acl是什么？

acl 即访问控制列表。信息点间通信和内外网络的通信都是企业网络中必不可少的业务需求，为了保证内网的安全性，需要通过安全策略来保障非授权用户只能访问特定的网络资源，从而达到对访问进行控制的目的。简而言之，acl可以过滤网络中的流量，是控制访问的一种网络技术手段。

比如，你可以允许主机a访问人力资源系统，而禁止主机b访问；还可以允许工作人员只在午休等非工作时间访问某些特定服务。

令人头疼的逻辑策略管理

过去，安全运维人员由于管理的应用策略众多，同时又没有简单易用的管理工具，所以往往只能通过人工的、经验式的方式进行策略添加、策略检查和单一的策略查找。耗时费力不说，还总是会出现以下的问题：

策略难控——对于繁多的控制规则，很多时候可能有所忽略，导致前后添加的策略在逻辑上是冲突的，从而使部分策略失效或者没有更好地对安全策略进行把控。

任务繁重——为了更好地维护控制规则，需要定期人工检查，工作量巨大不说还无法有效保证准确率。

排查纠错——针对新增的场景，想要知道到底有哪些策略是会对其产生影响的话，就需要一条条的查看，工作量之大令人心力交瘁。

辨识困难——某些策略是单独针对特定的安全设备，过去只能修改名称加一个前缀用以区分，比如af_xxxx这种方式。但这种方式在规则数目很多的情况下并没有起到实际分组的作用。

查找不便——如果要利用搜索功能查找一条信息，只能通过其名称来查找，但是名称复杂往往不易记忆，所以会导致无法精确查找或者查找出的模糊匹配条目太多，极大降低了工作效率。

2秒内核查上千条acl规则是个梦？

一般来说遇到这些问题，运维人员首先会将acl策略进行分类，在某一个类别里面看是否存在匹配次数为0的情况，如果有就需要重点关注。因为很可能是这条策略已经失效才导致不匹配，之后就需要凭借管理员的技能和经验加以判断了。

但是，这种传统的方法存在bug。首先匹配次数会在机器重启后自动清零，意味着这个判断方式并不完全准确。其次，即便匹配次数不为0，也不代表没有问题。因此，仅靠个人的技能和经验加以筛选，效率和准确度并不理想。

新增的策略管理辅助模块：此外，可以通过失效策略检查、启用定期检查、模拟策略匹配和分组管理功能解决策略难控、任务繁重、排查纠错和辨识困难的问题。

强大的策略查找功能与策略调级矛盾自检：对于查找不便的情况，也可以通过搜索功能进行精确定位，这种搜索功能比传统方式强大许多，精确到什么程度呢？比如搜索“全部”，可以看到在详细信息中，所有包含“全部”字样的条目都会展现出来，而不仅仅局限于名称部分。此外，一般还可通过上移和下移的功能，方便安全运维人员对某些策略的升优先级和降优先级操作。而一旦操作后导致策略上产生矛盾，管理界面将会提示。

对于安全产品而言，如果acl逻辑是混乱的，不仅会给运维人员带来繁重的工作量还可能诱发无法预知的安全事件。因此，深信服希望可以通过工具化的手段、自动化的方式将acl逻辑的问题所在予以呈现，让it更简单、更安全、更有价值。