版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA版权协议,转载请附上原文出处链接和本声明。
实验难度3
实验复杂度3
一、实验原理
我们平时配置过滤数据流量的ACL都是应用在接口上的,但是有这样的一个问题,若有多个接口都有相同的需求会如何呢?我们会把相关的ACL一一应用到相应的接口上,这样可以精确的过滤我们定义的数据流量,但是这样一来就势必造成设备资源占用的情况,相对一些高端设备来说,这些资源的占用无够轻重,但是相对一些负载能力较小的中低端设备来说,这些资源都是十分可贵的。我们可以使用全局ACL来解决这些问题,全局ACL的特点如下:
1.不需要把相关的安全访问控制策略应用到每个接口,所以它是可以节省内存的;
2.在部署相关安全策略时,它具有比较大的灵活性,因为它是不需要指定哪个数据包从哪个一个方向进入,然后又往哪个方向出去,它只需要匹配源和目的IP地址就可以了。
3.方便从其他防火墙迁移到ASA,从而可以继续维护全局访问规则,不需要为每个接口配置特定的访问策略。
URPF(Unicast Reverse Path Forwarding),单播反向路径转发技术,它是一种抵御IP地址欺骗的技术。