액세스 제어 목록 활용하기

ACL(접근 제어 목록)은 트래픽의 특성에 따라 허용하거나 거부하는 규칙을 순서대로 나열한 집합입니다. 라우터, 스위치, 방화벽은 ACL을 사용하여 어떤 패킷을 통과시키고 어떤 패킷을 삭제할지 결정합니다.

각 규칙 또는 ACE(접근 제어 항목)는 출발지 주소, 목적지, 프로토콜, 포트와 같은 기준으로 트래픽을 일치시키고 Permit 또는 거부 동작을 적용합니다.

일반적인 ACL 규칙은 다음을 검사합니다.

• 출발지 IP 주소(누가 보내는가)
• 목적지 IP 주소(어디로 가는가)
• 프로토콜(TCP, UDP, ICMP)
• 포트 번호(어떤 서비스인가)

이 항목들을 조합하면 한 서버로 가는 웹 트래픽은 Permit하고 나머지는 모두 거부하는 것처럼 정밀한 규칙을 작성하여 세밀하게 접근을 제어할 수 있습니다.

ACL은 위에서 아래로 평가하며, 처음으로 일치하는 규칙을 찾으면 처리를 중지합니다. 따라서 순서가 매우 중요합니다. 앞에 배치된 포괄적인 규칙이 뒤에 있는 더 구체적인 규칙을 덮어쓸 수 있으며, 이 경우 뒤의 규칙은 평가되지 않습니다.

일반적인 모범 사례는 구체적인 규칙을 먼저 배치하고 포괄적인 규칙을 나중에 배치하는 것입니다. 이렇게 하면 모든 항목에 적용되는 규칙보다 구체적인 예외를 먼저 평가할 수 있습니다.

대부분의 ACL은 보이지 않는 암시적 전체 거부로 끝납니다. 명시적으로 허용되지 않은 트래픽은 모두 삭제됩니다. 이러한 기본 거부 동작은 보안 기능이지만, 허용 규칙을 빠뜨려 허용하려던 트래픽까지 차단되는 상황은 초보자에게 당황스러울 수 있습니다.

어떤 규칙도 일치하지 않으면 트래픽이 기본적으로 거부된다는 점을 항상 기억하세요. 허용하려는 항목은 명시적으로 Permit해야 합니다.

라우터에는 대표적으로 다음 두 가지 ACL 유형이 있습니다.

• 표준 ACL은 출발지 IP 주소만 기준으로 필터링하므로 단순하지만 세밀하지 않습니다.
• 확장 ACL은 출발지, 목적지, 프로토콜, 포트를 기준으로 필터링하므로 훨씬 정밀합니다.

실제 정책에서는 누가 허용되는지만이 아니라 어떤 출발지가 어떤 서비스에 접근할 수 있는지를 지정해야 하는 경우가 많으므로 확장 ACL이 훨씬 일반적으로 사용됩니다.

ACL은 인터페이스에 방향을 지정하여 적용합니다. 인바운드는 인터페이스로 들어오는 트래픽이고, 아웃바운드는 인터페이스에서 나가는 트래픽입니다. 동일한 규칙도 방향과 연결된 인터페이스에 따라 서로 다른 결과를 만듭니다.

올바른 인터페이스와 방향에 ACL을 배치하는 것이 중요합니다. 잘못된 인터페이스에 올바른 규칙을 적용하면 의도한 트래픽을 전혀 필터링하지 못합니다.

기본 ACL은 상태 비저장 방식입니다. 이전 트래픽을 기억하지 않고 각 패킷을 개별적으로 판단합니다. 반면 상태 저장 방화벽은 연결을 추적하므로 아웃바운드 트래픽을 허용하면 이에 대응하는 응답도 자동으로 허용합니다.

상태 비저장 ACL은 양방향에 명시적인 규칙이 필요합니다. 이것이 일반적인 트래픽 필터링에서 상태 저장 방화벽이 더 쉽고 일반적으로 사용되는 이유입니다.

이 간단한 라우터 ACL을 예로 삼아, 다른 모든 트래픽을 차단하면서 특정 서비스를 허용하도록 규칙을 조합하는 방법을 살펴보세요.

ACL은 알려진 악성 IP 주소 차단, 특정 서브넷의 서버 접근 제한, 네트워크 장치에 대한 관리 접근 제어, 가상 근거리 통신망 또는 영역 간 필터링 등 다양한 보안 작업에 사용됩니다.

ACL은 기본적이면서도 유연한 도구입니다. 분할과 결합하면 영역 사이의 경계를 실제 규칙으로 강제하여 어떤 트래픽을 통과시킬지 정확하게 결정할 수 있습니다.

일반적인 실수로는 규칙 순서 오류(포괄적인 규칙이 구체적인 규칙을 가리는 경우), 암시적 거부를 잊는 경우, 잘못된 인터페이스나 방향에 ACL을 적용하는 경우, 그리고 자신의 관리 트래픽을 거부하여 장치에서 스스로 접속이 차단되는 경우가 있습니다.

ACL을 신중하게 계획하고 문서화하며, 변경 사항을 점검하세요. 제한적인 규칙을 적용하기 전에 원격 관리 접근이 계속 허용되는지 반드시 확인해야 합니다.

ACL은 규칙을 위에서 아래로 처리하여 처음 일치하는 항목에서 멈추는 Permit/거부 규칙의 순서 목록이며, 마지막에는 암시적 거부가 적용됩니다. 확장 ACL은 출발지, 목적지, 프로토콜, 포트를 기준으로 필터링하며 인터페이스에 인바운드 또는 아웃바운드로 적용합니다. ACL을 잘 사용하면 분할을 강제하고 장치를 보호할 수 있지만, 규칙의 순서와 배치가 매우 중요합니다.

ACL에 대한 지식을 점검해 보세요.

ACL은 출발지, 목적지, 프로토콜, 포트를 기준으로 일치시키는 Permit/거부 규칙의 순서 목록입니다. 규칙은 위에서 아래로 처리되다가 처음 일치하는 항목에서 멈추며, 암시적 전체 거부가 허용되지 않은 모든 항목을 삭제합니다. 확장 ACL은 가장 정밀하고, 인터페이스에 인바운드 또는 아웃바운드로 적용하며, 규칙의 순서와 배치를 신중하게 정해야 합니다.