◆汪海涛 石灵心 戴宏明

（1.广东科贸职业学院信息与自动化学院 广东 510620；2.广东轻工职业技术学院管理学院 广东510300）

1 引言

在网络系统中，时常需要根据网络管理者的意图，让某些满足条件的数据包可以通过，不满足条件的数据包拒绝通过，这时就需要用到ACL。ACL 即访问控制列表，通过定义ACL，可以实现数据包的过滤规则[1]。

ACL 的类别可以分为：标准ACL 和扩展ACL。标准ACL 只检查数据包的源地址，扩展ACL 检查数据包的源地址、目的地址、协议、端口。首先，根据网络管理者的意图定义好ACL，然后将ACL绑定在数据包通过三层设备的某个接口，那么这个ACL 过滤规则便生效了。在特殊情况下，网络管理者要求过滤规则是用户对Ⅰnternet发起请求的回路信息可以通过，但是来自Ⅰnternet 对用户的主动访问被拒绝，就需要使用自反ACL 这一特殊功能[2]。

2 自反ACL 的定义

自反访问列表ACL（Reflexive Access Lists），Reflexive 翻译过来即自反的意思。自反ACL 会根据一个方向的访问控制列表，自动生成另一个反方向的控制列表，该反方向的控制列表和原本控制列表的源地址和目的地址反转，而且源端口号和目的端口号也相应反转的一个列表[3]。有的情况下，这个反转的列表还匹配了时间限制，过了有效时间就会超时，这个新创建的自反列表就会消失，这样极大地提高了网络的安全性[4]。

自反ACL 不能直接应用到路由器或者是三层交换机的接口，而是“嵌套”在接口所使用的扩展命名ACL 中，然后网络管理者将这个扩展命名的ACL 绑定到三层设备的某个接口。……