2. Рефлексивні acl.

Рефлексивні ACL використовуються для дозволу IP-трафіку для сесій, що виходять з мережі, забороняючи IP-трафік для сесій що відкриваються ззовні через межі мережі. Ці списки управління доступом дозволяють маршрутизатору керувати трафіком динамічно. Маршрутизатор перевіряє вихідний трафік і, коли він бачить нове з'єднання, додає запис в тимчасовий ACL, щоб дозволити зворотній трафік. Рефлексивні ACLs містять тільки тимчасові записи. Ці записи створюються автоматично, коли наприклад починається нова IP сесія та автоматично видаляються при завершенні сесії.

Рефлексивні списки ACL забезпечують кращу фільтрацію, ніж розширені ACL, що використовують параметр permit established. Хоча вони аналогічні за своєю концепцією established параметру, рефлексивні ACL також використовуються для UDP і ICMP, які не мають ACK або RST біт. Параметр established також не працює з додатками, які динамічно змінюють вихідний порт. Для дозволу established стану перевіряється тільки ACK і RST біт, а не адреси джерела та призначення.

Рефлексивні ACL не застосовуються безпосередньо до інтерфейсу, а є «вкладеними» в розширені іменні IP ACL, які застосовуються до інтерфейсу. Рефлексивні списки ACL можуть бути визначені тільки з розширеними іменними IP ACL. Вони не можуть бути визначені з номерним або іменним стандартним ACL або з іншими протоколами.

Доступ дозволяється на час сесії, відкритої вихідним пакетом та перевіряється відповідність адрес та портів цієї відкритої сесії. Рефлексивний ACL починає діяти при відкриванні сесії з внутрішньої сторони: генериться запис permit з тим же протоколом, що й у вихідному пакеті, тією ж вхідною та вихідною адресами хостів та портів (звичайно, переставлених місцями). Тимчасова стрічка видаляється в кінці сесії. Для TCP – це через 5 секунд після пакету з двома FIN-бітами або відразу після пакету з RST-бітом або після idle timeout. Для інших протоколів відслідковується тільки idle timeout. Не може бути використаний для протоколів, які змінюють номер порта для відповіді (наприклад, FTP – в даному випадку потрібно використовувати режим passive FTP). Для вихідного трафіку на зовнішньому інтерфейсі визначається рефлексивний ACL за допомогою команди permitp rotocol any any reflect name [timeout seconds] та застосовується до вихідного трафіку на зовнішньому інтерфейсі. При фільтруванні вихідних пакетів на зовнішньому інтерфейсі, коли доходить до стрічки зі словом reflect, то створюється відповідна тимчасова стрічка, у вхідному ACL на цьому інтерфейсі.

3. Часозалежні acl.

Часові ACL аналогічні розширеним ACL, але вони використовуються для контролю доступу в залежності від часу. Для впровадження часових ACL, створюються часові діапазони, які визначають певний час дня і тижня. Часовому діапазону призначається з ім'ям, а потім йде звернення до нього.

Часозалежні ACL мають ряд переваг:

• забезпечують кращий контроль для дозволу або відмови в доступі до ресурсів;

• дозволяють адміністраторам мережі контролювати повідомлення протоколювання. ACL записи можуть протоколювати трафік в певний час дня, а не постійно. Таким чином, адміністратори можуть просто відмовити в доступі без аналізу багатьох журналів, які створюються в години пік.