ACLとは何ですか？

アクセス制御リスト（ACL）とは、ネットワークトラフィックをレイヤ2からレイヤ7までの基準（アドレス、ポート、プロトコル）と照合し、条件に一致したパケットに対して「許可」、「拒否」、「却下」などのアクションを適用する、名前が付けられ、順序付けられたルールの集合です。ルーター、スイッチ、ファイアウォールは、これらのルールを順番に評価し、最初に一致したルールで処理を停止します。

主なポイント

• ACLは、レイヤー2～7の基準に基づいてトラフィックを照合し、許可、拒否、または却下を行います。
• ルールは順番に評価され、最初に一致したルールが優先され、評価はそこで終了します。
• 標準ACLは送信元アドレスに基づいてフィルタリングを行いますが、拡張ACLではさらに多くの条件が追加されます。
• ACLはステートレスであり、各パケットは接続情報を考慮せずにチェックされます。
• Versa VOSデバイスは、NPUハードウェアを介して、レイヤー2およびレイヤー3でACLを適用します。

このページの内容： その重要性 ・ 仕組み ・ 種類 · ACL およびVersa · よくある質問

ACLはなぜ重要なのでしょうか？

ACLがネットワークセキュリティの基盤であり続けているのは、ある1つの機能を極めて優れた形で果たしているからです。すなわち、ルーター、スイッチ、またはファイアウォールがパケットヘッダーを読み取り、順序付けられたルールリストと照合し、パケットがそれ以上の処理リソースを消費する前に、そのパケットを通過させるか破棄するかを決定します。この評価処理はハードウェア上で実行されるため、ACLは、ステートフルインスペクションでは処理が追いつかないような状況でも、シリコン上でラインレートまでスケーリングが可能です。

また、ACLは管理者に対して、最も大まかで明示的な制御層を提供します。つまり、アプリケーションを意識したポリシーが実行される前に、どのトラフィックがセグメントに入ることができるかを決定するインターフェースレベルのルールです。そのため、ACLは最初の防衛線（VLANのセグメント化や、既知の不正なアドレス範囲のブロックなど）となるだけでなく、より高度な制御の基盤ともなります。というのも、多くのファイアウォール機能は、最終的にはACL形式のルールに帰着するからです。

ACLとは何ですか？

ACLとは、名前または番号で指定されたルールのリストであり、各ルールには一致条件とアクションが指定されています。条件では、レイヤ2フィールド（MACアドレス、VLAN）、レイヤ3フィールド（送信元および宛先のIPアドレス）、レイヤ4フィールド（プロトコル、ポート）が検査されます。一致時のアクションは通常、「許可」、「拒否」、または「リジェクト」のいずれかですが、プラットフォームによっては、カウント機能、サービスエンジンによるリダイレクト、またはポリサーによるレート制限が追加される場合もあります。

ルールはトップダウン方式で評価され、最初の一致が見つかった時点で評価が停止します。順序が結果を決定するため、より具体的なルールがより広範なルールよりも優先されます。ほとんどの実装では、暗黙的な拒否で終了します。つまり、デフォルトでは一致しないパケットは破棄されるため、ACLでは許可したいトラフィックを明示的に許可する必要があります。ACLはステートレスであり、各パケットは個別にチェックされ、以前のパケットの情報は保持されません。この点が、ACLをステートフルなファイアウォールポリシーと区別する特徴です。

ACLの種類

実装はベンダーによって異なりますが、そのほとんどはいくつかのカテゴリに分類されます。標準ACLは送信元アドレスのみと照合するため、1つのルールでネットワーク全体を許可または拒否するという大まかな制御しか行えません。拡張ACLでは、宛先アドレス、プロトコル、ポートの照合機能が追加されており、サブネット全体ではなく、特定のホストから特定のサーバーへのHTTPS通信を許可するといったルールを設定できます。名前付きACLでは、リストを番号ではなく名前で識別するため、編集や監査が容易になります。 もう一つの分類軸は適用範囲です。レイヤー2 ACLはMACアドレスやVLANなどのイーサネットフィールドと照合するのに対し、レイヤー3/4 ACLはIPアドレス、プロトコル、ポートと照合します。VersaのNPUハードウェアは、これら両方を同時に評価します。

ACL &Versa

Versa 2つの設定面でACLを実装しています。NPUスイッチングハードウェアを搭載したVOSアプライアンス（CSG3000、CSX4000、およびCSG5000シリーズ）では、NPU ACLポリシーが、トラフィックがCPUに到達する前に、ファストパス・シリコン内でフィルタリングを行います。 各テナントは、レイヤ2 ACLポリシーを1つ、レイヤ3 IPv4ポリシーを最大2つ（シングルワイドとダブルワイド。TCAMメモリとポート範囲のマッチングが異なります）、さらにレイヤ3 IPv6ポリシーを1つ設定できます。ルールはMACアドレス、IPアドレス、DSCP、およびICMPタイプと照合され、アクションとしてパケットの許可、拒否、カウント、またはウイルス対策フィルタリングのためにCPUへのリダイレクトを行うことができます。QoSプロファイルでは、一致したトラフィックに対してレート制限を行うポリサーを割り当てることができます。

Versa のCSXスイッチでは、SD-LAN ACLポリシーはDirectorのワークフローウィザードを通じて作成され、ポートプロファイルを通じてスイッチポートに適用されます。

よくある質問

標準ACLと拡張ACLの違いは何ですか？

標準ACLは送信元アドレスのみと照合するため、1つのルールでネットワーク全体に対して大まかな許可／拒否制御を行うことができます。拡張ACLでは、宛先アドレス、プロトコル、ポートの照合機能が追加されており、サブネット全体ではなく、2つのホスト間の特定のアプリケーションフローを許可または拒否するルールを設定できます。

ACLとファイアウォールの違いは何ですか？

ACLは、各パケットを静的なルールリストに対して個別に評価します。つまり、以前のパケットに関する情報を保持しません。一方、ステートフルファイアウォールは接続を追跡し、すでに許可されているセッションの返信トラフィックを自動的に許可するため、同等のACLのみの構成に比べて必要なルール数がはるかに少なくて済みます。

ACLルールに一致しないトラフィックはどうなるのでしょうか？

ほとんどの実装では、ACLは暗黙の拒否で終了します。つまり、設定されたルールに一致しないパケットは、デフォルトで破棄されます。そのため、ACLでは、ブロックするトラフィックだけでなく、許可するすべてのパターンについても明示的に許可設定を行う必要があります。

ACLにおいて、ルールの順序は重要ですか？

はい。ルールはトップダウン方式で評価され、最初の一致が見つかった時点で処理が停止するため、具体的なルールよりも上位に配置された広範なルールが、そのルールを黙って上書きし、誤った結果をもたらす可能性があります。管理者は、意図しない一致を防ぐために、ルールを最も具体的なものから最も抽象的なものの順に並べ替えます。

ACLは、トラフィックを単に許可または拒否するだけでなく、レート制限を行うことはできますか？

はい、対応しているプラットフォームでは可能です。VersaのNPU ACLルールでは、ポリサーを適用するQoSプロファイルを関連付けることができ、コミットレートおよびピーク情報レートを評価することで、設定されたレートを超えるトラフィックは、単に通過させたりブロックしたりするのではなく、マークされてドロップされます。

ACLに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

ACLについてお読みの方は、次にこれらもぜひご覧ください。