Danh sách kiểm soát truy cập (ACL) cải thiện an ninh mạng như thế nào?

Access Control List (ACL) là gì?

Access Control List (ACL - Danh sách kiểm soát truy cập) là tập hợp các quy tắc (rules) được cấu hình trên thiết bị mạng (Router, Switch, Firewall) để lọc gói tin (packet filtering) dựa trên thông tin header: địa chỉ IP nguồn/đích, giao thức (TCP/UDP/ICMP), số cổng (Port), flag TCP. ACL quyết định: Cho phép (Permit) hoặc Từ chối (Deny) gói tin đi qua interface.

Cách ACL cải thiện an ninh mạng

1. Kiểm soát truy cập biên giới (Perimeter Access Control)

Chặn traffic độc hại từ Internet vào mạng nội bộ: Block IP xấu conhecido, chặn port nguy hiểm (135, 139, 445, 3389, 22, 23, 1433, 3306...) từ Internet.
Chỉ cho phép traffic cần thiết: HTTP/HTTPS (80/443) đến Web Server, SMTP (25/587) đến Mail Server, VPN (1194/443/500/4500) đến VPN Gateway.
Chặn traffic outbound không cần thiết: Ngăn malware/C2 kết nối ra ngoài (chặn Tor, VPN công cộng, IP đáng ngờ, port lạ).

2. Phân đoạn mạng (Network Segmentation) - East-West Traffic Control

Áp dụng ACL trên Switch (VACL/RACL) hoặc Router giữa các VLAN/Zone: DMZ, Web, App, DB, Management, Backup, IoT, Guest, OT.
Ví dụ: Web Server (VLAN 10) chỉ được truy cập App Server (VLAN 20) port 8080/TCP. App Server chỉ truy cập DB (VLAN 30) port 1433/TCP. DB không được truy cập ra Internet.
Triển khai Zero Trust Network Segmentation: Mặc định Deny All, chỉ Allow cụ thể (Micro-segmentation).

3. Bảo vệ hạ tầng mạng (Infrastructure Protection)

Control Plane Policing (CoPP): ACL trên CPU Router/Switch giới hạn rate gói tin điều khiển (BGP, OSPF, SSH, SNMP, NTP, ICMP) → Chống DoS làm sập control plane.
Management Plane Protection: Chỉ cho phép SSH/HTTPS/SNMP từ Network Management Subnet/IP quản trị cụ thể. Chặn từ Internet, từ User VLAN.
Anti-spoofing (uRPF / ACL Source Validation): Chặn gói tin có Source IP giả mạo (Private IP từ Internet, Broadcast, Multicast, Loopback).

4. Giám sát & Phát hiện (Monitoring & Detection)

ACL Logging: Log các gói tin match rule Deny (và Permit quan trọng) → Gửi Syslog/SIEM → Phát hiện quét cổng, brute force, reconnaissance.
NetFlow/IPFIX Export: Kết hợp ACL để phân loại traffic, baseline hành vi bình thường.

Loại ACL phổ biến trên thiết bị Cisco (Ví dụ điển hình)

Standard ACL (1-99, 1300-1999)

Chỉ lọc dựa trên Source IP. Ít dùng cho bảo mật hiện đại.

access-list 10 permit 192.168.10.0 0.0.0.255
access-list 10 deny any log
interface GigabitEthernet0/0
 ip access-group 10 in

Extended ACL (100-199, 2000-2699) - CHUẨN ĐỀ BÀI

Lọc dựa trên: Source IP, Destination IP, Protocol (TCP/UDP/ICMP/IP), Source Port, Destination Port, TCP Flags (established), ICMP Type/Code, ToS/DSCP, Time-range.

! Cho phép HTTP/HTTPS từ Internet đến Web Server (DMZ)
ip access-list extended WEB_INBOUND
 10 permit tcp any host 203.0.113.10 eq 80
 20 permit tcp any host 203.0.113.10 eq 443
 30 deny ip any any log
!
interface GigabitEthernet0/1
 ip access-group WEB_INBOUND in

! Chỉ cho phép App Server truy cập DB Server
ip access-list extended APP_TO_DB
 10 permit tcp host 10.1.20.10 host 10.1.30.10 eq 1433
 20 deny ip any any log
!
interface GigabitEthernet0/2
 ip access-group APP_TO_DB in

Named ACL (Khuyên dùng thay số)

Dễ quản trị, mô tả ý nghĩa, hỗ trợ remark, sequence number để chèn/sửa/xóa rule dễ dàng.

ip access-list extended INBOUND_INTERNET
 remark Allow HTTP/HTTPS to Web Server
 10 permit tcp any host 203.0.113.10 eq 80
 20 permit tcp any host 203.0.113.10 eq 443
 remark Allow VPN from Corp Office
 30 permit udp host 198.51.100.5 any eq 1194
 remark Deny and Log all other
 999 deny ip any any log

Reflexive ACL / Established (Stateful Inspection nhẹ)

Cho phép traffic trả về (return traffic) cho session outbound đã thiết lập:

ip access-list extended OUTBOUND_USER
 permit tcp any any reflect TCPTRAFFIC
 permit udp any any reflect UDPTRAFFIC
 permit icmp any any
!
ip access-list extended INBOUND_RETURN
 evaluate TCPTRAFFIC
 evaluate UDPTRAFFIC
 deny ip any any log

Lưu ý: Reflexive ACL là cơ chế stateful đơn giản trên Router. Thiết bị hiện đại dùng Zone-Based Firewall (ZBFW) hoặc Stateful Firewall riêng.

Time-based ACL

Áp dụng quy tắc theo lịch trình (giờ làm việc, giờ nghỉ):

time-range WORK_HOURS
 periodic weekdays 8:00 to 17:30
!
ip access-list extended SSH_ADMIN
 permit tcp host 192.168.10.5 any eq 22 time-range WORK_HOURS
 deny tcp any any eq 22 log

ACL trên các nền tảng khác

Nền tảng	Tương đương ACL
Cisco ASA / FTD	Access Rules (L3/L4) + Policy Map (L7), MPF
Palo Alto Networks	Security Policy Rules (App-ID, User-ID, Content-ID)
FortiGate	IPv4/IPv6 Policy (L3/L4/L7, UTM)
AWS	Security Groups (Stateful, Instance-level), NACL (Stateless, Subnet-level)
Azure	NSG (Network Security Group) - Stateful, Subnet/NIC level
GCP	VPC Firewall Rules (Global, Stateful, Tag/Service Account based)
Linux (iptables/nftables)	Chains (INPUT, FORWARD, OUTPUT), Rules match criteria
Windows Firewall	Inbound/Outbound Rules, Connection Security Rules (IPsec)

Best Practices triển khai ACL

Implicit Deny All: Mặc định chặn tất cả. Chỉ Allow traffic cần thiết, có mục đích.
Least Privilege: Cụ thể nhất có thể (Host IP > Subnet > Any, Port cụ thể > Range > Any).
Thứ tự ưu tiên: Rule cụ thể (Permit) đặt trước rule chung (Deny). Sequence number giúp sắp xếp.
Logging chiến lược: Log Deny rules (đặc biệt Deny Any Any), Log Permit rules nhạy cảm (Admin, DB). Không log mọi Permit (ngập SIEM).
Sử dụng Object Group / Address Group: Gom IP/Port/Service thành đối tượng (NETWORK-OBJ, SERVICE-OBJ) → Rule ngắn gọn, dễ cập nhật.
Remarks (Mô tả): Mọi rule phải có remark: Ticket number, Owner, Purpose, Date.
Review & Recertification định kỳ: Quý/Năm. Xóa rule unused (hitcount=0 lâu), gộp rule trùng lặp, cập nhật IP thay đổi.
Test trước khi deploy: Packet Tracer (Cisco), `test access-list`, Simulate traffic, Staging environment.
Automation (NetDevOps): Quản trị ACL bằng Ansible/Terraform/Git → Review PR, CI test, Deploy tự động.
Documentation: Network Security Policy Document mapping Business Requirement → ACL Rules.

Hạn chế của ACL (Tại sao cần Firewall L7 / NGFW?)

Chỉ kiểm tra Header (L3/L4). Không hiểu Application (HTTP, DNS, TLS, SQL).
Không giải mã TLS/SSL → Bỏ lỗ hổng traffic mã hóa (C2, Data Exfil, Malware download qua HTTPS).
Không phòng chống DDoS volumetric, Application DDoS.
Không có IPS signature-based / Behavioral detection.
Quản trị phức tạp trên mạng lớn (hàng nghìn rule) → Dễ sai sót, conflict, shadowed rules.
Stateless (ACL truyền thống) hoặc Semi-stateful (Reflexive/ZBFW) - không đủ context so với Stateful Firewall hiện đại.

Kết luận

ACL là khối xây dựng cơ bản (building block) của an ninh mạng, cung cấp packet filtering tại L3/L4 hiệu quả, tiết kiệm tài nguyên. ACL cải thiện an ninh bằng cách: Thực thi Least Privilege tại mạng, Phân đoạn East-West, Bảo vệ Control/Management Plane, Phát hiện reconnaissance. Tuy nhiên, ACL KHÔNG THAY THẾ Next-Gen Firewall (L7, IPS, TLS Inspection, App-ID, User-ID, Threat Intel). Kiến trúc hiện đại: Perimeter: NGFW + ACL | Internal Segmentation: Switch ACL/VACL + Micro-segmentation (NSG/ASG/SG) + Zero Trust | Cloud: Cloud-native Firewall/NSG/SG. Quản trị ACL bằng Automation (IaC) và Review định kỳ là bắt buộc.