在一些小型网络中,网络管理员可能希望只允许特定人员访问互 联网或者网络中的某些业务。这种情况下,我们一般通过 ACL 来实现。 ACL 是个很好的工具,但是也有它本身的硬伤,就是不够智能。比如 如果说一个网段中有 200 台电脑,其中 30 台是领导的,需要访问互 联网,另外 170 台是员工的,不允许访问互联网,该怎么做呢?有人 说:嘿,几条 ACL 不就搞定了?是的,ACL 是可以解决现在的问题, 可是如果员工修改了 IP 地址呢?难道你又去调整 ACL?或者说干脆 IP 地址都是 DHCP 分配的,那又怎么办?现在 ACL 是不是显得黔驴技穷 了呢?