Access control lists in actie

Een ACL (toegangscontrolelijst) is een geordende verzameling regels die verkeer toestaat of weigert op basis van de eigenschappen ervan. Routers, switches en firewalls gebruiken ACL's om te bepalen welke pakketten mogen worden doorgelaten en welke worden verwijderd.

Elke regel, of ACE (toegangscontrole-item), vergelijkt verkeer met criteria zoals bronadres, bestemmingsadres, protocol of poort en voert vervolgens een actie uit: toestaan of weigeren.

Een typische ACL-regel controleert:

• IP-adres van de bron (wie de gegevens verzendt)
• IP-adres van de bestemming (waar de gegevens naartoe gaan)
• Protocol (TCP, UDP, ICMP)
• Poortnummer (welke dienst)

Door deze kenmerken te combineren, kun je nauwkeurige regels schrijven, zoals webverkeer naar één server toestaan en al het overige weigeren. Zo beheer je toegang op fijnmazige wijze.

ACL's worden van boven naar beneden geëvalueerd en de verwerking stopt bij de eerste overeenkomende regel. De volgorde is daarom cruciaal: een brede regel die vroeg staat, kan specifiekere regels eronder overschrijven, omdat die nooit worden bereikt.

De algemene aanbevolen werkwijze is om specifieke regels eerst te plaatsen en bredere regels later, zodat precieze uitzonderingen vóór de algemene regels worden geëvalueerd.

De meeste ACL's eindigen met een onzichtbare regel alles impliciet weigeren: verkeer dat niet expliciet is toegestaan, wordt verwijderd. Dit gedrag waarbij standaard alles wordt geweigerd, is een beveiligingsfunctie, maar verrast beginners wanneer toegestaan verkeer toch wordt geblokkeerd omdat ze vergeten zijn iets toe te staan.

Onthoud altijd dat verkeer standaard wordt geweigerd als geen enkele regel overeenkomt. Je moet expliciet toestaan wat je wilt toelaten.

Op routers bestaan twee klassieke typen ACL's:

• Standaard-ACL's filteren alleen op het IP-adres van de bron; ze zijn grofmazig maar eenvoudig.
• Uitgebreide ACL's filteren op bron, bestemming, protocol en poort en zijn veel nauwkeuriger.

Uitgebreide ACL's komen veel vaker voor, omdat echte beleidsregels meestal moeten aangeven welke bronnen welke diensten mogen bereiken, in plaats van alleen te bepalen wie überhaupt toegang heeft.

ACL's worden op een interface toegepast in een bepaalde richting: inkomend (verkeer dat de interface binnenkomt) of uitgaand (verkeer dat de interface verlaat). Dezelfde regel heeft verschillende effecten afhankelijk van de richting en van de interface waarop deze is toegepast.

Het is essentieel dat je de ACL op de juiste interface en in de juiste richting plaatst. Een correcte regel op de verkeerde interface filtert het bedoelde verkeer eenvoudigweg niet.

Een eenvoudige ACL is stateless: deze beoordeelt elk pakket afzonderlijk en houdt geen eerdere verkeersstromen bij. Een stateful firewall houdt verbindingen bij. Als deze uitgaand verkeer toestaat, laat hij automatisch de bijbehorende antwoorden terug toe.

Stateless ACL's hebben expliciete regels in beide richtingen nodig. Daarom zijn stateful firewalls eenvoudiger en gebruikelijker voor algemene verkeersfiltering.

Lees deze eenvoudige router-ACL als voorbeeld van hoe regels worden gecombineerd om een dienst toe te staan en al het overige te blokkeren.

ACL's worden voor veel beveiligingstaken gebruikt: bekende kwaadaardige IP-adressen blokkeren, beperken welke subnetten een server mogen bereiken, beheertoegang tot netwerkapparaten regelen en verkeer tussen VLAN's of zones filteren.

Ze vormen een fundamenteel en flexibel hulpmiddel. In combinatie met segmentatie veranderen ACL's de grenzen tussen zones in afgedwongen regels die precies bepalen welk verkeer mag worden doorgelaten.

Veelvoorkomende fouten zijn problemen met de volgorde van regels (een brede regel verbergt een specifieke regel), de impliciete weigering vergeten, de ACL op de verkeerde interface of in de verkeerde richting toepassen en jezelf per ongeluk buitensluiten van een apparaat door je eigen beheerverkeer te weigeren.

Plan en documenteer ACL's zorgvuldig, test wijzigingen en controleer altijd of toegang voor beheer op afstand toegestaan blijft voordat je beperkende regels toepast.

Een ACL is een geordende lijst met regels om toe te staan of te weigeren. De regels worden van boven naar beneden verwerkt tot de eerste overeenkomst en eindigen met een impliciete weigering. Uitgebreide ACL's filteren op bron, bestemming, protocol en poort; je past ze inkomend of uitgaand toe op een interface. Bij correct gebruik dwingen ACL's segmentatie af en beschermen ze apparaten, maar een zorgvuldige volgorde en plaatsing van regels zijn essentieel.

Een ACL is een geordende lijst met regels om toe te staan of te weigeren, die worden vergeleken met bron, bestemming, protocol en poort. Regels worden van boven naar beneden verwerkt tot de eerste overeenkomst en een impliciete weigering voor alles verwijdert alles wat niet is toegestaan. Uitgebreide ACL's zijn het nauwkeurigst, worden inkomend of uitgaand op een interface toegepast en vereisen een zorgvuldige volgorde en plaatsing van regels.