2. Налаштування acl-списків для визначеного трафіку

ACL-списки часто створюються для захисту внутрішньої мережі від зовнішніх джерел. Однак захист внутрішньої мережі не повинен перешкоджати внутрішнім користувачам в отриманні доступу до всіх ресурсів. При звертанні внутрішніх користувачів до зовнішніх ресурсів, запитувані ресурси повинні проходити через ACL-список. Наприклад, якщо внутрішньому користувачу необхідно встановити підключення до зовнішнього веб-сервера, ACL-список повинен дозволяти html-пакети. Оскільки ACL-списки встановлюють неявну відмову в доступі, ресурси необхідно спеціально дозволити ACL-списком. Окремі інструкції для всіх можливих запитуваних ресурсів можуть утворювати довгий ACL-список і залишати дірку в безпеці.

Для вирішення цієї проблеми можна створити окрему інструкцію, що дозволяє внутрішнім користувачам встановлювати TCP-сеанс із зовнішніми ресурсами. Після тристороннього підтвердження TCP і встановлення підключення всі пакети, передані між двома пристроями, будуть дозволені. Для цього необхідно використовувати наступне ключове слово: establіshed.

access-lіst 101 permіt tcp any any establіshed

Використання цієї інструкції дозволяє дозволити всі зовнішні tcp-пакети за умови, що вони є відповіддю на внутрішні запити. Дозвіл вхідних відповідей по встановлених підключеннях є різновидом перевірки стану пакетів (stateful packet inspection, SPІ), яка перевіряє та дозволяє пакети, що приходять у відповідь на запит з внутрішньої мережі.

Крім встановленого трафіку, внутрішньому користувачу може знадобитися відправлення ехо-запиту зовнішнім пристроям. При цьому небажано дозволяти зовнішнім користувачам направляти запити чи досліджувати пристрої у внутрішній мережі. У цьому випадку, інструкцію з ключовими словами echo-reply і unreachable можна використовувати для дозволу відповідей на ехо-запити та повідомлень про недосяжність. При цьому ехо-запит, відправлений із зовнішніх джерел, буде заборонений, якщо в іншій інструкції не вказувати спеціального дозволу.

3. Вплив nat і pat на розміщення acl-списку

Реалізація перетворення мережевих адрес (NAT) і перетворення адрес портів (PAT) може створювати проблему при плануванні ACL-списків. При створенні і застосуванні ACL-списків до інтерфейсів з NAT мережевим адміністраторам необхідно враховувати перетворення адрес.

При використанні NAT з ACL-списками, важливо знати про їхню взаємодію в маршрутизаторі.

1. При надходженні вхідного пакету в зовнішній інтерфейс NAT, маршрутизатор виконує наступне:

• застосовується вхідний ACL-список;

• адреса призначення перетворюється з зовнішньої у внутрішню або з глобальної в локальну;

• відбувається маршрутизація пакету.

2. При надходженні вихідного пакету через зовнішній інтерфейс NAT, маршрутизатор виконує наступне:

• адреса джерела перетворюється з внутрішньої в зовнішню або з локальної в глобальну;

• застосовується вихідний ACL-список.

ACL-список необхідно планувати таким чином, щоб здійснювалася фільтрація частини, або всієї адреси, в залежності від зв'язку з NAT. При вхідному чи вихідному трафіку в зовнішньому інтерфейсі NAT будуть фільтруватися публічні адреси.