3. Налаштування списків контролю доступу

   1. Розміщення стандартних і розширених acl-списків

Правильно складені списки контролю доступу позитивно позначаються на продуктивності та доступності мережі. Для досягнення максимальних результатів необхідне планування створення і розміщення списків контролю доступу.

Етап планування включає наступні дії:

1. Визначення вимог до фільтрації трафіку.

2. Вибір типу ACL-списку, який найкраще відповідає вимогам.

3. Визначення маршрутизатора та інтерфейсу, на якому буде застосовуватися ACL-список.

4. Вибір напрямку фільтрації трафіку.

Крок 1. Визначення вимог до фільтрації трафіку.

Список вимог до фільтрації трафіку, складається на основі опитування в кожному підрозділі підприємства. Ці вимоги різні для різних підприємств і ґрунтуються на потребах клієнтів, типах і об’ємах трафіку, а також задачах безпеки.

Крок 2. Вибір типу ACL-списку, що відповідає вимогам.

Вибір стандартного або розширеного ACL-списку обумовлений поточними вимогами до фільтрації. Вибір типу ACL-списку може вплинути на гнучкість фільтрації по ACL-списку, а також на продуктивність маршрутизатора і пропускну здатність мережі.

Стандартні ACL-списки легко створювати і впроваджувати. Однак фільтрація по стандартних ACL-списках можлива тільки на основі вихідної адреси і застосовується до всього трафіку без врахування його типу чи призначення. При маршрутизації в кілька мереж занадто близьке розміщення стандартного ACL-списку до джерела може ненавмисно блокувати допустимий трафік. Отже, важливо розміщувати стандартні ACL-списки якнайближче до вузла призначення.

У випадку більш складних вимог до фільтрації варто використовувати розширений ACL-список. Розширені ACL-списки дають більший контроль, ніж стандартні. Вони допускають фільтрацію по вихідних і кінцевих адресах. Ці списки також забезпечують фільтрацію по протоколу мережевого рівня, протоколу транспортного рівня і номерах портів, якщо це необхідно. Така, більш точна, фільтрація дозволяє адміністратору мережі створювати ACL-списки, що відповідають визначеним потребам плану по забезпеченню безпеки.

Розширений ACL-список розміщується ближче до адреси джерела. Завдяки аналізу по вихідній і кінцевій адресі, ACL-список дозволяє блокувати пакети, що направляються у визначену кінцеву мережу перш, ніж вони залишать вихідний маршрутизатор. Пакети фільтруються перед тим, як вони перетнуть межі мережі, що допомагає підтримувати вищу пропускну здатність.

Крок 3. Визначення маршрутизатора та інтерфейсу, для якого буде використовуватися ACL-список.

ACL-списки розміщуються на маршрутизаторах на рівні доступу або розподілу. Адміністратор мережі повинен мати контроль над цими маршрутизаторами і можливість реалізації політики безпеки. Без доступу до маршрутизатора адміністратор мережі не зможе налаштувати на ньому ACL-список.

Вибір відповідного інтерфейсу залежить від вимог до фільтрації, типу ACL-списку і місця розташування призначеного маршрутизатора. Найкраще організовувати фільтрацію трафіку перш, ніж він досягне послідовного каналу з меншою пропускною здатністю.

Крок 4. Вибір напрямку фільтрації трафіку

При виборі напрямку, для якого буде використовуватися ACL-список, необхідно розглядати потік трафіку з погляду маршрутизатора.

Вхідний трафік – це трафік, що надходить в інтерфейс маршрутизатора ззовні. Маршрутизатор порівнює вхідний пакет з ACL-списком перед пошуком мережі призначення в таблиці маршрутизації. Пакети, що відкидаються в цій точці, дозволяють виключити зайві операції пошуку маршрутизатора. Це робить вхідний список контролю доступу більш ефективним для маршрутизатора, ніж вихідний.

Вихідний трафік проходить через маршрутизатор по інтерфейсу. Для вихідного пакету маршрутизатор уже здійснив пошук по таблиці маршрутизації і переключив пакет на правильний інтерфейс. Пакет порівнюється з ACL-списком безпосередньо перед виходом з маршрутизатора.