论文部分内容阅读
摘要：该文首先简单介绍了ACL的基本原理，重点介绍ACL技术在校园网管理中的作用，并给出了一些简单的配置实例，最后对ACL技术的发展展开展望。
关键词：访问权限控制列表；校园网；网络安全
中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)36-2965-02
The Application of ACL in Campus Network
LU Wei
(Yancheng Teachers University, College of Information Science and Technology, Yancheng 224002, China)
Abstract: First, this paper simply analyzes the basic principle of ACL; Second, it introduces the function of ACL in the campus network, and gives some examples of simple configuration; Last, it starts the development of ACL outlook.
Key words: Access Control List; Campus Network; Security of the Net
1 引言
随着计算机技术和网络技术的迅猛发展，以太网技术不断成熟和广泛应用，同时也给人们带来了更多的挑战。网络数据的安全性以及如何有效的管理好校园网成了摆在网络管理员面前的一个难题。该文主要介绍在以太网技术为主的校园网管理中如何利用ACL技术来降低对校园网中存在的安全隐患。
2 ACL技术概述
ACL的全称为访问控制列表（Access Control Lists），是Cisco IOS所提供的一种访问控制技术。ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。ACL可以实现网络流量限制，提高网络性能。ACL还提供网络访问的基本安全级别。
3 ACL在校园网中的应用
校园网通过CERNET与Internet相连，在享受Internet方便快捷的同时，也面临着遭遇病毒攻击的风险。网络管理员常使用ACL来禁止数据传输或仅允许指定的数据传输。然而这仅仅是访问控制列表的基本使用方法，其实还有一些许多管理员并不经常使用的方法。
3.1 利用ACL技术实现流量控制
虽然现在网络技术和网络设备有了很大的改进，校园网带宽拓展了很多，但很多学校的带宽仍然有时不够用。利用流量控制工具软件对校园网进行一下分析我们会发现其大部分出口带宽被下载软件所占用。下面我们就以现在比较流行的下载工具BT和电驴为例，分析一下如何利用ACL技术来控制校园网的出口流量。一般情况下，BT软件使用的是6880－6890端口，而电驴使用的是TCP的4662端口和UDP的4772端口，我们只要封锁这些端口就可以达到母的。具体配置如下：
Router(config)# access-list 101 deny tcp any any range 6880 6890
Router(config)# access-list 101 deny tcp any any eq 4662
Router(config)# access-list 101 deny udp any any eq 4772
Router(config)# access-list 101 permit ip any any
Router(config)# inter S0/0
Router(config-if)# ip access-group 101 out
3.2 利用ACL技術实现上网时间控制
利用ACL可以对用户限定上网的时间。比如为防止学生上网成瘾而逃课，可以限定在周一至周五上课时间（8：00-18：00）不能访问外网，其他时间可以开放。具体设置如下：
Router(config)#time–range limit
Router(config)#absolute start 1:00 1 October 2008 end 24:00 1 October 2009 periodic weekday 8:00 to 18:00
Router(config)#access–list 101 deny ip 192.168.0.1 0.0.0.255 any limit
Router(config)#permit ip any any
Router(config)#interface ethernet s0/0
Router(config)#ip access - group 101 in
以上我们就限定了从2008年10月1日到2009 年10月1日止，每周一到周五的早8点到18点不能访问Internet。同样，我们也可控制教职工对外网的访问，例如我们希望限制工作人员在工作时间内使用QQ或者联众游戏，那么我们可以在路由器上使用时间控制的ACL来达到目的。
3.3 利用ACL技术实现网络设备的管理
网络交换设备作为校园网的核心部分，它维护着整个校园网的有效运行，只有对网络设备进行一个有效的管理，才能为校园提供一个安全、稳定的网络环境。例如，我们可以限定只有网络管理员（192.168.0.1）才允许登录并配置路由器。我们可以利用ACL技术进行如下的配置：
Router(config)#access–list 1 permit 192.168.0.1
Router(config)#line vty 0 4
Router(config)#access-class 1 in
4 总结与展望
ACL技术和校园网管理相结合是一项很有前景的技术，它解决了网络管理上的很多难题，使得校园网有了一个更安全、更稳定的运行环境。但是由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要对校园网有一个更完善的管理于防护，还需要和系统级及应用级的访问权限控制以及防火墙、入侵检测、内网安全系统等一些网络安全技术相结合。如何使ACL技术和这些网络安全技术有机地结合起来，完善网络管理还有待进一步的研究。
参考文献：
[1] Michael Wenstrom. 管理Cisco网络安全[M]. 北京:人民邮电出版社，2002.
[2] 张保通.网络互连技术——路由、交换与远程访问[M]. 北京:中国水利水电出版社，2004.
[3] 魏大新,李育龙.Cisco网络技术教程[M]. 北京:电子工业出版社，2004.
[4] 蒋熹.使用ACL在校园网内实现流量控制与安全访问[J]. 中国科技信息,2007,(3):130-131.
关键词：访问权限控制列表；校园网；网络安全
中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)36-2965-02
The Application of ACL in Campus Network
LU Wei
(Yancheng Teachers University, College of Information Science and Technology, Yancheng 224002, China)
Abstract: First, this paper simply analyzes the basic principle of ACL; Second, it introduces the function of ACL in the campus network, and gives some examples of simple configuration; Last, it starts the development of ACL outlook.
Key words: Access Control List; Campus Network; Security of the Net
1 引言
随着计算机技术和网络技术的迅猛发展，以太网技术不断成熟和广泛应用，同时也给人们带来了更多的挑战。网络数据的安全性以及如何有效的管理好校园网成了摆在网络管理员面前的一个难题。该文主要介绍在以太网技术为主的校园网管理中如何利用ACL技术来降低对校园网中存在的安全隐患。
2 ACL技术概述
ACL的全称为访问控制列表（Access Control Lists），是Cisco IOS所提供的一种访问控制技术。ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。ACL可以实现网络流量限制，提高网络性能。ACL还提供网络访问的基本安全级别。
3 ACL在校园网中的应用
校园网通过CERNET与Internet相连，在享受Internet方便快捷的同时，也面临着遭遇病毒攻击的风险。网络管理员常使用ACL来禁止数据传输或仅允许指定的数据传输。然而这仅仅是访问控制列表的基本使用方法，其实还有一些许多管理员并不经常使用的方法。
3.1 利用ACL技术实现流量控制
虽然现在网络技术和网络设备有了很大的改进，校园网带宽拓展了很多，但很多学校的带宽仍然有时不够用。利用流量控制工具软件对校园网进行一下分析我们会发现其大部分出口带宽被下载软件所占用。下面我们就以现在比较流行的下载工具BT和电驴为例，分析一下如何利用ACL技术来控制校园网的出口流量。一般情况下，BT软件使用的是6880－6890端口，而电驴使用的是TCP的4662端口和UDP的4772端口，我们只要封锁这些端口就可以达到母的。具体配置如下：
Router(config)# access-list 101 deny tcp any any range 6880 6890
Router(config)# access-list 101 deny tcp any any eq 4662
Router(config)# access-list 101 deny udp any any eq 4772
Router(config)# access-list 101 permit ip any any
Router(config)# inter S0/0
Router(config-if)# ip access-group 101 out
3.2 利用ACL技術实现上网时间控制
利用ACL可以对用户限定上网的时间。比如为防止学生上网成瘾而逃课，可以限定在周一至周五上课时间（8：00-18：00）不能访问外网，其他时间可以开放。具体设置如下：
Router(config)#time–range limit
Router(config)#absolute start 1:00 1 October 2008 end 24:00 1 October 2009 periodic weekday 8:00 to 18:00
Router(config)#access–list 101 deny ip 192.168.0.1 0.0.0.255 any limit
Router(config)#permit ip any any
Router(config)#interface ethernet s0/0
Router(config)#ip access - group 101 in
以上我们就限定了从2008年10月1日到2009 年10月1日止，每周一到周五的早8点到18点不能访问Internet。同样，我们也可控制教职工对外网的访问，例如我们希望限制工作人员在工作时间内使用QQ或者联众游戏，那么我们可以在路由器上使用时间控制的ACL来达到目的。
3.3 利用ACL技术实现网络设备的管理
网络交换设备作为校园网的核心部分，它维护着整个校园网的有效运行，只有对网络设备进行一个有效的管理，才能为校园提供一个安全、稳定的网络环境。例如，我们可以限定只有网络管理员（192.168.0.1）才允许登录并配置路由器。我们可以利用ACL技术进行如下的配置：
Router(config)#access–list 1 permit 192.168.0.1
Router(config)#line vty 0 4
Router(config)#access-class 1 in
4 总结与展望
ACL技术和校园网管理相结合是一项很有前景的技术，它解决了网络管理上的很多难题，使得校园网有了一个更安全、更稳定的运行环境。但是由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要对校园网有一个更完善的管理于防护，还需要和系统级及应用级的访问权限控制以及防火墙、入侵检测、内网安全系统等一些网络安全技术相结合。如何使ACL技术和这些网络安全技术有机地结合起来，完善网络管理还有待进一步的研究。
参考文献：
[1] Michael Wenstrom. 管理Cisco网络安全[M]. 北京:人民邮电出版社，2002.
[2] 张保通.网络互连技术——路由、交换与远程访问[M]. 北京:中国水利水电出版社，2004.
[3] 魏大新,李育龙.Cisco网络技术教程[M]. 北京:电子工业出版社，2004.
[4] 蒋熹.使用ACL在校园网内实现流量控制与安全访问[J]. 中国科技信息,2007,(3):130-131.