Listas de Controle de Acesso em Ação

Uma ACL (lista de controle de acesso) é um conjunto ordenado de regras que permite ou nega tráfego com base em suas características. Roteadores, switches e firewalls usam ACLs para decidir quais pacotes podem passar e quais devem ser descartados.

Cada regra, ou ACE (entrada de controle de acesso), identifica o tráfego por critérios como endereço de origem, destino, protocolo ou porta e aplica uma ação: permitir ou negar.

Uma regra típica de ACL examina:

• Endereço IP de origem (quem está enviando)
• Endereço IP de destino (para onde está indo)
• Protocolo (TCP, UDP, ICMP)
• Número da porta (qual serviço)

Ao combinar esses elementos, você pode escrever regras precisas, como permitir o tráfego web para um servidor e negar todo o restante, controlando o acesso em nível detalhado.

As ACLs são avaliadas de cima para baixo, e o processamento para na primeira regra correspondente. A ordem é, portanto, fundamental: uma regra ampla colocada no início pode substituir regras mais específicas abaixo dela, que nunca serão alcançadas.

A prática recomendada geral é colocar as regras específicas primeiro e as regras mais abrangentes depois, para que as exceções precisas sejam avaliadas antes das entradas gerais.

A maioria das ACLs termina com uma negação implícita de tudo: qualquer tráfego que não seja explicitamente permitido é descartado. Esse comportamento de negação por padrão é um recurso de segurança, mas surpreende iniciantes quando o tráfego permitido continua sendo bloqueado porque eles se esqueceram de permitir algo.

Lembre-se sempre de que, se nenhuma regra corresponder, o tráfego será negado por padrão. Você precisa permitir explicitamente aquilo que deseja autorizar.

Nos roteadores, existem dois tipos clássicos de ACL:

• ACLs padrão filtram apenas pelo endereço IP de origem; são limitadas, mas simples.
• ACLs estendidas filtram por origem, destino, protocolo e porta; são muito mais precisas.

As ACLs estendidas são muito mais comuns porque as políticas reais geralmente precisam especificar quais origens podem alcançar quais serviços, e não apenas quem tem permissão em geral.

As ACLs são aplicadas a uma interface em uma direção: entrada (tráfego entrando na interface) ou saída (tráfego saindo dela). A mesma regra produz efeitos diferentes dependendo da direção e da interface à qual está associada.

Colocar a ACL na interface e na direção corretas é essencial. Uma regra correta na interface errada simplesmente não filtrará o tráfego pretendido.

Uma ACL básica é sem estado: ela avalia cada pacote isoladamente, sem memória do tráfego anterior. Um firewall com estado acompanha as conexões; assim, se permitir o tráfego de saída, ele autorizará automaticamente as respostas correspondentes na volta.

ACLs sem estado precisam de regras explícitas nas duas direções, por isso os firewalls com estado são mais fáceis de usar e mais comuns na filtragem geral de tráfego.

Leia esta ACL simples de roteador como um exemplo de como as regras se combinam para permitir um serviço e bloquear todo o restante.

As ACLs realizam diversas tarefas de segurança: bloquear endereços IP conhecidos como maliciosos, restringir quais sub-redes podem alcançar um servidor, controlar o acesso de gerenciamento aos dispositivos de rede e filtrar o tráfego entre VLANs ou zonas.

Elas são uma ferramenta fundamental e flexível. Combinadas com a segmentação, as ACLs transformam os limites entre zonas em regras aplicadas que determinam exatamente qual tráfego pode atravessar.

Os erros comuns incluem problemas na ordem das regras (uma regra ampla ocultando uma específica), esquecer a negação implícita, aplicar a ACL à interface ou direção errada e bloquear acidentalmente o próprio acesso a um dispositivo ao negar seu tráfego de gerenciamento.

Planeje e documente cuidadosamente as ACLs, teste as alterações e certifique-se sempre de que o acesso ao gerenciamento remoto continue permitido antes de aplicar regras restritivas.

Uma ACL é uma lista ordenada de regras de permissão e negação processadas de cima para baixo até a primeira correspondência, terminando em uma negação implícita. ACLs estendidas filtram por origem, destino, protocolo e porta; elas são aplicadas na entrada ou na saída de uma interface. Quando bem utilizadas, as ACLs aplicam a segmentação e protegem os dispositivos, mas a ordem e a posição corretas das regras são essenciais.

Teste seus conhecimentos sobre ACLs.

Uma ACL é uma lista ordenada de regras de permissão e negação correspondentes à origem, ao destino, ao protocolo e à porta. As regras são processadas de cima para baixo até a primeira correspondência, e uma negação implícita de tudo descarta qualquer elemento não permitido. As ACLs estendidas são as mais precisas, são aplicadas na entrada ou na saída de uma interface e exigem atenção cuidadosa à ordem e à posição das regras.