访问控制概述

访问控制基于访问控制规则匹配流量并对流量执行相关的授权策略。访问控制规则由匹配元素和授权策略两部分组成：

• 匹配元素：访问控制规则支持通过规则方向、协议类型、源网段、源端口、目的网段、目的端口等元素匹配流量。

  SAG硬件实例和SAG App实例支持不同的匹配元素，关于SAG硬件实例和SAG App实例支持的匹配元素，请参见为SAG App实例添加访问控制规则和为SAG硬件实例添加访问控制规则。

• 授权策略：指制定策略允许流量通过或拒绝流量通过。

一个访问控制实例包含一条或多条访问控制规则。流量默认按照访问控制规则的优先级，从高优先级的访问控制规则开始逐条进行匹配（访问控制规则优先级的数值越小，优先级越高），如果流量匹配到多个优先级相同的访问控制规则，则访问控制规则生效原则如下：

• 授权策略为拒绝的访问控制规则优先生效。

• 如果多个优先级相同的访问控制规则的授权策略也相同，则按照最长匹配原则，访问控制规则中源网段和目的网段与流量的源IP地址和目的IP地址最匹配的访问控制规则优先生效。

• 如果多个优先级相同的访问控制规则的授权策略、源网段、目的网段也相同，则最先配置的访问控制规则优先生效。