACL指定某種類型的數據包具有更高的優先級，在同等情況下優先被交換機（路由器）處理。這種功能保證交換機（路由器）丟棄不必要的數據包，通過不同的隊列來有效限制網絡流量，減少網絡擁塞。
在網絡中，ACL不但可以讓網管員用來制定網絡策略，對個別用戶或特定數據流進行控制；也可以用來加強網絡的安全屏蔽作用。從簡單的Ping of Death攻擊、TCP Syn攻擊，到更多樣化更復雜的黑客攻擊，ACL都可以起到一定的屏蔽作用。如果從邊緣、二層到三層交換機都具備支持標準ACL及擴展ACL的能力，網絡設備就可以將安全屏蔽及策略執行能力延伸到網絡的邊緣。
需要指出的是，與速率限制相同，網絡設備不僅應該能夠執行完整的ACL功能，包括進站和出站，同時也必須強調硬件的處理能力。這樣，用戶在啟動ACL的同時，才不會影響到二層或三層交換設備線速轉發數據包的能力。
目前，一些主流的網絡設備廠商已經在相關的交換設備中引入該技術。D-Link作為全球重要的網絡設備提供商之一，在二、三層交換機產品推出之際時，便將線速、硬件級的ACL技術列入基本的協議支持，其二層交換機DES-3226S、DES-3250TG以及三層交換機DES-3326S、DES-6300等都已經率先支持硬件級的標準ACL和擴展ACL。
【相關文章】
網絡的神奇作用吸引著越來越多的用戶加入其中，正因如此，網絡的承受能力也面臨著越來越嚴峻的考驗―從硬件上、軟件上、所用標準上......，各項技術都需要適時應勢，對應發展，這正是網絡迅速走向進步的催化劑。
| 
