由于構(gòu)成Internet的TCP/IP協(xié)議缺乏安全性，網(wǎng)絡(luò)安全成為用戶(hù)在提供開(kāi)放式環(huán)境時(shí)必須認(rèn)真考慮的問(wèn)題。

ACL提升邊際安全
非法接入、報(bào)文竊取、IP地址欺騙、拒絕服務(wù)攻擊等來(lái)自網(wǎng)絡(luò)層和應(yīng)用層的攻擊常常會(huì)耗盡網(wǎng)絡(luò)資源，讓用戶(hù)網(wǎng)管人員疲于應(yīng)對(duì)。針對(duì)這些問(wèn)題，二、三層的訪(fǎng)問(wèn)控制、防火墻技術(shù)、入侵檢測(cè)、身份驗(yàn)證、數(shù)據(jù)加密、防病毒都提供了有效的解決途徑。而在保障網(wǎng)絡(luò)邊際安全方面，訪(fǎng)問(wèn)控制列表（Access Control List，ACL）可以說(shuō)是最先與安全威脅最行交火的生力軍。
ACL是對(duì)通過(guò)網(wǎng)絡(luò)接口進(jìn)入網(wǎng)絡(luò)內(nèi)部的數(shù)據(jù)包進(jìn)行控制的機(jī)制，分為標(biāo)準(zhǔn)ACL和擴(kuò)展ACL（Extended ACL）兩種。標(biāo)準(zhǔn)ACL只對(duì)數(shù)據(jù)包的源地址進(jìn)行檢查，擴(kuò)展ACL對(duì)數(shù)據(jù)包中的源地址、目的地址、協(xié)議以及端口號(hào)進(jìn)行檢查。作為一種應(yīng)用在路由器接口的指令列表，ACL已經(jīng)在一些核心路由交換機(jī)和邊緣交換機(jī)上得到應(yīng)用，從原來(lái)的網(wǎng)絡(luò)層技術(shù)擴(kuò)展為端口限速、端口過(guò)濾、端口綁定等二層技術(shù)，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的各層面的有效控制。具體到安全領(lǐng)域來(lái)說(shuō)，ACL的作用主要體現(xiàn)在以下幾個(gè)方面。 

限制網(wǎng)絡(luò)流量提高網(wǎng)絡(luò)性能
通過(guò)設(shè)定端口上、下行流量的帶寬，ACL可以定制多種應(yīng)用的帶寬管理，避免因?yàn)閹�寬資源的浪費(fèi)而影響網(wǎng)絡(luò)的整體性能。如果能夠根據(jù)帶寬大小來(lái)制定收費(fèi)標(biāo)準(zhǔn)，那么運(yùn)營(yíng)商就可以根據(jù)客戶(hù)申請(qǐng)的帶寬，通過(guò)啟用ACL方式限定訪(fǎng)問(wèn)者的上、下行帶寬，實(shí)現(xiàn)更好的管理，充分利用現(xiàn)有的網(wǎng)絡(luò)資源，保證網(wǎng)絡(luò)的使用性能。

有效的通信流量控制手段
ACL 可以限定或簡(jiǎn)化路由選擇更新信息的長(zhǎng)度，用來(lái)限制通過(guò)路由器的某一網(wǎng)段的流量。
提供網(wǎng)絡(luò)訪(fǎng)問(wèn)的基本安全手段
ACL 允許某一主機(jī)訪(fǎng)問(wèn)一個(gè)網(wǎng)絡(luò)，阻止另一主機(jī)訪(fǎng)問(wèn)同樣的網(wǎng)絡(luò)，這種功能可以有效防止未經(jīng)授權(quán)用戶(hù)的非法接入。如果在邊緣接入層啟用二、三層網(wǎng)絡(luò)訪(fǎng)問(wèn)的基本安全策略，ACL能夠?qū)⒂脩?hù)的MAC、IP地址、端口號(hào)與交換機(jī)的端口進(jìn)行綁定，有效防止其他用戶(hù)訪(fǎng)問(wèn)同樣的網(wǎng)絡(luò)。
在交換機(jī)（路由器）接口處，ACL決定哪種類(lèi)型的通信流量被轉(zhuǎn)發(fā)或被拒絕。根據(jù)數(shù)據(jù)包的協(xié)議（IP、IPX等），ACL指定某種類(lèi)型的數(shù)據(jù)包具有更高的優(yōu)先級(jí)，在同等情況下優(yōu)先被交換機(jī)（路由器）處理。這種功能保證交換機(jī)（路由器）丟棄不必要的數(shù)據(jù)包，通過(guò)不同的隊(duì)列來(lái)有效限制網(wǎng)絡(luò)流量，減少網(wǎng)絡(luò)擁塞。
在網(wǎng)絡(luò)中，ACL不但可以讓網(wǎng)管員用來(lái)制定網(wǎng)絡(luò)策略，對(duì)個(gè)別用戶(hù)或特定數(shù)據(jù)流進(jìn)行控制；也可以用來(lái)加強(qiáng)網(wǎng)絡(luò)的安全屏蔽作用。從簡(jiǎn)單的Ping of Death攻擊、TCP Syn攻擊，到更多樣化更復(fù)雜的黑客攻擊，ACL都可以起到一定的屏蔽作用。如果從邊緣、二層到三層交換機(jī)都具備支持標(biāo)準(zhǔn)ACL及擴(kuò)展ACL的能力，網(wǎng)絡(luò)設(shè)備就可以將安全屏蔽及策略執(zhí)行能力延伸到網(wǎng)絡(luò)的邊緣。
需要指出的是，與速率限制相同，網(wǎng)絡(luò)設(shè)備不僅應(yīng)該能夠執(zhí)行完整的ACL功能，包括進(jìn)站和出站，同時(shí)也必須強(qiáng)調(diào)硬件的處理能力。這樣，用戶(hù)在啟動(dòng)ACL的同時(shí)，才不會(huì)影響到二層或三層交換設(shè)備線(xiàn)速轉(zhuǎn)發(fā)數(shù)據(jù)包的能力。
目前，一些主流的網(wǎng)絡(luò)設(shè)備廠商已經(jīng)在相關(guān)的交換設(shè)備中引入該技術(shù)。D-Link作為全球重要的網(wǎng)絡(luò)設(shè)備提供商之一，在二、三層交換機(jī)產(chǎn)品推出之際時(shí)，便將線(xiàn)速、硬件級(jí)的ACL技術(shù)列入基本的協(xié)議支持，其二層交換機(jī)DES-3226S、DES-3250TG以及三層交換機(jī)DES-3326S、DES-6300等都已經(jīng)率先支持硬件級(jí)的標(biāo)準(zhǔn)ACL和擴(kuò)展ACL。

【相關(guān)文章】

• 專(zhuān)題：訪(fǎng)問(wèn)控制列表(ACL)介紹

• 輕松學(xué)習(xí)理解ACL訪(fǎng)問(wèn)控制列表

• 設(shè)置服務(wù)器的訪(fǎng)問(wèn)控制