访问控制列表在网络优化中的应用

摘 要：访问控制列表ACL（Access Control List）是保障网络安全性的方法之一，但访问控制列表的部署将降低网络设备的性能。为降低数据包进行访问控制的延迟，提高网络传输效率，该文对比了在不同的网络层次应用访问控制列表的两种方法。通过数学分析两种方法的数据包传输效率，在网络负载不同时会对网络性能造成不同的影响，运用合理可以优化网络性能。

关键词：访问控制列表；网络性能；优化

中图分类号：TP393 文献标识码：A

Application of Access Control List in Network Optimization

LIU Xiaoyuan

（Luoding Polytechnic，Luoding 527200，China）

Abstract：The access control list （ACL） is one of the methods to ensure network security，but access control list deployment will reduce the performance of network equipment.In order to reduce packet delay in access control and increase the network transmission efficiency，this paper compares the two methods in different network level application of access control lists.Through the packet transmission efficiency by mathematical analysis of the two methods， it will be caused different impact the network load on network performance and it will be used optimize the network performance with reasonable network.

Keywords：access control list；network performance；optimization

1 引言（Introduction）

访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和访问。访问控制列表ACL是应用在路由器接口的指令列表。这些指令列表用来告诉路由器哪些数据包可以收、哪些数据包需要拒绝。至于数据包是被接收还是拒绝，可以由类似于源地址、目的地址、端口号等的特定指示条件来决定。

本文讨论校园网中ACL的设计和部署对网络效率的影响，提出对基于ACL的网络效率优化方法并进行了实验论证。

2 ACL在网络中的作用（Effect of ACL in network）

访问控制列表是一组应用在网络设备接口上的指令，这些指令用来指示设备允许或拒绝特定的数据包通过[1]。ACL的基本工作原理是：ACL将流量与列表中的指令逐一进行比较，如果找到匹配指令，则按照指令制定的方式（permit或者deny，即允许或者拒绝）执行操作。如果没有找到匹配的指令，则按照默认方式进行处理。

常规访问控制列表如图1所示[2]：

图1 常规访问控制列表

Fig.1 Conventional access control list

虽然与ACL相关的访问控制研究获得了广泛关注，并取得了较好的成绩，但基于ACL在网络设备上的部署优化问题则相关文献较少，其优化策略还有待进一步研究[3-6]。因此本文主要研究ACL的优化问题，并进行分析，进而提出优化方法。

3 优化算法的研究（Study of optimization algorithm）

3.1 算法背景模型

根据常用网络拓扑模型（图2），在校园网分布层实施流量控制与优化策略。为了清晰地描述优化算法，本文对具体网络环境进行抽象，将校园网的结构抽象成一种树状网络拓扑模型。该结构主要由三层组成，从上到下依次为核心层、分布层和接入层。其中核心层与互联网相连，而接入层与校园网内用户相连。

图2 某校园网网络拓扑结构

Fig.2 A campus network topology

对整个校园网来讲，一般只有一个数据包汇总流出接口，用Iout表示；数据包自接入层流入接口，一般有多个Iin接口，现假设接口数为：Ic（Ic>1）；接口发送数据包速度，即每s接口i发送数据包进入设备的数量用Si表示；设备接收数据包速度，即每秒钟数据接收到的数据包总量S可以表示为式（1）：

（1）

根据网络拓扑的层次结构，我们可以将ACL部署在分布层网络设备的两个位置：Iout或者分别应用在Iin。当数据流量发生变化时，部署在不同位置的ACL将对网络设备性能产生不同的影响：

方法1：每一个运行的ACL都将耗费网络设备的资源，运行的ACL越多，耗费的资源也就越多，设备运行的效率也就越低，而每一个Iin接口上均运行独立的ACL势必消耗较多的网络设备资源。

方法2：当使用一个ACL的指令去匹配一个数据包时，会产生一定的时间延迟，当数据包和ACL指令的数量较大时，时间延迟比较严重，网络效率会降低。所以，如果将所有ACL均部署在Iout接口上进行控制，数据包在传输过程中会产生较大的时间延迟。

3.2 方法分析描述endprint

针对上节提出的方法1，我们对其进行量化分析，然后基于量化分析结果提出网络优化的具体措施。首先，本文将网络优化的目标定义在网络整体效率的提高，主要内容包括：

a.数据包在网络中传输的平均延迟；

b.网络设备的数据包转发网络设备的数据包转发速率V；

c.真实系统与量化分析的偏移量D。

则方法一数据包转发的时间延迟3为：

（2）

又因为

（3）

由式（1），则式（2）为

（4）

其中，D表示估算与实际系统直接的偏移量；N（0，1，…，Ic）表示端口号；rn（rn≥1）为应用在n端口上的ACL指令数量；（>0）为每一条ACL匹配一个数据包所造成的时间延迟。

针对方法2：将所有的ACL均应用在设备的一个接口上，则需要将功能相同的ACL合并。合并后的数据包转发的时间延迟为：

（5）

其中，s（0≤s≤1）为应用于每个接口ACL的指令重复率。

将方法1和方法2两量化方法进行比对，得到两种方法的频率F，通过判断F值，从而确定两种方法的优劣：

（6）

式6显示两种方法的效率与接口数和指令重复率相关，两者成反比关系。其关系分为如下两种情况：

当时，即F<1，方法1效率优于方法2。

当时，即F>1，方法2效率优于方法1。

4 实验（The experiment）

针对上述两种方法，本文按照文[5]的描述，在学校网络中进行实验。实验拓扑图如图2所示，接入层采用D-link smarty link，使用24个接口，划分24个VLAN。分布层采取cisco 3750-24ts-e，使用光纤接口接入核心层交换机。

实验采用固定接口，变动ACL指令部署和指令的重复率，通过show ip interface命令查看IP数据包的吞吐率，进而计算出每个数据包在网络设备中的延迟，如图3所示。

图3 方法1和方法2的实验对比

Fig.3 Experimental methods 1 and 2

实验结果整体基本上能够反映出方法1和方法2的特点，但是效率并不能与Ic的值成比例变化。主要原因是：网络整体的数据包吞吐率的不规则，不可精确控制，容易受到的干扰因素较多，峰谷数值差异较大；所选择的网络设备的处理能力较强，而网络负载较小，使得每一条ACL指令所造成的延迟较小等因素；每个独立的ACL进程所消耗的网络设备资源不同等。

为了测试算法在不同设备上的执行效率，我们选择了某品牌的国产设备作为测试对象，比较了两种方法的效率。试验结果如图4所示。

图4 在某国产设备商性能测试

Fig.4 In a domestic equipment manufacturers

performance test

如图4所示，在这种国产设备上，两种方法表现出了与思科设备上相似的特性，说明本文的算法具有很好的设备适应性。

5 结论（Conclusion）

本文对基于ACL网络优化的两种方法进行了分析和研究，通过量化分析，并进行了对应的实验，对实验结果进行了分析。但是ACL的应用和部署对网络性能的影响是复杂的，文中的公式和实验没有考虑网络吞吐率、网络设备资源占用等因素，这些将是下一步的研究工作。

参考文献（References）

[1] 曾旷怡，杨家海.访问控制列表的优化问题[J].软件学报，2007

（4）：978-985.

[2] 唐子蛟，李红蝉.基于ACL的网络安全管理的应用研究[J].四

川理工学院学报：自然科学版，2009（2）：48-51.

[3] 陆伟.ACL技术在校园网中的应用[J].电脑知识与技术.2008

（4）：2965-2966.

[4] 汪厚祥，李卉.基于角色的访问控制研究[J].计算机应用研究，

2005（4）：125-127.

[5] 思科ACL管理者用户指南（软件版本1.5）.2003.233-242.

[6] 徐恪，等.路由查找算法研究综述[J].软件学报，2002（1）： 43-50.

作者简介：

刘小园（1978-），男，硕士，讲师.研究领域：网络与数据库系

统，计算机软件与理论.endprint

针对上节提出的方法1，我们对其进行量化分析，然后基于量化分析结果提出网络优化的具体措施。首先，本文将网络优化的目标定义在网络整体效率的提高，主要内容包括：

a.数据包在网络中传输的平均延迟；

b.网络设备的数据包转发网络设备的数据包转发速率V；

c.真实系统与量化分析的偏移量D。

则方法一数据包转发的时间延迟3为：

（2）

又因为

（3）

由式（1），则式（2）为

（4）

其中，D表示估算与实际系统直接的偏移量；N（0，1，…，Ic）表示端口号；rn（rn≥1）为应用在n端口上的ACL指令数量；（>0）为每一条ACL匹配一个数据包所造成的时间延迟。

针对方法2：将所有的ACL均应用在设备的一个接口上，则需要将功能相同的ACL合并。合并后的数据包转发的时间延迟为：

（5）

其中，s（0≤s≤1）为应用于每个接口ACL的指令重复率。

将方法1和方法2两量化方法进行比对，得到两种方法的频率F，通过判断F值，从而确定两种方法的优劣：

（6）

式6显示两种方法的效率与接口数和指令重复率相关，两者成反比关系。其关系分为如下两种情况：

当时，即F<1，方法1效率优于方法2。

当时，即F>1，方法2效率优于方法1。

4 实验（The experiment）

针对上述两种方法，本文按照文[5]的描述，在学校网络中进行实验。实验拓扑图如图2所示，接入层采用D-link smarty link，使用24个接口，划分24个VLAN。分布层采取cisco 3750-24ts-e，使用光纤接口接入核心层交换机。

实验采用固定接口，变动ACL指令部署和指令的重复率，通过show ip interface命令查看IP数据包的吞吐率，进而计算出每个数据包在网络设备中的延迟，如图3所示。

图3 方法1和方法2的实验对比

Fig.3 Experimental methods 1 and 2

实验结果整体基本上能够反映出方法1和方法2的特点，但是效率并不能与Ic的值成比例变化。主要原因是：网络整体的数据包吞吐率的不规则，不可精确控制，容易受到的干扰因素较多，峰谷数值差异较大；所选择的网络设备的处理能力较强，而网络负载较小，使得每一条ACL指令所造成的延迟较小等因素；每个独立的ACL进程所消耗的网络设备资源不同等。

为了测试算法在不同设备上的执行效率，我们选择了某品牌的国产设备作为测试对象，比较了两种方法的效率。试验结果如图4所示。

图4 在某国产设备商性能测试

Fig.4 In a domestic equipment manufacturers

performance test

如图4所示，在这种国产设备上，两种方法表现出了与思科设备上相似的特性，说明本文的算法具有很好的设备适应性。

5 结论（Conclusion）

本文对基于ACL网络优化的两种方法进行了分析和研究，通过量化分析，并进行了对应的实验，对实验结果进行了分析。但是ACL的应用和部署对网络性能的影响是复杂的，文中的公式和实验没有考虑网络吞吐率、网络设备资源占用等因素，这些将是下一步的研究工作。

参考文献（References）

[1] 曾旷怡，杨家海.访问控制列表的优化问题[J].软件学报，2007

（4）：978-985.

[2] 唐子蛟，李红蝉.基于ACL的网络安全管理的应用研究[J].四

川理工学院学报：自然科学版，2009（2）：48-51.

[3] 陆伟.ACL技术在校园网中的应用[J].电脑知识与技术.2008

（4）：2965-2966.

[4] 汪厚祥，李卉.基于角色的访问控制研究[J].计算机应用研究，

2005（4）：125-127.

[5] 思科ACL管理者用户指南（软件版本1.5）.2003.233-242.

[6] 徐恪，等.路由查找算法研究综述[J].软件学报，2002（1）： 43-50.

作者简介：

刘小园（1978-），男，硕士，讲师.研究领域：网络与数据库系

统，计算机软件与理论.endprint

针对上节提出的方法1，我们对其进行量化分析，然后基于量化分析结果提出网络优化的具体措施。首先，本文将网络优化的目标定义在网络整体效率的提高，主要内容包括：

a.数据包在网络中传输的平均延迟；

b.网络设备的数据包转发网络设备的数据包转发速率V；

c.真实系统与量化分析的偏移量D。

则方法一数据包转发的时间延迟3为：

（2）

又因为

（3）

由式（1），则式（2）为

（4）

其中，D表示估算与实际系统直接的偏移量；N（0，1，…，Ic）表示端口号；rn（rn≥1）为应用在n端口上的ACL指令数量；（>0）为每一条ACL匹配一个数据包所造成的时间延迟。

针对方法2：将所有的ACL均应用在设备的一个接口上，则需要将功能相同的ACL合并。合并后的数据包转发的时间延迟为：

（5）

其中，s（0≤s≤1）为应用于每个接口ACL的指令重复率。

将方法1和方法2两量化方法进行比对，得到两种方法的频率F，通过判断F值，从而确定两种方法的优劣：

（6）

式6显示两种方法的效率与接口数和指令重复率相关，两者成反比关系。其关系分为如下两种情况：

当时，即F<1，方法1效率优于方法2。

当时，即F>1，方法2效率优于方法1。

4 实验（The experiment）

针对上述两种方法，本文按照文[5]的描述，在学校网络中进行实验。实验拓扑图如图2所示，接入层采用D-link smarty link，使用24个接口，划分24个VLAN。分布层采取cisco 3750-24ts-e，使用光纤接口接入核心层交换机。

实验采用固定接口，变动ACL指令部署和指令的重复率，通过show ip interface命令查看IP数据包的吞吐率，进而计算出每个数据包在网络设备中的延迟，如图3所示。

图3 方法1和方法2的实验对比

Fig.3 Experimental methods 1 and 2

实验结果整体基本上能够反映出方法1和方法2的特点，但是效率并不能与Ic的值成比例变化。主要原因是：网络整体的数据包吞吐率的不规则，不可精确控制，容易受到的干扰因素较多，峰谷数值差异较大；所选择的网络设备的处理能力较强，而网络负载较小，使得每一条ACL指令所造成的延迟较小等因素；每个独立的ACL进程所消耗的网络设备资源不同等。

为了测试算法在不同设备上的执行效率，我们选择了某品牌的国产设备作为测试对象，比较了两种方法的效率。试验结果如图4所示。

图4 在某国产设备商性能测试

Fig.4 In a domestic equipment manufacturers

performance test

如图4所示，在这种国产设备上，两种方法表现出了与思科设备上相似的特性，说明本文的算法具有很好的设备适应性。

5 结论（Conclusion）

本文对基于ACL网络优化的两种方法进行了分析和研究，通过量化分析，并进行了对应的实验，对实验结果进行了分析。但是ACL的应用和部署对网络性能的影响是复杂的，文中的公式和实验没有考虑网络吞吐率、网络设备资源占用等因素，这些将是下一步的研究工作。

参考文献（References）

[1] 曾旷怡，杨家海.访问控制列表的优化问题[J].软件学报，2007

（4）：978-985.

[2] 唐子蛟，李红蝉.基于ACL的网络安全管理的应用研究[J].四

川理工学院学报：自然科学版，2009（2）：48-51.

[3] 陆伟.ACL技术在校园网中的应用[J].电脑知识与技术.2008

（4）：2965-2966.

[4] 汪厚祥，李卉.基于角色的访问控制研究[J].计算机应用研究，

2005（4）：125-127.

[5] 思科ACL管理者用户指南（软件版本1.5）.2003.233-242.

[6] 徐恪，等.路由查找算法研究综述[J].软件学报，2002（1）： 43-50.

作者简介：

刘小园（1978-），男，硕士，讲师.研究领域：网络与数据库系

统，计算机软件与理论.endprint