4. Аналіз acl-списків та їх розміщення

Мережеві адміністратори оцінюють вплив кожної інструкції в ACL-списку до його впровадження. Неправильно побудований ACL-список може відразу після його застосування до інтерфейсу викликати проблеми. Проблеми можуть виражатися в недостатньому рівні безпеки чи невиправданому навантаженню на маршрутизатор та непрацездатності мережі.

Адміністратори повинні перевірити ACL-список, рядок за рядком, і відповісти на наступні питання:

• Якій службі інструкція забороняє доступ?

• Адреса джерела й адреса призначення?

• Які номери портів блокуються?

• Що відбудеться, якщо ACL-список перенести на інший інтерфейс?

• Що відбудеться, якщо фільтрувати трафік по ACL-списку в іншому напрямку?

• Чи полягає проблема в NAT?

При оцінці розширеного ACL-списку важливо пам'ятати про наступні ключові моменти:

• ключове слово tcp дозволяє або забороняє такі протоколи, як FTP, HTTP, Telnet і т.д.;

• ключова фраза permіt іp використовується для дозволу всього ІP-трафіку, включаючи протоколи TCP, UDP і ІCMP.

5. Налаштування acl-списків з маршрутизацією між vlan

При маршрутизації між віртуальними локальними мережами всередині мережі іноді виникає необхідність контролю трафіку з однієї мережі VLAN в іншу за допомогою ACL-списків.

Варто застосовувати ACL-списки безпосередньо до інтерфейсів VLAN та субінтерфейсів на маршрутизаторі так, як на фізичних інтерфейсах.

Корпоративні мережі, як правило, складаються з кількох серверів, розташованих в інших VLAN, ніж групи користувачів. У цих випадках доступ до серверів VLAN вимагає фільтрації.

Усі правила і рекомендації зі створення і застосування ACL-списків на субінтерфейсах аналогічні правилам і рекомендаціям для фізичних інтерфейсів.

5. Комплексні списки контролю доступу

Стандартні та розширені списки управління доступом може бути основою для комплексних списків управління доступом, які забезпечують додаткову функціональність. Розрізняють три категорії комплексних ACL:

• динамічні;

• рефлексивні;

• часозалежні.

1. Динамічні acl.

Використовують Lock-and-key безпечну фільтрацію трафіку. Ця особливість доступна лише для IP-трафіку. Динамічні ACL базуються на Telnet з'єднанні, аутентифікації (локальній чи віддаленій) та розширених списках управління доступом.

Серед причин, які спричиняють використання динамічних списків управління доступом є:

• визначення конкретного віддаленого користувача або групи віддалених користувачів для доступу до вузла всередині вашої мережі, коли вони підключаються з віддалених вузлів через Інтернет. Lock-and-key аутентифікація аутентифікує користувача, а потім дозволяє обмежений доступ через міжмережевий екран маршрутизатора до хоста або підмережі.

• визначення підмножини вузлів локальної мережі для доступу до хоста у віддаленій мережі, захищеній міжмережевим екраном. За допомогою lock-and-key аутентифікації ви можете дозволити доступ до віддаленого хосту тільки для бажаної групи локальних хостів. Lock-and-key вимагає аутентифікацію користувачів через ААА, TACACS + сервер або інший сервер безпеки перш, ніж дозволяє доступ до віддалених хостів.