Listy kontroli dostępu w praktyce

ACL (Access Control List) to uporządkowany zestaw reguł, które zezwalają na ruch lub go odrzucają na podstawie jego cech. Routery, przełączniki i firewalle używają ACL do decydowania, które pakiety mogą przejść, a które zostają odrzucone.

Każda reguła, czyli ACE (Access Control Entry), dopasowuje ruch według kryteriów takich jak adres źródłowy, adres docelowy, protokół lub port, a następnie stosuje działanie: zezwól lub odrzuć.

Typowa reguła ACL sprawdza:

• Źródłowy adres IP (kto wysyła)
• Docelowy adres IP (dokąd ruch zmierza)
• Protokół (TCP, UDP, ICMP)
• Numer portu (która usługa)

Łącząc te elementy, można tworzyć precyzyjne reguły, na przykład zezwolić na ruch WWW do jednego serwera, a odrzucić całą resztę, kontrolując dostęp z dużą dokładnością.

ACL są oceniane od góry do dołu, a przetwarzanie kończy się po znalezieniu pierwszej pasującej reguły. Kolejność ma zatem kluczowe znaczenie: ogólna reguła umieszczona wysoko może przesłonić bardziej szczegółowe reguły znajdujące się niżej, do których przetwarzanie nigdy nie dotrze.

Ogólna dobra praktyka polega na umieszczaniu szczegółowych reguł na początku, a ogólniejszych później, aby precyzyjne wyjątki zostały ocenione przed wpisami obejmującymi całą resztę.

Większość ACL kończy się niewidoczną regułą implicit deny all: każdy ruch, na który nie zezwolono wyraźnie, zostaje odrzucony. To domyślne odrzucanie jest funkcją bezpieczeństwa, ale zaskakuje początkujących, gdy dozwolony ruch nadal jest blokowany, ponieważ zapomnieli zezwolić na coś potrzebnego.

Zawsze należy pamiętać, że jeśli żadna reguła nie pasuje, ruch zostanie domyślnie odrzucony. Trzeba wyraźnie zezwolić na to, co ma być dozwolone.

Na routerach występują dwa klasyczne typy ACL:

• Standardowe ACL filtrują wyłącznie według źródłowego adresu IP — są proste, ale mało precyzyjne.
• Rozszerzone ACL filtrują według źródła, celu, protokołu i portu, dzięki czemu są znacznie bardziej precyzyjne.

Rozszerzone ACL są znacznie częściej używane, ponieważ rzeczywiste zasady zwykle muszą określać, które źródła mogą uzyskiwać dostęp do konkretnych usług, a nie tylko kto w ogóle ma dostęp.

ACL stosuje się do interfejsu w określonym kierunku: przychodzącym (ruch wchodzący do interfejsu) lub wychodzącym (ruch opuszczający interfejs). Ta sama reguła wywołuje różne skutki zależnie od kierunku i interfejsu, do którego została przypisana.

Umieszczenie ACL na właściwym interfejsie i we właściwym kierunku jest niezbędne. Prawidłowa reguła przypisana do niewłaściwego interfejsu po prostu nie odfiltruje zamierzonego ruchu.

Podstawowa ACL jest bezstanowa: ocenia każdy pakiet osobno i nie przechowuje informacji o wcześniejszym ruchu. Firewall stanowy śledzi połączenia, więc jeśli zezwoli na ruch wychodzący, automatycznie dopuści pasujące odpowiedzi przychodzące.

Bezstanowe ACL wymagają jawnych reguł w obu kierunkach, dlatego firewalle stanowe są łatwiejsze w użyciu i częściej stosowane do ogólnego filtrowania ruchu.

Przeczytaj ten prosty przykład ACL routera, aby zobaczyć, jak reguły łączą się w celu zezwolenia na usługę przy jednoczesnym blokowaniu całej reszty.

ACL służą do wielu zadań związanych z bezpieczeństwem: blokowania znanych złośliwych adresów IP, ograniczania podsieci, które mogą łączyć się z serwerem, kontrolowania dostępu administracyjnego do urządzeń sieciowych oraz filtrowania ruchu między sieciami VLAN lub strefami.

Są podstawowym i elastycznym narzędziem. W połączeniu z segmentacją ACL zmieniają granice między strefami w egzekwowane reguły, które dokładnie określają, jaki ruch może je przekraczać.

Do typowych błędów należą nieprawidłowa kolejność reguł (ogólna reguła ukrywająca szczegółową), pominięcie niejawnej odmowy, zastosowanie ACL do niewłaściwego interfejsu lub kierunku oraz przypadkowe odcięcie sobie dostępu do urządzenia przez zablokowanie własnego ruchu administracyjnego.

ACL należy starannie planować i dokumentować, testować wprowadzane zmiany oraz zawsze upewniać się, że dostęp do zdalnego zarządzania pozostanie dozwolony przed zastosowaniem restrykcyjnych reguł.

ACL to uporządkowana lista reguł zezwalających lub odrzucających, przetwarzanych od góry do dołu aż do pierwszego dopasowania, a na końcu zakończona niejawną odmową. Rozszerzone ACL filtrują według źródła, celu, protokołu i portu; stosuje się je przychodząco lub wychodząco na interfejsie. Właściwie używane ACL egzekwują segmentację i chronią urządzenia, ale kluczowe znaczenie ma staranna kolejność i lokalizacja reguł.

Sprawdź swoją wiedzę na temat ACL.

ACL to uporządkowana lista reguł zezwalających lub odrzucających, dopasowywanych według źródła, celu, protokołu i portu. Reguły są przetwarzane od góry do dołu aż do pierwszego dopasowania, a implicit deny all odrzuca wszystko, na co nie zezwolono. Rozszerzone ACL zapewniają największą precyzję, stosuje się je przychodząco lub wychodząco na interfejsie, a ich użycie wymaga starannej kolejności i lokalizacji reguł.