I. Primer sistema za nadzor dostopa do virov v kampusu
Sistem za nadzor dostopa do virov v kampusu lahko uporabnikom omogoča neposreden dostop do virov brez prijave, tako kot lahko nekateri uporabniki v kampusu dostopajo do virov brez prijave v sistem. Obstaja tudi nova različica VPN, ki je odprta za lažji dostop do intraneta in knjižničnih virov v zunanjem omrežju. Ne zahteva namestitve odjemalcev in vtičnikov, podpira neposredno uporabo na računalnikih in mobilnih telefonih ter za boljšo izkušnjo priporoča uporabo določenih brskalnikov. To je posebna situacija nadzora dostopa za specifično okolje (dostop do virov v kampusu). Ta metoda temelji na nastavitvi pravilnika o skupni rabi virov v kampusu, njen namen pa je uporabnikom v kampusu olajšati pridobivanje virov.
II. Načelo delovanja ACL (Access Control List)
1. Temelji na tehnologiji filtriranja paketov
- ACL uporablja tehnologijo filtriranja paketov za branje informacij v glavah paketov 3. in 4. plasti sedemplastnega modela OSI na usmerjevalniku, kot so izvorni naslov, ciljni naslov, izvorna vrata, ciljna vrata itd.
- Po vnaprej določenih pravilih se paket filtrira, da se doseže namen nadzora dostopa.
2. Nabor pravil in aplikacija vmesnika
- ACL je niz pravil, ki se uporabljajo za določen vmesnik usmerjevalnika. Pri vmesniku usmerjevalnika ima seznam za nadzor dostopa dve smeri: odhodno (paketi podatkov, ki jih je usmerjevalnik obdelal in zapuščajo usmerjevalnik) in dohodno (paketi podatkov, ki so prispeli na vmesnik usmerjevalnika in jih bo usmerjevalnik obdelal) .
- Če je ACL uporabljen za določen vmesnik usmerjevalnika, usmerjevalnik uporabi ta nabor pravil za podatkovne pakete za zaporedno ujemanje in filtrira podatkovne pakete tako, da se ustavi, če pride do ujemanja, in uporabi privzeto pravilo, če ujemanje ni pojavijo.
3. Standardni seznam za nadzor dostopa
- Dovolite ali zavrnite podatkovne pakete glede na izvorni naslov IP podatkovnega paketa. Številka seznama za nadzor dostopa standardnega seznama za nadzor dostopa je 1 - 99.
- Na primer, sintaksa za ustvarjanje ACL-ja, ki dovoljuje vsem gostiteljem v omrežnem segmentu 192.168.1.0, je: Router(config)#access-list1permit192.168.1.{{10}} .0.0.255; ustvarjanje ACL za dovoljenje določenemu gostitelju je Router(config)#access-list1permithost10.0.0.1; ustvarjanje privzetega ACL za zavrnitev dostopa vsem gostiteljem je Router(config)#access-list1denyany, kjer lahko ključna beseda host poda naslov gostitelja, ne da bi napisal inverzno podomrežje, in any lahko predstavlja vse gostitelje.
4. Razširjeni seznam za nadzor dostopa
- Dovoli ali zavrni podatkovne pakete glede na izvorni naslov IP, ciljni naslov IP, podani protokol, vrata in zastavice podatkovnega paketa. Številka seznama za nadzor dostopa razširjenega seznama za nadzor dostopa je 100-199.
- Sintaksa za ustvarjanje razširjenega ACL je naslednja (vključuje številko seznama dostopa za določitev številke seznama za nadzor dostopa, protokol za določitev vrste protokola, kot je IP, TCP, UDP, ICMP itd., vir in destinacija za navedbo izvornega naslova oziroma ciljnega naslova, izvorni nadomestni znak in ciljni nadomestni znak sta inverzni kodi podomrežja).
Na splošno sistemi za nadzor dostopa z nastavitvijo pravil določajo, kateri uporabniki ali podatkovni paketi lahko dostopajo do določenih virov ali prek določenih omrežnih vmesnikov. Ta pravila lahko temeljijo na različnih dejavnikih, od preprostih naslovov IP do kompleksnih kombinacij več omrežnih parametrov, kot so protokoli in vrata.
