Le ACL in azione

Una ACL (Access Control List) è un insieme ordinato di regole che consente o nega il traffico in base alle sue caratteristiche. Router, switch e firewall usano le ACL per decidere quali pacchetti possono passare e quali devono essere scartati.

Ogni regola, o ACE (Access Control Entry), individua il traffico in base a criteri come indirizzo sorgente, indirizzo di destinazione, protocollo o porta e applica un'azione: consentire o negare.

Una regola ACL tipica esamina:

• Indirizzo IP sorgente (chi sta inviando)
• Indirizzo IP di destinazione (dove sta andando)
• Protocollo (TCP, UDP, ICMP)
• Numero di porta (quale servizio)

Combinando questi elementi, è possibile scrivere regole precise, ad esempio consentire il traffico web verso un server e negare tutto il resto, controllando l'accesso in modo dettagliato.

Le ACL vengono valutate dall'alto verso il basso e l'elaborazione si interrompe alla prima regola corrispondente. L'ordine è quindi fondamentale: una regola ampia collocata all'inizio può prevalere su regole più specifiche sottostanti, che non vengono mai raggiunte.

La procedura consigliata consiste nel collocare prima le regole specifiche e successivamente quelle più ampie, così le eccezioni precise vengono valutate prima delle regole generiche.

La maggior parte delle ACL termina con un rifiuto implicito di tutto non visibile: il traffico non consentito esplicitamente viene scartato. Questo comportamento di rifiuto predefinito è una funzione di sicurezza, ma può sorprendere i principianti quando il traffico autorizzato viene comunque bloccato perché hanno dimenticato di consentire qualcosa.

Ricordi sempre che, se nessuna regola corrisponde, il traffico viene negato per impostazione predefinita. È necessario consentire esplicitamente ciò che si vuole autorizzare.

Sui router esistono due tipi classici di ACL:

• ACL standard: filtrano solo in base all'indirizzo IP sorgente; sono semplici ma poco precise.
• ACL estese: filtrano in base a sorgente, destinazione, protocollo e porta; sono molto più precise.

Le ACL estese sono molto più comuni perché le policy reali devono generalmente specificare quali sorgenti possono raggiungere quali servizi, non solo chi è autorizzato in generale.

Le ACL vengono applicate a un'interfaccia in una determinata direzione: in ingresso (traffico che entra nell'interfaccia) o in uscita (traffico che ne esce). La stessa regola produce effetti diversi a seconda della direzione e dell'interfaccia a cui è associata.

È essenziale collocare l'ACL sull'interfaccia e nella direzione corrette. Una regola corretta applicata all'interfaccia sbagliata semplicemente non filtrerà il traffico previsto.

Una ACL di base è stateless: valuta ogni pacchetto singolarmente, senza ricordare il traffico precedente. Un firewall stateful tiene traccia delle connessioni; quindi, se consente il traffico in uscita, autorizza automaticamente le risposte corrispondenti in ingresso.

Le ACL stateless richiedono regole esplicite in entrambe le direzioni, motivo per cui i firewall stateful sono più semplici e comuni per il filtraggio generico del traffico.

Legga questa semplice ACL per router come esempio di come combinare le regole per consentire un servizio e bloccare tutto il resto.

Le ACL svolgono molti compiti di sicurezza: bloccano indirizzi IP noti come dannosi, limitano le sottoreti che possono raggiungere un server, controllano l'accesso amministrativo ai dispositivi di rete e filtrano il traffico tra VLAN o zone.

Sono uno strumento essenziale e flessibile. Insieme alla segmentazione, le ACL trasformano i confini tra le zone in regole applicate che decidono esattamente quale traffico può attraversarli.

Tra gli errori comuni rientrano gli errori nell'ordine delle regole (una regola ampia che nasconde una regola specifica), la dimenticanza del rifiuto implicito, l'applicazione dell'ACL all'interfaccia o alla direzione sbagliata e il blocco accidentale dell'accesso al dispositivo, negando il proprio traffico di gestione.

Pianifichi e documenti attentamente le ACL, verifichi le modifiche e si assicuri sempre che l'accesso alla gestione remota rimanga consentito prima di applicare regole restrittive.

Una ACL è un elenco ordinato di regole di autorizzazione e negazione, elaborato dall'alto verso il basso fino alla prima corrispondenza e terminato da un rifiuto implicito. Le ACL estese filtrano per sorgente, destinazione, protocollo e porta; vengono applicate in ingresso o in uscita su un'interfaccia. Se usate correttamente, le ACL fanno rispettare la segmentazione e proteggono i dispositivi, ma l'ordine e la collocazione delle regole richiedono particolare attenzione.

Verifichi la Sua conoscenza delle ACL.

Una ACL è un elenco ordinato di regole di autorizzazione e negazione, confrontate con sorgente, destinazione, protocollo e porta. Le regole vengono elaborate dall'alto verso il basso fino alla prima corrispondenza e un rifiuto implicito di tutto scarta ciò che non è consentito. Le ACL estese sono le più precise, vengono applicate in ingresso o in uscita su un'interfaccia e richiedono particolare attenzione all'ordine e alla collocazione.