Qu'est-ce qu'un LCA ?

Une liste de contrôle d'accès (ACL) est un ensemble nommé et ordonné de règles qui comparent le trafic réseau à des critères allant de la couche 2 à la couche 7 (adresses, ports et protocoles) et appliquent une action (autorisation, refus ou rejet) aux paquets correspondants. Les routeurs, les commutateurs et les pare-feu évaluent ces règles dans l'ordre, en s'arrêtant dès la première correspondance.

Points clés à retenir

• Les ACL filtrent le trafic selon des critères des couches 2 à 7 et appliquent des règles d'autorisation, de refus ou de rejet.
• Les règles sont évaluées dans l'ordre ; la première qui correspond l'emporte et l'évaluation s'arrête.
• Les listes de contrôle d'accès (ACL) standard filtrent en fonction de l'adresse source ; les ACL étendues ajoutent d'autres critères.
• Les ACL sont sans état : chaque paquet est vérifié sans tenir compte de la connexion.
• Versa Les appareils VOS appliquent les listes de contrôle d'accès (ACL) aux couches 2 et 3 via le matériel NPU.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · ACL et Versa · FAQ

Pourquoi le ligament croisé antérieur (LCA) est-il important ?

Une liste de contrôle d'accès (ACL) reste un élément fondamental de la sécurité réseau, car elle remplit parfaitement une fonction précise : un routeur, un commutateur ou un pare-feu lit les en-têtes des paquets, les compare à une liste de règles classées par ordre de priorité, puis autorise ou rejette le paquet avant qu'il ne mobilise davantage de ressources de calcul. Cette évaluation s'effectuant au niveau matériel, les ACL peuvent atteindre le débit de la ligne sur des puces qui seraient saturées par une inspection avec état.

Les ACL offrent également aux administrateurs le niveau de contrôle le plus général et le plus explicite : des règles au niveau de l'interface qui déterminent quel trafic est autorisé à entrer dans un segment, avant même que toute politique spécifique à une application ne soit appliquée. Elles constituent ainsi une première ligne de défense – segmentation des VLAN, blocage des plages d'adresses connues pour être malveillantes – et un élément fondamental sur lequel s'appuient des contrôles plus sophistiqués, car de nombreuses fonctionnalités des pare-feu se traduisent par des règles de type ACL.

Qu'est-ce qu'un LCA ?

Une ACL est une liste de règles nommées ou numérotées, chacune spécifiant des conditions de correspondance et une action. Les conditions analysent les champs de la couche 2 (adresse MAC, VLAN), de la couche 3 (adresses IP source et destination) et de la couche 4 (protocole, ports). L'action déclenchée en cas de correspondance est généralement « autoriser », « refuser » ou « rejeter » ; certaines plateformes ajoutent des fonctionnalités de comptage, de redirection vers un moteur de service ou de limitation de débit via un policer.

Les règles sont évaluées de haut en bas, et l'évaluation s'arrête dès la première correspondance : l'ordre détermine le résultat, de sorte que les règles spécifiques ont priorité sur les règles plus générales. La plupart des implémentations se terminent par un refus implicite : les paquets ne correspondant à aucune règle sont rejetés par défaut ; une liste de contrôle d'accès (ACL) doit donc autoriser explicitement le trafic qu'elle souhaite laisser passer. Les ACL sont sans état : chaque paquet est vérifié indépendamment, sans tenir compte des paquets précédents, ce qui distingue une ACL d'une politique de pare-feu avec état.

Types de listes de contrôle d'accès (ACL)

Les implémentations varient selon les fournisseurs, mais la plupart relèvent de quelques catégories. Les ACL standard ne prennent en compte que l’adresse source, offrant un contrôle sommaire : autoriser ou refuser l’accès à un réseau entier en une seule règle. Les ACL étendues ajoutent la correspondance avec l’adresse de destination, le protocole et le port, permettant ainsi à une règle d’autoriser le trafic HTTPS entre un hôte et un serveur en particulier, et non pas un sous-réseau entier. Les ACL nommées identifient la liste par son nom plutôt que par un numéro, ce qui facilite les modifications et les audits. Une autre dimension est celle de la portée : les ACL de couche 2 effectuent des correspondances sur des champs Ethernet tels que l’adresse MAC et le VLAN, tandis que les ACL de couches 3/4 effectuent des correspondances sur les adresses IP, les protocoles et les ports – le matériel NPU d’ Versaévalue les deux ensemble.

ACL & Versa

Versa met en œuvre des listes de contrôle d’accès (ACL) au niveau de deux plans de configuration. Sur les appliances VOS équipées d’un matériel de commutation NPU – les séries CSG3000, CSX4000 et CSG5000 –, les politiques ACL NPU filtrent le trafic au niveau du circuit intégré « fast-path », avant qu’il n’atteigne le processeur (CPU). Chaque locataire configure une politique ACL de couche 2 et jusqu’à deux politiques IPv4 de couche 3 (à largeur simple et à largeur double, qui diffèrent par la mémoire TCAM et la plage de ports prise en charge), ainsi qu’une politique IPv6 de couche 3. Les règles effectuent des correspondances sur les adresses MAC et IP, le DSCP et le type ICMP ; l’action peut consister à autoriser, refuser, compter ou rediriger le paquet vers le CPU pour un filtrage antivirus. Un profil de qualité de service (QoS) peut associer un régulateur de débit afin de limiter le débit du trafic correspondant.

Sur les commutateurs CSX d'Versa , les politiques ACL SD-LAN sont définies à l'aide de l'assistant de workflow de Director et appliquées aux ports des commutateurs via un profil de port.

Questions fréquentes

Quelle est la différence entre les listes de contrôle d'accès (ACL) standard et étendues ?

Les listes de contrôle d'accès (ACL) standard ne prennent en compte que l'adresse source, ce qui permet un contrôle global d'autorisation ou de refus sur l'ensemble d'un réseau à l'aide d'une seule règle. Les ACL étendues prennent également en compte l'adresse de destination, le protocole et le port, ce qui permet à une règle d'autoriser ou de refuser un flux d'application spécifique entre deux hôtes, et non l'ensemble d'un sous-réseau.

Quelle est la différence entre une liste de contrôle d'accès (ACL) et un pare-feu ?

Une liste de contrôle d'accès (ACL) évalue chaque paquet indépendamment par rapport à une liste de règles statique ; elle ne conserve aucune trace des paquets précédents. Un pare-feu à état suit les connexions et autorise automatiquement le trafic de retour pour une session déjà autorisée, ce qui nécessite bien moins de règles qu'une configuration équivalente reposant uniquement sur une ACL.

Que devient le trafic qui ne correspond à aucune règle de la liste de contrôle d'accès (ACL) ?

La plupart des implémentations d'ACL se terminent par un refus implicite : tout paquet ne correspondant à aucune des règles configurées est rejeté par défaut. C'est pourquoi une ACL doit autoriser explicitement chaque modèle qu'elle est censée autoriser, et pas seulement le trafic qu'elle a pour but de bloquer.

L'ordre des règles a-t-il une importance dans une liste de contrôle d'accès (ACL) ?

Oui. Les règles sont évaluées de haut en bas, et le traitement s'arrête dès la première correspondance ; ainsi, une règle générale placée au-dessus d'une règle spécifique peut, sans que l'on s'en rende compte, prendre le pas sur cette dernière et produire un résultat erroné. Les administrateurs classent les règles de la plus spécifique à la moins spécifique afin d'éviter toute correspondance involontaire.

Un ACL peut-il limiter le débit du trafic au lieu de se contenter de l'autoriser ou de le refuser ?

Oui, sur les plateformes qui prennent en charge cette fonctionnalité. Les règles ACL de la NPU d’ Versapermettent d’associer un profil de qualité de service (QoS) qui applique un régulateur de trafic, évaluant les débits garantis et de pointe ; ainsi, le trafic dépassant le débit configuré est marqué et rejeté, au lieu d’être simplement transmis ou bloqué.

En savoir plus sur l'ACL

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à l'ACL, voici quelques liens qui pourraient vous intéresser.