acl标准和扩展编号

ACL（Access Control List）是一种常见的网络安全控制方式，能够对网络流量进行限制。ACL基于网络中的源IP地址、目的IP地址、源端口和目的端口，可以允许或拒绝进入或离开网络的特定流量。ACL的实现方式有两种，一种是基于硬件设备，如路由器、交换机等；另一种是基于软件，如防火墙等。无论是硬件设备还是软件，都需要配置ACL规则，而ACL规则中就需要有编号。

ACL规则必须有标准和扩展编号两种。标准和扩展编号是ACL中用于识别单个规则并进行分类的数字。本文将从多个角度对ACL标准和扩展编号进行分析。

一、ACL标准编号

ACL标准编号是针对网络流量中的源IP地址和目的IP地址进行过滤的。ACL标准编号范围是1-99和1300-1999。标准编号就是这个范围内的数值，例如：

```

access-list 10 permit 192.168.1.0 0.0.0.255

```

在这个例子中，“10”就是ACL标准编号。10号ACL规则的作用是允许所有源IP地址为192.168.1.0/24的流量进入或离开网络。

总体来说，ACL标准编号使用比较简单。由于标准编号只涉及源IP地址和目的IP地址，所以它不能以源端口或目的端口为条件进行过滤。

二、ACL扩展编号

ACL扩展编号可以根据网络流量中的源IP地址、目的IP地址、源端口和目的端口，对进出网络的流量进行更细致的控制。ACL扩展编号的范围是100-199和2000-2699。与ACL标准编号相比，ACL扩展编号使用更加复杂，但同时也更加灵活。

一个典型的ACL扩展规则如下：

```

access-list 101 permit tcp any host 192.168.1.1 eq 80

```

在这个例子中，“101”就是ACL扩展编号。101号ACL规则的作用是允许所有源IP地址的TCP流量（来自任何源IP地址），只要它的目的IP地址为192.168.1.1，目的端口为80。这个规则就是一个非常常见的规则，允许Web服务器上的HTTP流量进入网络。

值得注意的是，ACL扩展规则的行为可以是拒绝流量或允许流量。拒绝所有的IPV6流量，我们可以将这个规则添加到防火墙中：

```

access-list 120 deny ipv6 any any

```

当这个规则应用于网络接口时，它会拒绝来自任何来源的IPv6流量。

三、ACL标准和扩展编号的差异

ACL标准编号和ACL扩展编号的差异主要在规则匹配的字段数目不同。

ACL标准编号只涉及到源IP地址和目的IP地址。所以标准ACL只能根据源IP地址和目的IP地址来限制特定的流量。这是因为通常认为所有源IP地址的流量都由同一个应用程序或者服务发出。因此源IP地址常常被用来作为整个交换单元的标识。由于标准ACL仅仅用于过滤源IP和目的IP地址，所以它不能够处理其他信息，例如端口或服务。

ACL扩展编号向更多流量特征进行匹配，可以区分各种不同的服务和协议，例如FTP、HTTP和SMTP等。ACL扩展可以根据端口号、协议类型和源IP地址或目的IP地址进行筛选，使网络管理员能够更好地控制访问网络的特定用户或应用程序。

四、如何为ACL规则选择编号

对于每个ACL规则，都需要选择一个唯一的编号。正确选择编号有助于防止管理员误操作配置，并提高ACL规则的可读性。

1. 为ACL规则选择一个足够大的编号

保证为ACL规则定义的编号足够大，是一个最基本的选择准则。此外还要注意，规则的编号不能丢失，否则就无法编辑它，或者可能会产生意想不到的结果。建议在规定段（100以上）选择ACL扩展编号，方便后期修改和维护。

2. 考虑编号的名称

选择ACL编号时，需要注意选取一个能够代表该规则的名称。这样做可以更好地表达网络访问控制策略的含义，方便其他管理员理解ACL规则和采取必要的行动。

总体而言，ACL标准和扩展编号的作用都是在网络安全控制中进行特定流量的限制。其主要的不同在于，ACL扩展可以根据更多的流量特征进行匹配，使管理员能够更好地控制访问网络的特定用户或应用程序。而作为管理员，需注意为ACL规则选择足够大的编号，考虑编号的名称，以便更好地表达和理解网络安全控制策略。