Was ist ein ACL?

Eine Zugriffskontrollliste (ACL) ist eine benannte, geordnete Reihe von Regeln, die den Netzwerkverkehr anhand von Kriterien der Schichten 2 bis 7 – Adressen, Ports und Protokolle – prüfen und auf übereinstimmende Pakete eine Aktion anwenden, beispielsweise „zulassen“, „verweigern“ oder „zurückweisen“. Router, Switches und Firewalls werten die Regeln der Reihe nach aus und halten bei der ersten Übereinstimmung an.

Die wichtigsten Erkenntnisse

• ACLs gleichen den Datenverkehr anhand von Kriterien der Schichten 2 bis 7 ab und wenden die Aktionen „Zulassen“, „Verweigern“ oder „Zurückweisen“ an.
• Regeln werden der Reihe nach ausgewertet; die erste Übereinstimmung gewinnt, und die Auswertung wird beendet.
• Standard-ACLs filtern nach Quelladresse; erweiterte ACLs fügen weitere Kriterien hinzu.
• ACLs sind zustandslos – jedes Paket wird ohne Berücksichtigung der Verbindung geprüft.
• Versa VOS-Geräte wenden ACLs auf Schicht 2 und Schicht 3 mithilfe von NPU-Hardware an.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · ACL & Versa · Häufig gestellte Fragen

Warum ist das vordere Kreuzband wichtig?

Eine ACL ist nach wie vor von grundlegender Bedeutung für die Netzwerksicherheit, da sie eine Aufgabe besonders gut erfüllt: Ein Router, Switch oder eine Firewall liest die Paket-Header, gleicht sie mit einer geordneten Regelliste ab und lässt das Paket durch oder verwirft es, bevor es weitere Rechenleistung beansprucht. Diese Auswertung erfolgt in der Hardware, sodass ACLs auf Chips, die bei einer zustandsorientierten Überprüfung überlastet würden, bis zur Leitungsgeschwindigkeit skalieren.

ACLs bieten Administratoren zudem die grobste und expliziteste Steuerungsebene: Regeln auf Schnittstellenebene, die festlegen, welcher Datenverkehr überhaupt in ein Segment gelangen darf, noch bevor anwendungsbezogene Richtlinien zur Anwendung kommen. Damit bilden sie eine erste Verteidigungslinie – durch die Segmentierung von VLANs und das Blockieren bekannter, schädlicher Adressbereiche – und dienen als Baustein für komplexere Kontrollmechanismen, da viele Firewall-Funktionen letztlich auf Regeln im ACL-Stil zurückzuführen sind.

Was ist ein ACL?

Eine ACL ist eine benannte oder nummerierte Liste von Regeln, von denen jede Übereinstimmungsbedingungen und eine Aktion festlegt. Die Bedingungen prüfen Felder der Schicht 2 (MAC-Adresse, VLAN), der Schicht 3 (Quell- und Ziel-IP-Adresse) sowie der Schicht 4 (Protokoll, Ports). Die Aktion bei einer Übereinstimmung ist in der Regel „zulassen“, „verweigern“ oder „zurückweisen“; einige Plattformen bieten zusätzlich Zählfunktionen, die Umleitung über eine Service-Engine oder eine Ratenbegrenzung über einen Policer.

Regeln werden von oben nach unten ausgewertet und bei der ersten Übereinstimmung beendet – die Reihenfolge bestimmt das Ergebnis, sodass spezifische Regeln Vorrang vor allgemeineren haben. Die meisten Implementierungen enden mit einer impliziten Ablehnung: Pakete, für die keine Übereinstimmung gefunden wurde, werden standardmäßig verworfen, sodass eine ACL den Datenverkehr, den sie zulassen möchte, explizit zulassen muss. ACLs sind zustandslos – jedes Paket wird unabhängig geprüft, ohne dass frühere Pakete berücksichtigt werden, was eine ACL von einer zustandsbehafteten Firewall-Richtlinie unterscheidet.

Arten von ACLs

Die Implementierungen variieren je nach Anbieter, lassen sich jedoch meist in einige wenige Kategorien einordnen. Standard-ACLs prüfen nur die Quelladresse und bieten eine grobe Steuerung – sie lassen ein gesamtes Netzwerk in einer Regel zu oder verweigern den Zugriff darauf. Erweiterte ACLs berücksichtigen zusätzlich die Zieladresse, das Protokoll und den Port, sodass eine Regel beispielsweise HTTPS-Verbindungen von einem bestimmten Host zu einem bestimmten Server zulassen kann, statt eines gesamten Subnetzes. Bei benannten ACLs wird die Liste anhand eines Namens statt einer Nummer identifiziert, was Bearbeitungen und Überprüfungen erleichtert. Eine weitere Dimension ist der Geltungsbereich: Layer-2-ACLs prüfen Ethernet-Felder wie MAC-Adressen und VLANs, während Layer-3/4-ACLs IP-Adressen, Protokolle und Ports prüfen – die NPU-Hardware von Versawertet beide gemeinsam aus.

ACL & Versa

Versa implementiert ACLs auf zwei Konfigurationsebenen. Auf VOS-Geräten mit NPU-Switching-Hardware – den Serien CSG3000, CSX4000 und CSG5000 – filtern NPU-ACL-Richtlinien den Datenverkehr im Fast-Path-Chip, bevor er die CPU erreicht. Jeder Mandant konfiguriert eine Layer-2-ACL-Richtlinie und bis zu zwei Layer-3-IPv4-Richtlinien (Single-Wide und Double-Wide, die sich hinsichtlich TCAM-Speicher und Portbereichsabgleich unterscheiden) sowie eine Layer-3-IPv6-Richtlinie. Die Regeln gleichen MAC- und IP-Adressen, DSCP und ICMP-Typ ab; als Aktion kann das Paket zugelassen, abgelehnt, gezählt oder zur Antivirenfilterung an die CPU weitergeleitet werden. Ein QoS-Profil kann einen Policer zuweisen, um den entsprechenden Datenverkehr zu drosseln.

Bei CSX-Switches der Serie „ Versa “ werden SD-LAN-ACL-Richtlinien über den Director-Workflow-Assistenten erstellt und über ein Portprofil auf die Switch-Ports angewendet.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Standard- und erweiterten ACLs?

Standard-ACLs prüfen nur die Quelladresse und ermöglichen so eine grobe Steuerung der Zulassung bzw. Ablehnung für ein gesamtes Netzwerk in einer einzigen Regel. Erweiterte ACLs berücksichtigen zusätzlich die Zieladresse, das Protokoll und den Port, sodass eine Regel einen bestimmten Anwendungsdatenfluss zwischen zwei Hosts zulassen oder ablehnen kann – und nicht ein ganzes Subnetz.

Was ist der Unterschied zwischen einer ACL und einer Firewall?

Eine ACL prüft jedes Paket unabhängig anhand einer statischen Regelliste – sie speichert keine Informationen über frühere Pakete. Eine zustandsorientierte Firewall verfolgt Verbindungen und lässt den Rückverkehr für eine bereits zugelassene Sitzung automatisch zu, wodurch weitaus weniger Regeln erforderlich sind als bei einer vergleichbaren Konfiguration, die ausschließlich auf ACLs basiert.

Was passiert mit Datenverkehr, der keiner ACL-Regel entspricht?

Die meisten ACL-Implementierungen enden mit einer impliziten Ablehnung: Jedes Paket, das keiner der konfigurierten Regeln entspricht, wird standardmäßig verworfen. Aus diesem Grund muss eine ACL jedes Muster, das sie zulassen soll, ausdrücklich zulassen – und nicht nur den Datenverkehr, den sie blockieren will.

Spielt die Reihenfolge der Regeln in einer ACL eine Rolle?

Ja. Regeln werden von oben nach unten ausgewertet, und die Verarbeitung wird beim ersten Treffer beendet. Daher kann eine allgemeinere Regel, die über einer spezifischeren Regel steht, diese stillschweigend außer Kraft setzen und zu einem falschen Ergebnis führen. Administratoren ordnen die Regeln von der spezifischsten zur am wenigsten spezifischen an, um unbeabsichtigte Treffer zu vermeiden.

Kann eine ACL den Datenverkehr drosseln, anstatt ihn lediglich zuzulassen oder zu verweigern?

Ja, auf Plattformen, die dies unterstützen. Die NPU-ACL-Regeln von Versakönnen ein QoS-Profil zuordnen, das einen Policer anwendet und dabei die garantierten und Spitzen-Informationsraten auswertet, sodass Datenverkehr, der die konfigurierte Rate überschreitet, markiert und verworfen wird, anstatt einfach durchgelassen oder blockiert zu werden.

Mehr zum Thema ACL

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über ACL informieren, sollten Sie sich als Nächstes diese Artikel ansehen.