3. Типи і використання acl-списків

Адміністратору доступно кілька варіантів створення списків контролю доступу. Складність вимог до структури визначає тип необхідного ACL-списку.

Існує три типи ACL-списків.

Стандартні списки контролю доступу

Стандартний ACL-список є найпростішим із трьох типів. При створенні стандартного ACL-списку для ІP-протоколу, фільтрація по ACL-списках здійснюється на основі вихідної ІP-адреси пакету. Адреса призначення пакету та порт не мають значення. Стандартні ACL-списки визначають дозвіл пакетові на основі всього протоколу, такого як ІP-протокол. Таким чином, при забороні вузлового пристрою стандартним ACL-списком, забороняються всі служби цього вузла. Такий тип ACL-списку корисний для дозволу доступу всіх служб визначеного користувача чи локальної мережі (LAN) через маршрутизатор із забороною доступу з інших ІP-адрес. Стандартні ACL-списки визначаються по номерах, які їм привласнюються. Номери з діапазону від 1 до 99 і від 1300 до 1999 привласнюються спискам доступу, що дозволяють або блокують ІP-трафік.

Розширені ACL-списки

Розширений ACL-список використовується для фільтрації не тільки по вихідній ІP-адресі, а також по кінцевій ІP-адресі, протоколу і номерах портів. Розширені ACL-списки використовуються частіше стандартних, оскільки вони є більш визначеними і забезпечують більш високий рівень контролю. Розширеним ACL-спискам привласнюються номери з діапазону від 100 до 199 і від 2000 до 2699.

Іменовані ACL-списки

Іменований ACL-список (NACL-список) має формат стандартного чи розширеного списку і позначається описовим ім'ям, а не номером. При налаштуванні іменованих ACL-списків, маршрутизатор ІOS використовує режим підкоманди NACL.

4. Обробка acl-списку

У списках контролю доступу міститься одна чи більше інструкцій. Кожна інструкція дає дозвіл, або забороняє трафік на основі зазначених параметрів. Трафік порівнюється з кожною інструкцією в ACL-списку одна за одною, поки не буде знайдене співпадіння, або не закінчиться список інструкцій.

Остання інструкція в ACL-списку завжди містить неявну заборону трафіку. Ця інструкція автоматично вставляється в кінець кожного ACL-списку, хоча і не є присутньою в ньому фізично. Неявна заборона блокує весь трафік. Ця можливість дозволяє запобігти випадковому проходженню небажаного трафіку.

Після створення списку контролю доступу, його необхідно застосувати до інтерфейсу, щоб задіяти його. ACL-список призначений для фільтрації вхідного або вихідного трафіку, що проходить через інтерфейс. Якщо пакет відповідає інструкції, що дозволяє проходження, то він пропускається маршрутизатором. Якщо ж пакет відповідає інструкції, що забороняє проходження, він зупиняється. ACL-список без жодної інструкції, що дозволяє проходження, приводить до блокування всього трафіку. Це пояснюється тим, що наприкінці кожного ACL-списку вказується неявна заборона. Таким чином, ACL-список буде перешкоджати проходженню всього трафіку, якщо не зазначені особливі дозволи.

Адміністратор може використовувати вхідний чи вихідний ACL-список для інтерфейсу маршрутизатора. Вхідний чи вихідний напрямок завжди розглядається з погляду маршрутизатора. Трафік, що надходить через інтерфейс, є вхідним, а трафік, який відправляється через інтерфейс – вихідним.

При отриманні пакету через інтерфейс маршрутизатор перевіряє такі параметри:

• наявність ACL-списку, пов'язаного з інтерфейсом;

• визначення типу ACL-списку (вхідний/вихідний);

• визначення відповідності трафіку умовам.

ACL-список, що використовується як вихідний до інтерфейсу, не діє для вхідного трафіку на тому ж інтерфейсі.

Для кожного інтерфейсу маршрутизатор може мати один ACL-список для одного напрямку по кожному мережевому протоколу. Для ІP-протоколу один інтерфейс може мати один вхідний і один вихідний ACL-список одночасно.

ACL списки визначають набір правил, які дають додаткові можливості управління для пакетів, які надходять на вхідний інтерфейсу, пакетів, які передаються через маршрутизатор та пакетів, що виходять через вихідні інтерфейси маршрутизатора. ACL списки не діють на пакети, які виходять від самого маршрутизатора.

Вхідні ACL списки – вхідні пакети обробляються перед тим, як вони направляються на вихідний інтерфейс. Вхідні ACL є ефективними, оскільки економлять ресурси маршрутизатора, якщо пакет відкидається. Якщо пакет дозволений потім він маршрутизується.

Вихідні ACL списки – вхідні пакети направляються на вихідний інтерфейс, а потім вони обробляються за допомогою вихідного ACL.

Перед тим, як пакет направляється на вихідний інтерфейс, маршрутизатор перевіряє таблицю маршрутизації, щоб переконатися, що ємаршрут для даного пакету. Якщо пакет не маршрутизується, він відкидається маршрутизатором. Потім маршрутизатор перевіряє, чи є ACL на вихідний інтерфейс. Для вихідних списків, "permit" означає послати пакет у вихідний буфер, а "deny" означає відкинути пакет.

ACL-списки, що застосовуються до інтерфейсу, створюють затримку трафіку. Навіть один довгий ACL-список може вплинути на продуктивність маршрутизатора.