97国际

97国际·(中国区)集团官方网站

中文

97国际·(中国区)集团官方网站

97国际·(中国区)集团官方网站

登录

97国际·(中国区)集团官方网站

产品

< 返回主菜单

产品

解决计划

< 返回主菜单

解决计划中心

行业

服务支持

合作伙伴

关于97国际

投资者关系

返回主菜单

选择区域/语言

97国际·(中国区)集团官方网站

97国际·(中国区)集团官方网站

97国际·(中国区)集团官方网站

ACL应该在网络中的那里设置

选择ACL设置位置很主要，有妄想的在网络中设置ACL能够精准的匹配需要过滤的流量，同时也能够镌汰数据在网络中不须要的传输、节约网络资源，还能降低运维职员的设置与维护事情量。

宣布时间：2022-12-05
点击量：
点赞：

分享至

97国际·(中国区)集团官方网站

97国际·(中国区)集团官方网站

97国际·(中国区)集团官方网站

我想谈论

1 选择ACL设置位置很主要

ACL是Access Control List的简称，中文是会见控制列表。众所周知，ACL在网络中能够实现会见控制。举行会见控制的设置下令也较量简朴，凭证限制要求设置ACL规则并在接口上应用即可。可是要在现实网络中有用应用ACL实现会见控制却并禁止易，只有有妄想地在网络中设置ACL才华够精准的匹配需要过滤的流量，同时也能够镌汰数据在网络中不须要的传输、节约网络资源，还能降低运维职员的设置与维护事情量。如图1-1所示，网络中装备众多，接口众多，怎样设置才华够简朴快速的完成营业设置？下文将详细先容怎样在网络中选择ACL的设置位置。

图1-1 重大的网络拓扑

97国际·(中国区)集团官方网站

2 怎样选择ACL设置位置

本章节将从数据偏向层面、网络层级层面和链路层面先容ACL的设置位置。

l 数据偏向层面：ACL在靠近源端照旧目的端设置？

l 网络层级层面：ACL在汇聚层照旧接入层设置？

l 链路层面：ACL在入接口照旧出接口设置？

2.1 ACL在靠近源端照旧目的端设置？

凭证需要使用的ACL类型决议ACL在靠近源端照旧目的端设置：

l 标准ACL（匹配源地址），在靠近报文目的的装备上举行设置。

如图2-1所示，需要限制PC A对PC B的会见，由于标准ACL只能匹配报文的源IP地址，若是将标准ACL设置在靠近源端的装备（Device A）上，那么PC A所有数据包在抵达Device A后都将被扬弃，包括非去往PC B的报文。而我们的需求只是限制PC A会见PC B，因此将标准ACL设置在靠近源端的装备会扩大限制规模，影响其他正常流量转发。

图2-1 标准ACL在网络中的设置位置

97国际·(中国区)集团官方网站

l 扩展ACL（匹配目的地址），建议在靠近报文源的装备上举行设置。

扩展ACL不但能够匹配源IP地址，还能匹配目的IP地址，因此可以更精准的匹配需要过滤的报文。将扩展ACL设置在靠近报文源的装备上可以让过滤报文尽可能早地被扬弃，节约中心网络的转发资源。如图2-2所示，若将扩展ACL设置在Device B上，PC A发送给PC B的报文在Device B上才会被扬弃，造成Device A至Device B这段网络的带宽和装备性能铺张。

图2-2 扩展ACL在网络中的设置位置

97国际·(中国区)集团官方网站

扩展ACL也不是必需设置在靠近报文源的装备上，现实设置时还需要思量设置量和可维护性。需要在多台接入端装备设置相同ACL规则的情形下，将ACL设置在网络的汇聚点，以镌汰设置量。如图2-3所示，要求榨取PC会见服务器的TCP 22和TCP 23端口。若严酷的将扩展ACL安排在靠近报文源的装备上，就需要划分在Device A、Device B和Device C设置扩展ACL，一共需要设置3次。若是有更多的接入装备，设置也将成倍的增添。一旦需求转变需要调解ACL设置，也需要在每个接入装备上举行调解。若是在Device D上设置，则只需要设置一次，需求转变时，ACL规则也只需要调解一次。

图2-3 在网络汇聚点设置ACL

97国际·(中国区)集团官方网站

2.2 ACL在汇聚层照旧接入层设置？

现在大部分的企业网都是三层网络架构：焦点层、汇聚层和接入层。焦点层一样平常作为高速转发的枢纽，不会安排会见控制战略，以是ACL一样平常在汇聚层交流机和接入层交流机上设置。

l 控制VLAN内的数据流，需要在接入交流机上设置ACL。

如图2-4所示，PC A与PC B举行VLAN间通讯，当PC A发送给PC B的报文抵达接入交流机后，接入交流机将凭证MAC地址表举行二层转发，报文不会经由汇聚交流机。因此，若是要限制PC A至PC B的会见，就需要在接入交流机上设置ACL。

图2-4 ACL限制VLAN内报文转发

97国际·(中国区)集团官方网站

l 控制VLAN间的数据流，需要在汇聚交流机（网关）设置ACL。

如图2-5所示，要求VLAN10不可会见VLAN30，VLAN20不可会见VLAN40。若是将ACL设置在接入交流机上，需要在多台交流机上设置，设置事情量较大，并且容易蜕化�？鏥LAN的报文需要经由汇聚交流机的SVI接口，因此控制跨网段转发的数据，建议在汇聚网关（SVI接口）上设置ACL，这样可以镌汰设置量，并利便维护。

图2-5 ACL限制VLAN间报文转发

97国际·(中国区)集团官方网站

2.3 ACL在入接口照旧出接口设置？

通过以上两个章节，我们已经能够明确ACL需要在哪个装备上设置了，可是设惫亓接口众多，确定设置装备后又需要在哪个接口上设置、在接口的哪个偏向上设置呢？我们需要遵照的原则是：镌汰设置维护事情量，镌汰装备性能消耗。

在简朴的串联链路上，建议依据数据流的流向在入接口的入偏向设置ACL。由于装备在收到数据包时会先举行ACL检查，再举行查表转发。因此，在入接口的入偏向设置ACL可以在查表转发前扬弃数据包，节约装备转发资源。如图2-4所示，要榨取PC A会见PC B，建议在接入交流机的左侧接口的入偏向设置ACL。

在多接入或者多出口的场景中，建议在数据流的汇聚接口设置ACL，这样能够节约设置维护事情量。如图2-3所示，建议在Device D的右侧接口的出偏向设置ACL。

3 结论

最后让我们回到开篇提到的拓扑（图1-1），需求为限制VLAN10会见VLAN30，由于是限制跨VLAN的会见，需要在汇聚交流机Device D上设置扩展ACL�；憔圩氨傅亩喔鼋涌诙蓟嵊蠽LAN10和VLAN30流量经由，以是扩展ACL需要在流量汇聚接口（SVI接口）上应用。

通过上文的先容，怎样选择ACL设置位置我们可以总结出大致的判断流程：

(1) 使用标准ACL照旧扩展ACL？

○标准ACL：在靠近目的端的装备上设置。

○扩展ACL：在靠近源端的装备上设置（在多台接入端装备设置相同ACL规则的情形下，将ACL设置在网络的汇聚点）。

(2) 限制VLAN间会见照旧VLAN内会见？

○限制VLAN内会见：在接入层设置。

○限制VLAN间会见：在汇聚层设置。

(3) 是串行链路照旧多接入、多出口链路？

○串行链路：在入接口的入偏向设置。

○多接入、多出口链路：在数据流的汇聚接口设置ACL。

以上是一个大致的判断流程，现实应用中需要无邪调解。我们依据准则是：精准匹配需要过滤的流量，降低运维职员的设置与维护事情量，节约网络带宽和装备资源。

相关链接
ACL基本看法及原理先容

相关标签：

97国际·(中国区)集团官方网站

97国际·(中国区)集团官方网站

点赞

<< RMON是什么

ACL类型及区别 >>

相关产品

客户谈论

暂无谈论

我要谈论

您的姓名

您的手机号*

您的邮箱

公司名称

您的谈论*

我已仔细阅读并赞成隐私声明

验证码*

提交谈论

更多手艺博文

任何需要，请联系97国际

与售前照料攀谈

填写项目需求表单

97国际·(中国区)集团官方网站

97国际·(中国区)集团官方网站

售前咨询
售后服务
意见反响

97国际·(中国区)集团官方网站

返回顶部

收起

97国际·(中国区)集团官方网站

文档评价

该资料是否解决了您的问题？

您对目今页面的知足度怎样？

不咋滴

很是好

您知足的缘故原由是（多�。�？

您不知足的缘故原由是（多�。�？

您是否尚有其他问题或建议？

为了快速解决并回复您的问题，您可以留下联系方法

邮箱

手机号

我已赞成并阅读隐私政策

谢谢您的反�。�

97国际·(中国区)集团官方网站

97国际·(中国区)集团官方网站

97国际·(中国区)集团官方网站

请选择服务项目

售前咨询

售后服务

意见反响

更多联系方法