访问控制列表
访问控制列表 (ACL) 是一组条件，您可以将这些条件应用于网络设备，以过滤 IP 流量并保护设备免受未经授权的访问。
您可以在 NetScaler SDX Management Service GUI 上配置 ACL 以限制和控制对设备的访问。
注意：
从版本 12.0 57.19 起支持 SDX 设备上的 ACL。
本主题包括以下几个部分：
- 用法指南
- 如何配置 ACL
- ACL 规则的其他操作
- 故障排除
用法指南
在设备上创建 ACL 时，请记住以下几点：
- 将 SDX 设备升级到版本 11.0 57.19 时，默认情况下会禁用 ACL 功能。
- SDX 管理员只能通过 SDX 设备上的 ACL 控制入站数据包。
- 如果您使用 NetScaler Application Delivery Management 来管理 SDX 设备，则必须创建适当的 ACL 规则以允许 MAS 与 SDX 管理服务之间的通信。
- SDX 设备上的任何其他配置（如置备或删除 VPX、添加/删除外部服务器、SNMP 管理）都不需要对现有 ACL 配置进行任何更改。与这些实体的沟通由管理处负责。
如何配置 ACL
配置 ACL 涉及以下步骤：
- 启用 ACL 功能
- 创建 ACL 规则
- 启用 ACL 规则
注意：
您可以在不启用 ACL 功能的情况下创建 ACL 规则。但是，如果未启用该功能，则无法在创建 ACL 规则后启用该规则。
启用 ACL 功能
-
要启用 ACL 功能，请登录 SDX 管理服务 GUI，然后导航到 配置 > 系统 > ACL。
-
通过使用切换按钮，打开 ACL 功能。
创建 ACL 规则
-
在 ACL 页面上，单击 创建规则。
-
此时将打开创建规则窗口。添加下表中列出的详细信息。
属性 说明 名称 添加一个名字。 协议 从菜单中选择协议。默认情况下，TCP 处于选中状态。您可以选择 ANY 以允许所有协议。 源 IP 地址/子网 指定应用规则的源 IP 地址或源子网。如果必须将规则应用于所有传入通信，请选择 ANY。 目标 IP SDX 管理服务 IP 地址将自动填充为目标 IP。无法编辑此字段。 目的端口 指定规则适用的目标端口。如果规则适用于所有目标端口，请选择 ANY。 操作 选择规则的操作，即“允许”或“拒绝”。 优先级 分配优先级以指定评估规则的顺序。优先级编号决定了 ACL 规则与传入数据包的匹配顺序。优先级较低的数字具有较高的优先级。例如，优先级编号 1 的优先级高于优先级编号 1。如果没有任何规则与传入的数据包匹配，则该数据包将被阻止。 -
单击“确定”创建规则。
图： ACL 规则的示例
创建规则后，它将处于禁用状态。要使规则生效，必须启用该规则。
注意：
要启用规则，必须启用 ACL 功能。如果禁用了该功能，并且您尝试启用 ACL 规则，则会显示一条消息“ACL 未运行”。
启用 ACL 规则
-
将鼠标悬停在要启用的规则上，然后单击带有三个点的圆圈。
-
从菜单中选择“启用”。
-
或者，选择该规则的单选按钮，然后单击 启用 选项卡。
-
出现提示时，单击“是”进行确认。
ACL 规则的其他操作
您可以对 ACL 规则应用以下操作：
-
禁用 ACL 规则
-
编辑 ACL 规则
-
删除 ACL 规则
-
重新编号 ACL 规则的优先级
禁用 ACL 规则
-
将鼠标悬停在要禁用的规则上，然后选择带有三个点的圆圈。
-
从列表中单击“禁用”。
-
或者，选择该规则的单选按钮，然后单击 禁用 选项卡。
-
单击是进行确认。
注意：
禁用规则后，该规则将不再适用于传入流量。但是，规则配置仍保留在 ACL 设置下。
编辑 ACL 规则
-
将鼠标悬停在要编辑的规则上，然后选择带有三个点的圆。
-
在列表中单击 编辑规则 。将打开“修改规则”窗口。
-
或者，选择该规则的单选按钮，然后单击 编辑规则 选项卡。 修改规则”窗口随即打开
-
进行编辑，然后单击“确定”。
注意：
您可以编辑处于启用和禁用状态的规则。如果编辑的规则已经启用，编辑内容将立即应用。对于处于禁用状态的规则，启用规则时将应用编辑内容。
删除 ACL 规则
-
确保规则处于禁用状态。
-
将鼠标悬停在要删除的规则上，然后选择带有三个点的圆圈。单击列表中的 删除规则 。
-
或者，选择该规则的单选按钮，然后单击 删除规则 选项卡。
-
单击是进行确认。
注意：
您无法删除处于启用状态的规则。
重新编号 ACL 规则的优先级
-
将鼠标悬停在要为其重新编号优先级的规则上，然后选择带有三个点的圆圈。从列表中单击“重新编号优先级”。
-
或者，选择该规则的单选按钮，然后单击 选择操作 选项卡。
-
选择“重新编号优先级”。
-
SDX 管理服务会自动为所有现有规则分配新的优先级编号，即 10 的倍数。
-
编辑规则以根据需要分配优先级编号。有关如何编辑规则的更多信息，请参阅“编辑 ACL 规则”部分。
图。现有优先级号码的示例
图。优先级重新编号后优先级编号为 10 的倍数的示例
故障排除
如果 ACL 规则设置不当，所有用户帐户都可能被拒绝访问。如果由于 ACL 设置不当而无意中失去了对 SDX Management Service 的所有网络访问权限，请按照以下步骤获取访问权限。
-
使用 SSH 和您的“root”帐户登录Citrix Hypervisor 管理 IP 地址。
-
使用管理员权限登录管理服务虚拟机的控制台。
-
运行命令
pfctl –d。 -
通过 GUI 登录到管理服务，然后相应地重新配置 ACL。