扩展ACL 中的established 参数原理说明

network

扩展ACL 中的established 参数原理说明

在扩展ACL 语句的最后，我们可以加上established 参数，它可以用来作TCP 的单向访问控制。
下TCP 建立连接的过程：
  
  主机A  --------------------------------   主机B
                      SYN: seq=x
      ------------------------------------------->
                  
                 SYN:seq=y     ACK=x+1
      <-------------------------------------------


                  SYN: seq=x+1   ACK=y+1
      -------------------------------------------->

上面的图示显示了TCP 建立连接的过程。可以看出：A 发给B 的第一个数据段中没有ACK 位，通过这点我们就可以判断A 在向B 发起连接。扩展Acl 中的established 可以根据数据段中是否设置了ACK 位来对分组进行过滤（没有ACK 位的不符合established 条件）。
    注意：该方法只能控制基于TCP 的应用。 在VACL中也适用。

rclijia

帮顶了，没什么人气啊！