I. Пример системы контроля доступа к ресурсам на территории кампуса
Система контроля доступа к ресурсам на территории кампуса может позволять пользователям получать прямой доступ к ресурсам без входа в систему, так же как некоторые пользователи на территории кампуса могут получать доступ к ресурсам без входа в систему. Существует также новая версия VPN, открытая для облегчения доступа к интранет-ресурсам и библиотечным ресурсам во внешней сети. Он не требует установки клиентов и плагинов, поддерживает прямое использование на компьютерах и мобильных телефонах и рекомендует использовать определенные браузеры для лучшего опыта. Это особая ситуация контроля доступа для конкретной среды (доступ к ресурсам на территории кампуса). Этот метод основан на настройке политики совместного использования ресурсов на территории кампуса, и его цель — облегчить пользователям на территории кампуса получение ресурсов.
II. Принцип работы ACL (список контроля доступа)
1. На основе технологии фильтрации пакетов.
- ACL использует технологию фильтрации пакетов для чтения информации в заголовках пакетов 3-го и 4-го уровня семиуровневой модели OSI на маршрутизаторе, такой как адрес источника, адрес назначения, порт источника, порт назначения и т. д.
- В соответствии с заранее заданными правилами пакет фильтруется для достижения цели контроля доступа.
2. Набор правил и применение интерфейса
— ACL — это набор правил, которые применяются к определенному интерфейсу маршрутизатора. Для интерфейса маршрутизатора список контроля доступа имеет два направления: исходящее (пакеты данных, обработанные маршрутизатором и покидающие маршрутизатор) и входящее (пакеты данных, поступившие на интерфейс маршрутизатора и подлежащие обработке маршрутизатором). .
- Если ACL применяется к определенному интерфейсу маршрутизатора, маршрутизатор применяет этот набор правил к пакетам данных для последовательного сопоставления и фильтрует пакеты данных, останавливая, если совпадение происходит, и используя правило по умолчанию, если совпадение отсутствует. происходить.
3. Стандартный список контроля доступа
- Разрешить или запретить пакеты данных на основе IP-адреса источника пакета данных. Номер списка управления доступом стандартного списка управления доступом — 1 - 99.
- Например, синтаксис создания списка управления доступом для всех хостов в сегменте сети 192.168.1.0: Router(config)#access-list1permit192.168.1.{{10}} .0.0.255; создание ACL для разрешения определенного хоста — Router(config)#access-list1permithost10.0.0.1; создание ACL по умолчанию для запрета доступа ко всем хостам — это Router(config)#access-list1denyany, где ключевое слово хост может указать адрес хоста без записи обратной подсети, а любой может представлять все хосты.
4. Расширенный список контроля доступа
- Разрешать или запрещать пакеты данных на основе IP-адреса источника, IP-адреса назначения, указанного протокола, порта и флагов пакета данных. Номер списка управления доступом расширенного списка управления доступом — 100-199.
- Синтаксис для создания расширенного списка ACL следующий (он включает номер списка доступа для указания номера списка управления доступом, протокол для указания типа протокола, например IP, TCP, UDP, ICMP и т. д., источник и назначения для указания адреса источника и адреса назначения соответственно, подстановочный знак источника и подстановочный знак назначения являются обратными кодами подсети).
В общем, системы контроля доступа определяют, какие пользователи или пакеты данных могут получить доступ к определенным ресурсам или через определенные сетевые интерфейсы, устанавливая правила. Эти правила могут основываться на множестве факторов: от простых IP-адресов до сложных комбинаций нескольких сетевых параметров, таких как протоколы и порты.
