Erişim Denetimi Listeleri Uygulamada

Bir ACL (Erişim Denetim Listesi), özelliklerine göre trafiğe Permit veren veya trafiği reddeden sıralı bir kurallar kümesidir. Yönlendiriciler, anahtarlar ve güvenlik duvarları, hangi paketlerin geçebileceğine ve hangilerinin bırakılacağına karar vermek için ACL'leri kullanır.

Her kural veya ACE (Erişim Denetimi Girdisi), kaynak adresi, hedef, protokol veya bağlantı noktası gibi ölçütlerle trafiği eşleştirir ve bir işlem uygular: Permit veya reddetme.

Tipik bir ACL kuralı şunları inceler:

• Kaynak IP adresi (kim gönderiyor)
• Hedef IP adresi (nereye gidiyor)
• Protokol (TCP, UDP, ICMP)
• Bağlantı noktası numarası (hangi hizmet)

Bunları birleştirerek bir sunucuya web trafiğine Permit verip diğer her şeyi reddetmek gibi kesin kurallar yazabilir ve erişimi ayrıntılı biçimde denetleyebilirsiniz.

ACL'ler yukarıdan aşağıya değerlendirilir ve işleme ilk eşleşen kuralda durur. Bu nedenle sıra kritik öneme sahiptir: erken yerleştirilen geniş kapsamlı bir kural, kendisine hiç sıra gelmeyen daha aşağıdaki özel kuralları geçersiz kılabilir.

Genel en iyi uygulama, kesin istisnaların tümünü kapsayan girdilerden önce değerlendirilmesi için özel kuralları önce, daha geniş kuralları sonra yerleştirmektir.

Çoğu ACL'nin sonunda görünmez bir örtük olarak her şeyi reddet kuralı bulunur: açıkça Permit verilmeyen tüm trafik bırakılır. Bu varsayılan reddetme davranışı bir güvenlik özelliğidir; ancak Permit vermeyi unuttukları bir trafik hâlâ engellendiğinde yeni başlayanları şaşırtabilir.

Hiçbir kural eşleşmezse trafiğin varsayılan olarak reddedildiğini daima hatırlayın. İzin vermek istediğiniz şeylere açıkça Permit vermelisiniz.

Yönlendiricilerde iki klasik ACL türü vardır:

• Standart ACL'ler yalnızca kaynak IP adresine göre filtreler; kaba ama basittir.
• Genişletilmiş ACL'ler kaynak, hedef, protokol ve bağlantı noktasına göre filtreler; çok daha hassastır.

Genişletilmiş ACL'ler çok daha yaygındır; çünkü gerçek politikalar genellikle yalnızca kimin erişebileceğini değil, hangi kaynakların hangi hizmetlere ulaşabileceğini belirtmelidir.

ACL'ler bir arayüze bir yön doğrultusunda uygulanır: gelen (arayüze giren trafik) veya giden (arayüzden çıkan trafik). Aynı kural, yöne ve bağlı olduğu arayüze göre farklı sonuçlar doğurur.

ACL'yi doğru arayüze ve yöne yerleştirmek çok önemlidir. Yanlış arayüzde bulunan doğru bir kural, amaçladığınız trafiği filtrelemez.

Temel bir ACL durumsuzdur: önceki trafiği hatırlamadan her paketi tek başına değerlendirir. Durum bilgili bir güvenlik duvarı bağlantıları izler; bu nedenle giden trafiğe Permit verirse, buna karşılık gelen yanıtların geri dönmesine otomatik olarak izin verir.

Durumsuz ACL'ler her iki yönde de açık kurallara ihtiyaç duyar. Genel trafik filtrelemede durum bilgili güvenlik duvarlarının daha kolay ve daha yaygın olmasının nedeni budur.

Bir hizmete Permit verirken diğer her şeyi engellemek için kuralların nasıl birleştirildiğini görmek üzere bu basit yönlendirici ACL'sini örnek olarak inceleyin.

ACL'ler; bilinen kötü amaçlı IP adreslerini engelleme, hangi alt ağların bir sunucuya ulaşabileceğini kısıtlama, ağ cihazlarına yönetim erişimini denetleme ve VLAN'ler veya bölgeler arasındaki trafiği filtreleme gibi birçok güvenlik işini yerine getirir.

ACL'ler temel ve esnek bir araçtır. Bölümlendirmeyle birlikte kullanıldığında bölgeler arasındaki sınırları, hangi trafiğin geçebileceğine tam olarak karar veren uygulanabilir kurallara dönüştürür.

Yaygın hatalar arasında kural sırasındaki sorunlar (geniş kapsamlı bir kuralın özel bir kuralı gizlemesi), örtük reddetmeyi unutmak, ACL'yi yanlış arayüze veya yöne uygulamak ve kendi yönetim trafiğinizi reddederek bir cihazın erişimini yanlışlıkla kendinize kapatmak bulunur.

ACL'leri dikkatle planlayıp belgeleyin, değişiklikleri sınayın ve kısıtlayıcı kuralları uygulamadan önce uzaktan yönetim erişiminin hâlâ Permit aldığından daima emin olun.

ACL, ilk eşleşmeye kadar yukarıdan aşağıya işlenen ve sonunda örtük reddetmeyle biten sıralı Permit/reddetme kuralları listesidir. Genişletilmiş ACL'ler kaynak, hedef, protokol ve bağlantı noktasına göre filtreler; bunları bir arayüzde gelen veya giden yönde uygularsınız. ACL'ler doğru kullanıldığında bölümlendirmeyi uygular ve cihazları korur; ancak dikkatli kural sırası ve yerleşimi şarttır.

ACL bilginizi sınayın.

Bir ACL, kaynak, hedef, protokol ve bağlantı noktasına göre eşleştirilen sıralı Permit/reddetme kuralları listesidir. Kurallar ilk eşleşmeye kadar yukarıdan aşağıya işlenir ve örtük olarak her şeyi reddet kuralı Permit verilmeyen her şeyi bırakır. Genişletilmiş ACL'ler en kesin filtrelemeyi sağlar, bir arayüzde gelen veya giden yönde uygulanır ve kural sırası ile yerleşimine özen gösterilmesini gerektirir.