Списки контроля доступа на практике

ACL (список управления доступом) — это упорядоченный набор правил, разрешающих или запрещающих трафик на основании его характеристик. Маршрутизаторы, коммутаторы и межсетевые экраны используют ACL, чтобы решать, какие пакеты можно пропускать, а какие следует отбрасывать.

Каждое правило, или ACE (запись управления доступом), сопоставляет трафик с критериями, такими как адрес источника, адрес назначения, протокол или порт, и выполняет действие: разрешает или запрещает его.

Типичное правило ACL проверяет:

• IP-адрес источника (кто отправляет)
• IP-адрес назначения (куда направляется)
• Протокол (TCP, UDP, ICMP)
• Номер порта (какой сервис используется)

Объединяя эти параметры, можно создавать точные правила: например, разрешить веб-трафик к одному серверу и запретить всё остальное, управляя доступом на детальном уровне.

ACL проверяются сверху вниз, и обработка останавливается на первом совпавшем правиле. Поэтому порядок имеет решающее значение: широкое правило, размещённое в начале, может переопределить более конкретные правила ниже, до которых обработка не дойдёт.

Обычно рекомендуется размещать конкретные правила сначала, а более общие — позже, чтобы точные исключения проверялись раньше универсальных записей.

Большинство ACL завершается невидимым правилом неявно запретить всё: любой трафик, который явно не разрешён, отбрасывается. Такое поведение с запретом по умолчанию повышает безопасность, но удивляет начинающих: разрешённый ими трафик всё равно блокируется, потому что они забыли что-то разрешить.

Всегда помните: если ни одно правило не совпало, трафик по умолчанию запрещается. Всё, что Вы хотите разрешить, необходимо разрешить явно.

На маршрутизаторах существуют два классических типа ACL:

• Стандартные ACL фильтруют только по IP-адресу источника — это грубый, но простой способ.
• Расширенные ACL фильтруют по источнику, назначению, протоколу и порту, обеспечивая гораздо большую точность.

Расширенные ACL встречаются намного чаще, поскольку реальные политики обычно должны указывать, каким источникам разрешено обращаться к каким сервисам, а не только определять, кому доступ разрешён вообще.

ACL применяются к интерфейсу в определённом направлении: входящем (трафик поступает на интерфейс) или исходящем (трафик покидает его). Одно и то же правило даёт разные результаты в зависимости от направления и интерфейса, к которому оно привязано.

Крайне важно разместить ACL на правильном интерфейсе и выбрать правильное направление. Корректное правило на неправильном интерфейсе просто не отфильтрует нужный Вам трафик.

Обычный ACL является статeless: он оценивает каждый пакет отдельно и не запоминает предыдущий трафик. Межсетевой экран с сохранением состояния отслеживает подключения, поэтому при разрешении исходящего трафика автоматически пропускает соответствующие ответы обратно.

ACL без сохранения состояния требуют явных правил в обоих направлениях, поэтому межсетевые экраны с сохранением состояния удобнее и чаще используются для общей фильтрации трафика.

Рассмотрите этот простой ACL маршрутизатора как пример того, как правила объединяются, чтобы разрешить сервис и заблокировать всё остальное.

ACL выполняют множество задач безопасности: блокируют заведомо вредоносные IP-адреса, ограничивают список подсетей, которым разрешено обращаться к серверу, управляют доступом к сетевым устройствам и фильтруют трафик между VLAN или зонами.

Это фундаментальный и гибкий инструмент. В сочетании с сегментацией ACL превращают границы между зонами в обязательные к исполнению правила, точно определяющие, какой трафик может их пересекать.

К распространённым ошибкам относятся неправильный порядок правил (широкое правило скрывает конкретное), забытый неявный запрет, применение ACL к неправильному интерфейсу или направлению, а также случайная блокировка собственного доступа к устройству из-за запрета трафика управления.

Тщательно планируйте и документируйте ACL, проверяйте изменения и всегда убеждайтесь, что удалённый доступ для управления остаётся разрешённым, прежде чем применять ограничивающие правила.

ACL — это упорядоченный список правил разрешения и запрета, обрабатываемых сверху вниз до первого совпадения и завершающихся неявным запретом. Расширенные ACL фильтруют по источнику, назначению, протоколу и порту; они применяются к интерфейсу для входящего или исходящего трафика. При правильном использовании ACL обеспечивают сегментацию и защищают устройства, однако порядок и размещение правил требуют особого внимания.

Проверьте свои знания об ACL.

ACL — это упорядоченный список правил разрешения и запрета, сопоставляемых с источником, назначением, протоколом и портом. Правила обрабатываются сверху вниз до первого совпадения, а неявный запрет всего отбрасывает всё неразрешённое. Расширенные ACL обеспечивают наиболее точную фильтрацию, применяются к интерфейсу для входящего или исходящего трафика и требуют тщательного выбора порядка и места размещения правил.