Les listes de contrôle d’accès en pratique

Une ACL (liste de contrôle d’accès) est un ensemble ordonné de règles qui autorisent ou refusent le trafic en fonction de ses caractéristiques. Les routeurs, les commutateurs et les pare-feu utilisent les ACL pour déterminer quels paquets peuvent passer et lesquels sont rejetés.

Chaque règle, ou ACE (entrée de contrôle d’accès), fait correspondre le trafic à des critères tels que l’adresse source, la destination, le protocole ou le port, puis applique une action : autoriser ou refuser.

Une règle ACL type examine :

• Adresse IP source (qui envoie)
• Adresse IP de destination (où le trafic va)
• Protocole (TCP, UDP, ICMP)
• Numéro de port (quel service)

En combinant ces éléments, vous pouvez rédiger des règles précises, par exemple autoriser le trafic web vers un serveur tout en refusant tout le reste, afin de contrôler les accès avec finesse.

Les ACL sont évaluées de haut en bas et le traitement s’arrête à la première règle correspondante. L’ordre est donc essentiel : une règle générale placée tôt peut prendre le dessus sur des règles plus spécifiques situées plus bas, qui ne seront jamais atteintes.

La meilleure pratique générale consiste à placer les règles spécifiques en premier et les règles plus générales ensuite, afin que les exceptions précises soient évaluées avant les entrées couvrant tous les cas.

La plupart des ACL se terminent par un refus implicite de tout, invisible : tout trafic qui n’est pas explicitement autorisé est rejeté. Ce comportement de refus par défaut est une fonctionnalité de sécurité, mais il surprend les débutants lorsque leur trafic autorisé reste bloqué parce qu’ils ont oublié d’autoriser un élément.

Souvenez-vous toujours que si aucune règle ne correspond, le trafic est refusé par défaut. Vous devez autoriser explicitement ce que vous souhaitez laisser passer.

Sur les routeurs, il existe deux types classiques d’ACL :

• Les ACL standard filtrent uniquement selon l’adresse IP source : elles sont rudimentaires, mais simples.
• Les ACL étendues filtrent selon la source, la destination, le protocole et le port : elles sont beaucoup plus précises.

Les ACL étendues sont bien plus courantes, car les règles réelles doivent généralement préciser quelles sources peuvent atteindre quels services, et pas seulement qui est autorisé ou non.

Les ACL sont appliquées à une interface dans une direction : entrante (trafic qui entre dans l’interface) ou sortante (trafic qui en sort). La même règle produit des effets différents selon la direction et l’interface à laquelle elle est associée.

Placer l’ACL sur la bonne interface et dans la bonne direction est essentiel. Une règle correcte appliquée à la mauvaise interface ne filtrera tout simplement pas le trafic que vous aviez l’intention de filtrer.

Une ACL de base est sans état : elle juge chaque paquet isolément, sans conserver la mémoire du trafic précédent. Un pare-feu avec état suit les connexions ; s’il autorise un trafic sortant, il autorise automatiquement les réponses correspondantes à revenir.

Les ACL sans état nécessitent des règles explicites dans les deux directions, ce qui explique pourquoi les pare-feu avec état sont plus simples et plus courants pour le filtrage général du trafic.

Lisez cette ACL simple de routeur pour voir comment des règles se combinent afin d’autoriser un service tout en bloquant tout le reste.

Les ACL remplissent de nombreuses fonctions de sécurité : bloquer les adresses IP connues comme malveillantes, limiter les sous-réseaux pouvant atteindre un serveur, contrôler l’accès d’administration aux appareils réseau et filtrer le trafic entre les réseaux locaux virtuels ou les zones.

Il s’agit d’un outil fondamental et flexible. Associées à la segmentation, les ACL transforment les frontières entre les zones en règles appliquées qui déterminent précisément quel trafic peut les franchir.

Parmi les erreurs courantes figurent les erreurs d’ordre des règles (une règle générale qui masque une règle spécifique), l’oubli du refus implicite, l’application de l’ACL à la mauvaise interface ou dans la mauvaise direction, ainsi que le verrouillage accidentel d’un appareil en refusant votre propre trafic d’administration.

Planifiez et documentez soigneusement vos ACL, testez les modifications et vérifiez toujours que l’accès à l’administration à distance reste autorisé avant d’appliquer des règles restrictives.

Une ACL est une liste ordonnée de règles d’autorisation et de refus, traitées de haut en bas jusqu’à la première correspondance, puis se terminant par un refus implicite. Les ACL étendues filtrent selon la source, la destination, le protocole et le port ; vous les appliquez en entrée ou en sortie sur une interface. Bien utilisées, les ACL appliquent la segmentation et protègent les appareils, mais l’ordre et l’emplacement des règles doivent être soigneusement définis.

Testez vos connaissances sur les ACL.

Une ACL est une liste ordonnée de règles d’autorisation et de refus, mises en correspondance selon la source, la destination, le protocole et le port. Les règles sont traitées de haut en bas jusqu’à la première correspondance, et un refus implicite de tout rejette tout ce qui n’est pas autorisé. Les ACL étendues sont les plus précises ; elles s’appliquent en entrée ou en sortie sur une interface et exigent un ordre et un emplacement soigneusement choisis.