قوائم التحكم في الوصول عمليًا

إن ACL (قائمة التحكم في الوصول) مجموعة مرتبة من القواعد التي تسمح بحركة المرور أو تمنعها استنادًا إلى خصائصها. وتستخدم الموجّهات والمفاتيح وجدران الحماية ACLs لتحديد الحزم التي يمكنها العبور وتلك التي يجري إسقاطها.

تطابق كل قاعدة، أو ACE (إدخال التحكم في الوصول)، حركة المرور وفق معايير مثل عنوان المصدر أو الوجهة أو البروتوكول أو المنفذ، ثم تطبق إجراءً هو السماح أو الرفض.

تفحص قاعدة ACL النموذجية ما يلي:

• عنوان IP المصدر (الجهة المرسلة)
• عنوان IP الوجهة (الجهة المتجهة إليها)
• البروتوكول (TCP وUDP وICMP)
• رقم المنفذ (الخدمة المعنية)

وبدمج هذه العناصر، يمكنك كتابة قواعد دقيقة، مثل السماح بحركة مرور الويب إلى خادم واحد مع رفض كل شيء آخر، والتحكم في الوصول بمستوى دقيق.

تُقيَّم ACLs من الأعلى إلى الأسفل، وتتوقف المعالجة عند أول قاعدة مطابقة. لذلك يُعد الترتيب بالغ الأهمية: فقد تتجاوز قاعدة عامة موضوعة في موضع مبكر قواعد أكثر تحديدًا تليها، ولا يجري الوصول إليها أصلًا.

وتتمثل أفضل ممارسة عامة في وضع القواعد المحددة أولًا والقواعد الأوسع لاحقًا، حتى تُقيَّم الاستثناءات الدقيقة قبل الإدخالات الشاملة.

تنتهي معظم ACLs بقاعدة غير مرئية هي الرفض الضمني للجميع: تُسقط أي حركة مرور لم يُسمح بها صراحةً. ويُعد سلوك الرفض الافتراضي هذا ميزة أمنية، لكنه قد يفاجئ المبتدئين عندما تظل حركة المرور المسموح بها محظورة لأنهم نسوا السماح بأحد العناصر.

تذكر دائمًا أنه إذا لم تطابق حركة المرور أي قاعدة، فسيُرفض مرورها افتراضيًا. ويجب أن تسمح صراحةً بما تريد السماح به.

يوجد نوعان تقليديان من ACLs على الموجّهات:

• ACLs القياسية ترشح حركة المرور وفق عنوان IP المصدر فقط، وهي محدودة لكنها بسيطة.
• ACLs الموسعة ترشح وفق المصدر والوجهة والبروتوكول والمنفذ، ولذلك فهي أكثر دقة بكثير.

وتُستخدم ACLs الموسعة على نطاق أوسع بكثير، لأن السياسات الفعلية تحتاج عادةً إلى تحديد المصادر التي يمكنها الوصول إلى خدمات معينة، لا مجرد تحديد الجهات المسموح لها عمومًا.

تُطبَّق ACLs على واجهة في اتجاه معين: وارد (حركة المرور الداخلة إلى الواجهة) أو صادر (حركة المرور الخارجة منها). وتنتج القاعدة نفسها تأثيرات مختلفة تبعًا للاتجاه والواجهة التي أُرفقت بها.

يُعد وضع ACL على الواجهة والاتجاه الصحيحين أمرًا ضروريًا. فحتى القاعدة الصحيحة، إذا وُضعت على الواجهة الخطأ، لن ترشح حركة المرور التي قصدتها.

تكون ACL الأساسية عديمة الحالة: إذ تحكم على كل حزمة بمفردها دون تذكّر حركة المرور السابقة. أما جدار الحماية المعتمد على الحالة فيتتبع الاتصالات، ولذلك إذا سمح بحركة مرور صادرة، فإنه يسمح تلقائيًا بعودة الردود المطابقة.

تحتاج ACLs عديمة الحالة إلى قواعد صريحة في كلا الاتجاهين، ولهذا تكون جدران الحماية المعتمدة على الحالة أسهل وأكثر شيوعًا في ترشيح حركة المرور العامة.

اقرأ ACL البسيطة هذه على الموجّه بوصفها مثالًا على كيفية تضافر القواعد للسماح بخدمة مع حظر كل شيء آخر.

تؤدي ACLs العديد من مهام الأمان: حظر عناوين IP المعروفة بسوئها، وتقييد الشبكات الفرعية التي يمكنها الوصول إلى خادم، والتحكم في وصول الإدارة إلى أجهزة الشبكة، وترشيح حركة المرور بين VLANs أو المناطق.

وهي أداة أساسية ومرنة. وبالاقتران مع التقسيم، تحوّل ACLs الحدود بين المناطق إلى قواعد مفروضة تحدد بدقة حركة المرور التي يمكنها العبور.

تشمل الأخطاء الشائعة أخطاء ترتيب القواعد (إذ تخفي قاعدة عامة قاعدة محددة)، ونسيان الرفض الضمني، وتطبيق ACL على الواجهة أو الاتجاه الخطأ، ومنع الوصول إلى جهاز عن طريق الخطأ بحظر حركة مرور الإدارة الخاصة بك.

خطط لـ ACLs ووثّقها بعناية، واختبر التغييرات، وتأكد دائمًا من استمرار السماح بالوصول إلى الإدارة عن بُعد قبل تطبيق القواعد التقييدية.

إن ACL قائمة مرتبة من قواعد السماح/الرفض، تُعالج من الأعلى إلى الأسفل حتى أول تطابق، وتنتهي برفض ضمني. ترشح ACLs الموسعة وفق المصدر والوجهة والبروتوكول والمنفذ، وتُطبَّق على واجهة في الاتجاه الوارد أو الصادر. وعند استخدامها جيدًا، تفرض ACLs التقسيم وتحمي الأجهزة، لكن يظل الترتيب والموضع الدقيقان للقواعد أمرين أساسيين.

اختبر معرفتك بـ ACLs.

إن ACL قائمة مرتبة من قواعد السماح/الرفض، تُطابق وفق المصدر والوجهة والبروتوكول والمنفذ. وتُعالج القواعد من الأعلى إلى الأسفل حتى أول تطابق، بينما تُسقط قاعدة الرفض الضمني للجميع كل ما لم يُسمح به. وتتميز ACLs الموسعة بأعلى درجات الدقة، وتُطبَّق واردًا أو صادرًا على واجهة، وتتطلب عناية بترتيب القواعد ومواضعها.