การใช้งานรายการควบคุมการเข้าถึง

ACL (รายการควบคุมการเข้าถึง) คือชุดกฎที่เรียงลำดับ ซึ่งอนุญาตหรือปฏิเสธการรับส่งข้อมูลตามคุณลักษณะของข้อมูล เราเตอร์ สวิตช์ และไฟร์วอลล์ใช้ ACL เพื่อตัดสินว่าแพ็กเก็ตใดส่งผ่านได้และแพ็กเก็ตใดจะถูกทิ้ง

กฎแต่ละข้อ หรือ ACE (รายการควบคุมการเข้าถึง) จะจับคู่การรับส่งข้อมูลตามเกณฑ์ เช่น ที่อยู่ต้นทาง ปลายทาง โพรโทคอล หรือพอร์ต แล้วดำเนินการตามที่กำหนด ได้แก่ อนุญาตหรือปฏิเสธ

กฎ ACL ทั่วไปจะตรวจสอบ:

• ที่อยู่ IP ต้นทาง (ใครเป็นผู้ส่ง)
• ที่อยู่ IP ปลายทาง (ข้อมูลกำลังไปที่ใด)
• โพรโทคอล (TCP, UDP, ICMP)
• หมายเลขพอร์ต (บริการใด)

เมื่อรวมเกณฑ์เหล่านี้เข้าด้วยกัน คุณจะเขียนกฎที่แม่นยำได้ เช่น อนุญาตการรับส่งข้อมูลเว็บไซต์ไปยังเซิร์ฟเวอร์หนึ่งเครื่อง พร้อมปฏิเสธทุกอย่างที่เหลือ เพื่อควบคุมการเข้าถึงอย่างละเอียด

ACL จะถูกประเมินจาก บนลงล่าง และหยุดประมวลผลเมื่อพบกฎแรกที่ตรงกัน ดังนั้นลำดับจึงมีความสำคัญอย่างยิ่ง กฎที่ครอบคลุมกว้างซึ่งวางไว้ก่อนอาจมีผลเหนือกว่ากฎที่เฉพาะเจาะจงกว่าด้านล่าง ทำให้กฎเหล่านั้นไม่ถูกประเมิน

แนวปฏิบัติที่ดีโดยทั่วไปคือวาง กฎที่เฉพาะเจาะจงไว้ก่อน แล้วจึงวางกฎที่ครอบคลุมกว้างกว่า เพื่อให้ข้อยกเว้นที่แม่นยำได้รับการประเมินก่อนรายการที่ครอบคลุมทุกกรณี

ACL ส่วนใหญ่จะจบด้วย การปฏิเสธทั้งหมดโดยปริยาย ที่มองไม่เห็น กล่าวคือการรับส่งข้อมูลใดที่ไม่ได้รับอนุญาตอย่างชัดเจนจะถูกทิ้ง พฤติกรรมปฏิเสธเป็นค่าเริ่มต้นนี้เป็นคุณลักษณะด้านความปลอดภัย แต่ผู้เริ่มต้นอาจประหลาดใจเมื่อข้อมูลที่ควรได้รับอนุญาตยังถูกบล็อก เพราะลืมอนุญาตบางรายการ

โปรดจำไว้เสมอว่า หากไม่มีกฎใดตรงกัน การรับส่งข้อมูลจะถูกปฏิเสธเป็นค่าเริ่มต้น คุณต้องอนุญาตสิ่งที่ต้องการให้ผ่านอย่างชัดเจน

บนเราเตอร์มี ACL แบบดั้งเดิมอยู่สองประเภท:

• ACL มาตรฐาน กรองเฉพาะที่อยู่ IP ต้นทาง จึงหยาบแต่เรียบง่าย
• ACL แบบขยาย กรองตามต้นทาง ปลายทาง โพรโทคอล และพอร์ต จึงแม่นยำกว่ามาก

ACL แบบขยายใช้กันมากกว่ามาก เพราะนโยบายจริงมักต้องระบุว่าแหล่งต้นทางใดเข้าถึงบริการใดได้บ้าง ไม่ใช่เพียงระบุว่าใครได้รับอนุญาตโดยรวม

ACL จะนำไปใช้กับอินเทอร์เฟซใน ทิศทาง ใดทิศทางหนึ่ง ได้แก่ ขาเข้า (การรับส่งข้อมูลที่เข้าสู่อินเทอร์เฟซ) หรือขาออก (การรับส่งข้อมูลที่ออกจากอินเทอร์เฟซ) กฎเดียวกันอาจให้ผลต่างกันตามทิศทางและอินเทอร์เฟซที่ผูกกฎไว้

การวาง ACL บนอินเทอร์เฟซและในทิศทางที่ถูกต้องเป็นสิ่งจำเป็น กฎที่ถูกต้องแต่ติดตั้งบนอินเทอร์เฟซผิดจะไม่กรองการรับส่งข้อมูลที่คุณตั้งใจ

ACL พื้นฐานเป็นแบบ ไร้สถานะ กล่าวคือจะตัดสินแพ็กเก็ตแต่ละรายการแยกกันโดยไม่จดจำการรับส่งข้อมูลก่อนหน้า ส่วน ไฟร์วอลล์แบบมีสถานะจะติดตามการเชื่อมต่อ ดังนั้นเมื่ออนุญาตการรับส่งข้อมูลขาออกแล้ว ระบบจะอนุญาตคำตอบที่ตรงกันให้ย้อนกลับโดยอัตโนมัติ

ACL แบบไร้สถานะต้องมีกฎอย่างชัดเจนทั้งสองทิศทาง นี่จึงเป็นเหตุผลที่ไฟร์วอลล์แบบมีสถานะใช้งานง่ายกว่าและพบได้ทั่วไปกว่าสำหรับการกรองการรับส่งข้อมูลโดยรวม

อ่าน ACL ของเราเตอร์แบบง่ายนี้ เพื่อดูตัวอย่างว่ากฎต่าง ๆ ทำงานร่วมกันอย่างไรในการอนุญาตบริการหนึ่ง ขณะเดียวกันก็บล็อกทุกอย่างที่เหลือ

ACL ทำงานด้านความปลอดภัยได้หลายอย่าง เช่น บล็อกที่อยู่ IP ที่ทราบว่าเป็นอันตราย จำกัดว่าเครือข่ายย่อยใดเข้าถึงเซิร์ฟเวอร์ได้ ควบคุมการเข้าถึงเพื่อจัดการอุปกรณ์เครือข่าย และกรองการรับส่งข้อมูลระหว่างเครือข่ายท้องถิ่นเสมือนหรือโซน

ACL เป็นเครื่องมือพื้นฐานที่ยืดหยุ่น เมื่อใช้ร่วมกับการแบ่งส่วน ACL จะเปลี่ยนขอบเขตระหว่างโซนให้เป็นกฎที่บังคับใช้ได้จริง และกำหนดอย่างชัดเจนว่าการรับส่งข้อมูลใดข้ามผ่านได้

ข้อผิดพลาดที่พบบ่อย ได้แก่ การเรียงลำดับกฎผิด (กฎที่ครอบคลุมกว้างบดบังกฎที่เฉพาะเจาะจง) การลืมการปฏิเสธโดยปริยาย การใช้ ACL กับอินเทอร์เฟซหรือทิศทางที่ผิด และการปิดกั้นตัวเองออกจากอุปกรณ์โดยไม่ตั้งใจด้วยการปฏิเสธการรับส่งข้อมูลเพื่อการจัดการของตนเอง

โปรดวางแผนและจัดทำเอกสาร ACL อย่างรอบคอบ ทดสอบการเปลี่ยนแปลง และตรวจสอบให้แน่ใจเสมอว่าการเข้าถึงเพื่อจัดการจากระยะไกลยังได้รับอนุญาตก่อนใช้กฎที่มีข้อจำกัด

ACL คือรายการกฎอนุญาต/ปฏิเสธที่เรียงลำดับและประมวลผลจากบนลงล่างจนพบรายการแรกที่ตรงกัน จากนั้นจบด้วยการปฏิเสธโดยปริยาย ACL แบบขยาย กรองตามต้นทาง ปลายทาง โพรโทคอล และพอร์ต โดยนำไปใช้กับอินเทอร์เฟซในทิศทางขาเข้าหรือขาออก เมื่อใช้อย่างเหมาะสม ACL จะบังคับใช้การแบ่งส่วนและปกป้องอุปกรณ์ แต่การเรียงลำดับและตำแหน่งของกฎอย่างรอบคอบเป็นสิ่งจำเป็น

ทดสอบความรู้ของคุณเกี่ยวกับ ACL

ACL คือรายการกฎอนุญาต/ปฏิเสธที่เรียงลำดับ โดยจับคู่ตามต้นทาง ปลายทาง โพรโทคอล และพอร์ต กฎจะประมวลผลแบบ บนลงล่าง จนพบรายการแรกที่ตรงกัน และ การปฏิเสธทั้งหมดโดยปริยาย จะทิ้งทุกสิ่งที่ไม่ได้รับอนุญาต ACL แบบขยาย มีความแม่นยำสูงสุด ใช้กับอินเทอร์เฟซในทิศทาง ขาเข้าหรือขาออก และต้องจัดลำดับกับวางตำแหน่งกฎอย่างรอบคอบ