アクセスコントロールリストを実際に使う

ACL（Access Control List）は、トラフィックの特性に基づいて許可または拒否する、順序付けられたルールの集合です。ルーター、スイッチ、ファイアウォールはACLを使用して、通過を許可するパケットと破棄するパケットを決定します。

各ルール、つまりACE（Access Control Entry）は、送信元アドレス、宛先、プロトコル、ポートなどの条件でトラフィックに一致させ、許可または拒否のアクションを適用します。

一般的なACLルールでは、次の項目を調べます。

• 送信元IPアドレス（誰が送信しているか）
• 宛先IPアドレス（どこへ向かっているか）
• プロトコル（TCP、UDP、ICMP）
• ポート番号（どのサービスか）

これらを組み合わせることで、あるサーバーへのWebトラフィックだけを許可し、それ以外はすべて拒否する、といった正確なルールを作成できます。これにより、きめ細かくアクセスを制御できます。

ACLは上から下へ評価され、最初に一致したルールで処理を停止します。そのため順序が非常に重要です。上の方に広範なルールを置くと、その下にある、より具体的なルールまで到達せず、上書きされてしまうことがあります。

一般的なベストプラクティスは、具体的なルールを先に置き、広範なルールを後に置くことです。これにより、包括的なエントリより先に、詳細な例外が評価されます。

ほとんどのACLは、見えない暗黙の全拒否で終わります。明示的に許可されていないトラフィックはすべて破棄されます。このデフォルト拒否の動作はセキュリティ機能ですが、許可したはずのトラフィックがブロックされるため、必要な許可を忘れた初心者は戸惑うことがあります。

どのルールにも一致しなければ、トラフィックはデフォルトで拒否されることを常に覚えておきましょう。許可したいものは、明示的に許可する必要があります。

ルーターには、従来から次の2種類のACLがあります。

• 標準ACLは送信元IPアドレスだけでフィルタリングします。大まかな制御ですが、シンプルです。
• 拡張ACLは送信元、宛先、プロトコル、ポートでフィルタリングし、はるかに正確に制御できます。

実際のポリシーでは、単に誰を許可するかではなく、どの送信元がどのサービスに到達できるかを指定する必要があるため、拡張ACLの方がはるかによく使われます。

ACLは方向を指定してインターフェースに適用します。インバウンドはインターフェースに入ってくるトラフィック、アウトバウンドはインターフェースから出ていくトラフィックです。同じルールでも、方向と適用先のインターフェースによって効果が異なります。

ACLを正しいインターフェースに正しい方向で配置することが不可欠です。正しいルールでも、間違ったインターフェースに適用すると、意図したトラフィックをフィルタリングできません。

基本的なACLはステートレスです。以前のトラフィックを記憶せず、各パケットを単独で判断します。一方、ステートフルファイアウォールは接続を追跡するため、アウトバウンドトラフィックを許可すると、それに対応する返信も自動的に許可します。

ステートレスACLでは、両方向に明示的なルールが必要です。そのため、一般的なトラフィックのフィルタリングには、ステートフルファイアウォールの方が扱いやすく、よく使われます。

次のシンプルなルーターACLを例に、サービスを許可しながら、それ以外をすべてブロックするルールの組み合わせ方を確認しましょう。

ACLは、既知の悪意あるIPアドレスのブロック、サーバーに到達できるサブネットの制限、ネットワークデバイスへの管理アクセスの制御、VLANやゾーン間のフィルタリングなど、さまざまなセキュリティ業務に利用できます。

ACLは基盤となる柔軟なツールです。セグメンテーションと組み合わせることで、ゾーン間の境界を強制的なルールに変え、どのトラフィックを通過させるかを正確に決定できます。

よくあるミスには、ルールの順序に関する誤り（広範なルールが具体的なルールを隠してしまう）、暗黙の拒否を忘れること、ACLを間違ったインターフェースや方向に適用すること、管理用トラフィックまで拒否してデバイスから自分を締め出してしまうことなどがあります。

ACLは慎重に計画して文書化し、変更をテストしてください。また、制限の厳しいルールを適用する前に、リモート管理アクセスが引き続き許可されることを必ず確認しましょう。

ACLは、許可/拒否ルールを順序付けて並べたリストです。上から順に処理し、最初に一致した時点で停止します。最後には暗黙の拒否があります。拡張ACLは送信元、宛先、プロトコル、ポートでフィルタリングし、インターフェースにインバウンドまたはアウトバウンドで適用します。ACLを適切に使用すれば、セグメンテーションを強制してデバイスを保護できますが、ルールの順序と配置には細心の注意が必要です。

ACLについての知識を確認しましょう。

ACLは、送信元、宛先、プロトコル、ポートに基づいて照合する、順序付けられた許可/拒否ルールのリストです。ルールは上から下へ処理され、最初に一致した時点で停止します。許可されていないものは暗黙の全拒否によって破棄されます。拡張ACLは最もきめ細かく制御でき、インターフェースにインバウンドまたはアウトバウンドで適用します。ルールの順序と配置には注意が必要です。