97国际

不必推倒重修,老终端也能焕新 丨 97国际教育云电脑老客户升级分享会
预约直播
融合光加速,慧联全场景 丨 97国际极简以太彩光5.0 界说万兆园区全场景新范式
预约直播
97国际·(中国区)集团官方网站
产品
< 返回主菜单
产品中心
产品
解决计划
< 返回主菜单
解决计划中心
行业
合作伙伴
返回主菜单
选择区域/语言
97国际·(中国区)集团官方网站

您订阅的产品有更新,请实时查阅

审查详情
97国际·(中国区)集团官方网站 97国际·(中国区)集团官方网站

ACL应该在网络中的那里设置

选择ACL设置位置很主要,有妄想的在网络中设置ACL能够精准的匹配需要过滤的流量,同时也能够镌汰数据在网络中不须要的传输、节约网络资源,还能降低运维职员的设置与维护事情量 。

  • 97国际·(中国区)集团官方网站

    宣布时间:2022-12-05

  • 97国际·(中国区)集团官方网站

    点击量:

  • 97国际·(中国区)集团官方网站

    点赞:

分享至

97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站

我想谈论

1 选择ACL设置位置很主要
ACL是Access Control List的简称,中文是会见控制列表 。众所周知,ACL在网络中能够实现会见控制 。举行会见控制的设置下令也较量简朴,凭证限制要求设置ACL规则并在接口上应用即可 。可是要在现实网络中有用应用ACL实现会见控制却并禁止易,只有有妄想地在网络中设置ACL才华够精准的匹配需要过滤的流量,同时也能够镌汰数据在网络中不须要的传输、节约网络资源,还能降低运维职员的设置与维护事情量 。如图1-1所示,网络中装备众多,接口众多,怎样设置才华够简朴快速的完成营业设置?下文将详细先容怎样在网络中选择ACL的设置位置 。
图1-1 重大的网络拓扑
97国际·(中国区)集团官方网站
                                                                                                     
2 怎样选择ACL设置位置
本章节将从数据偏向层面、网络层级层面和链路层面先容ACL的设置位置 。

l  数据偏向层面:ACL在靠近源端照旧目的端设置?

l  网络层级层面:ACL在汇聚层照旧接入层设置?

l  链路层面:ACL在入接口照旧出接口设置?

2.1   ACL在靠近源端照旧目的端设置?
凭证需要使用的ACL类型决议ACL在靠近源端照旧目的端设置:

l  标准ACL(匹配源地址),在靠近报文目的的装备上举行设置 。

如图2-1所示,需要限制PC A对PC B的会见,由于标准ACL只能匹配报文的源IP地址,若是将标准ACL设置在靠近源端的装备(Device A)上,那么PC A所有数据包在抵达Device A后都将被扬弃,包括非去往PC B的报文 。而我们的需求只是限制PC A会见PC B,因此将标准ACL设置在靠近源端的装备会扩大限制规模,影响其他正常流量转发 。
图2-1 标准ACL在网络中的设置位置
97国际·(中国区)集团官方网站
                                                                                    

l  扩展ACL(匹配目的地址),建议在靠近报文源的装备上举行设置 。

扩展ACL不但能够匹配源IP地址,还能匹配目的IP地址,因此可以更精准的匹配需要过滤的报文 。将扩展ACL设置在靠近报文源的装备上可以让过滤报文尽可能早地被扬弃,节约中心网络的转发资源 。如图2-2所示,若将扩展ACL设置在Device B上,PC A发送给PC B的报文在Device B上才会被扬弃,造成Device A至Device B这段网络的带宽和装备性能铺张 。
图2-2 扩展ACL在网络中的设置位置
97国际·(中国区)集团官方网站
                                                                             
扩展ACL也不是必需设置在靠近报文源的装备上,现实设置时还需要思量设置量和可维护性 。需要在多台接入端装备设置相同ACL规则的情形下,将ACL设置在网络的汇聚点,以镌汰设置量 。如图2-3所示,要求榨取PC会见服务器的TCP 22和TCP 23端口 。若严酷的将扩展ACL安排在靠近报文源的装备上,就需要划分在Device A、Device B和Device C设置扩展ACL,一共需要设置3次 。若是有更多的接入装备,设置也将成倍的增添 。一旦需求转变需要调解ACL设置,也需要在每个接入装备上举行调解 。若是在Device D上设置,则只需要设置一次,需求转变时,ACL规则也只需要调解一次 。
图2-3 在网络汇聚点设置ACL
97国际·(中国区)集团官方网站
                                                                            
2.2   ACL在汇聚层照旧接入层设置?
现在大部分的企业网都是三层网络架构:焦点层、汇聚层和接入层 。焦点层一样平常作为高速转发的枢纽,不会安排会见控制战略,以是ACL一样平常在汇聚层交流机和接入层交流机上设置 。

l  控制VLAN内的数据流,需要在接入交流机上设置ACL 。

如图2-4所示,PC A与PC B举行VLAN间通讯,当PC A发送给PC B的报文抵达接入交流机后,接入交流机将凭证MAC地址表举行二层转发,报文不会经由汇聚交流机 。因此,若是要限制PC A至PC B的会见,就需要在接入交流机上设置ACL 。
图2-4 ACL限制VLAN内报文转发
97国际·(中国区)集团官方网站
                                                                         

l  控制VLAN间的数据流,需要在汇聚交流机(网关)设置ACL 。

如图2-5所示,要求VLAN10不可会见VLAN30,VLAN20不可会见VLAN40 。若是将ACL设置在接入交流机上,需要在多台交流机上设置,设置事情量较大,并且容易蜕化 �?鏥LAN的报文需要经由汇聚交流机的SVI接口,因此控制跨网段转发的数据,建议在汇聚网关(SVI接口)上设置ACL,这样可以镌汰设置量,并利便维护 。
图2-5 ACL限制VLAN间报文转发
97国际·(中国区)集团官方网站
                                                                                         
2.3   ACL在入接口照旧出接口设置?
通过以上两个章节,我们已经能够明确ACL需要在哪个装备上设置了,可是设惫亓接口众多,确定设置装备后又需要在哪个接口上设置、在接口的哪个偏向上设置呢?我们需要遵照的原则是:镌汰设置维护事情量,镌汰装备性能消耗 。
在简朴的串联链路上,建议依据数据流的流向在入接口的入偏向设置ACL 。由于装备在收到数据包时会先举行ACL检查,再举行查表转发 。因此,在入接口的入偏向设置ACL可以在查表转发前扬弃数据包,节约装备转发资源 。如图2-4所示,要榨取PC A会见PC B,建议在接入交流机的左侧接口的入偏向设置ACL 。
在多接入或者多出口的场景中,建议在数据流的汇聚接口设置ACL,这样能够节约设置维护事情量 。如图2-3所示,建议在Device D的右侧接口的出偏向设置ACL 。
                                                                             
3 结论
最后让我们回到开篇提到的拓扑(图1-1),需求为限制VLAN10会见VLAN30,由于是限制跨VLAN的会见,需要在汇聚交流机Device D上设置扩展ACL � ;憔圩氨傅亩喔鼋涌诙蓟嵊蠽LAN10和VLAN30流量经由,以是扩展ACL需要在流量汇聚接口(SVI接口)上应用 。
通过上文的先容,怎样选择ACL设置位置我们可以总结出大致的判断流程:
(1) 使用标准ACL照旧扩展ACL?
○标准ACL:在靠近目的端的装备上设置 。
○扩展ACL:在靠近源端的装备上设置(在多台接入端装备设置相同ACL规则的情形下,将ACL设置在网络的汇聚点) 。
(2) 限制VLAN间会见照旧VLAN内会见?
○限制VLAN内会见:在接入层设置 。
○限制VLAN间会见:在汇聚层设置 。
(3) 是串行链路照旧多接入、多出口链路?
○串行链路:在入接口的入偏向设置 。
○多接入、多出口链路:在数据流的汇聚接口设置ACL 。
以上是一个大致的判断流程,现实应用中需要无邪调解 。我们依据准则是:精准匹配需要过滤的流量,降低运维职员的设置与维护事情量,节约网络带宽和装备资源 。
                                                                                                        
相关链接
ACL基本看法及原理先容
97国际·(中国区)集团官方网站 97国际·(中国区)集团官方网站

点赞

更多手艺博文

任何需要,请联系97国际

97国际·(中国区)集团官方网站

返回顶部

收起
97国际·(中国区)集团官方网站 文档AI助手
97国际·(中国区)集团官方网站 文档评价
资料内容是否对您有资助?
您对目今页面的知足度怎样?
不咋滴
很是好
您知足的缘故原由是(多� 。�?
您对文档是否尚有其它的问题或建议?
为尽快解决问题,请您留下联系方法以便回复
邮箱
手机号
谢谢您的反� 。�
97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站
请选择服务项目
关闭咨询页
售前咨询 售前咨询
售前咨询
售后服务 售后服务
售后服务
意见反响 意见反响
意见反响
更多联系方法
网站地图