Cisco ACL 基本原理、功能與局限性

功能：網絡中的節點資源節點和使用者節點兩大類，其中資源節點提供服務或資料，使用者節點通路資源節點所提供的服務與資料。ACL的主要功能就是一方面保護資源節點，阻止非法使用者對資源節點的通路，另一方面限制特定的使用者節點所能具備的通路權限。

　　配置ACL的基本原則：在實施ACL的過程中，應當遵循如下兩個基本原則：

　　最小特權原則：隻給受控對象完成任務所必須的最小的權限

　　最靠近受控對象原則：所有的網絡層通路權限控制

　　局限性：由于ACL是使用包過濾技術來實作的，過濾的依據又僅僅隻是第三層和第四層標頭中的部分資訊，這種技術 具有一些固有的局限性，如無法識别到具體的人，無法識别到應用内部的權限級别等。是以，要達到end to end的權限控制目的，需要和系統級及應用級的通路權限控制結合使用。