ACL (Access Control List) trong an ninh mạng là gì?
ACL là danh sách quy tắc cho phép/từ chối (permit/deny) gói tin dựa trên tiêu chí khớp. Hoạt động trên router, switch, firewall – lọc lưu lượng vào/ra interface (ingress/egress). Mục tiêu: chỉ cho phép lưu lượng cần thiết, chặn phần còn lại (Implicit Deny).
Hai loại ACL chính trên Cisco (Phổ biến nhất)
1. Standard ACL (ACL tiêu chuẩn) – Số 1-99, 1300-1999
- Chỉ lọc dựa trên Source IP address (địa chỉ IP nguồn).
- Không phân biệt port, protocol, destination IP.
- Nên đặt gần đích (close to destination) để tránh chặn lưu lượng hợp pháp ở nơi khác.
- Ví dụ:
access-list 10 permit 192.168.10.0 0.0.0.255(cho phép toàn bộ subnet 192.168.10.0/24).
2. Extended ACL (ACL mở rộng) – Số 100-199, 2000-2699
- Lọc chi tiết: Source IP, Destination IP, Protocol (TCP/UDP/ICMP...), Source Port, Destination Port, Flag (SYN, ACK), ToS/DSCP, Time-range.
- Nên đặt gần nguồn (close to source) để tiết kiệm băng thông, CPU router.
- Ví dụ:
access-list 101 permit tcp 192.168.10.0 0.0.0.255 host 10.1.1.10 eq 443(chỉ cho phép HTTPS từ subnet 10 đến server 10.1.1.10).
Loại ACL nào "tăng cường an ninh mạng" hiệu quả hơn?
Extended ACL – vì kiểm soát tinh vi (granular) theo nguyên tắc Least Privilege (đặc quyền tối thiểu).
| Tiêu chí | Standard ACL | Extended ACL |
|---|---|---|
| Độ chi tiết (Granularity) | Thấp (chỉ Source IP) | Cao (IP, Port, Protocol, Flag...) |
| Vị trí đặt tối ưu | Gần đích | Gần nguồn |
| Khả năng chặn tấn công App | Không (ví dụ: không chặn được SQLi trên port 80) | Có (chặn port lạ, giới hạn service) |
| Hỗ trợ Least Privilege | Hạn chế | Hoàn hảo |
| Hiệu năng CPU | Nhẹ hơn | Nặng hơn (cần tối ưu thứ tự rule) |
Các loại ACL nâng cao khác
- Named ACL: Dùng tên thay số, dễ quản lý, hỗ trợ remark, edit từng dòng (sequence number).
- Reflexive ACL: Tự động tạo entry cho traffic phản hồi (session-based) – mô phỏng stateful firewall.
- Time-based ACL: Kích hoạt theo lịch (ví dụ: chặn Facebook 8h-17h).
- IPv6 ACL: Tương tự extended nhưng cho IPv6 (prefix length thay wildcard mask).
- VACL (VLAN ACL) / PACL (Port ACL): Lọc trên switch L2/L3 (không routing).
Best Practice triển khai ACL an ninh
- Mặc định Deny All (Implicit deny cuối cùng).
- Sử dụng Named Extended ACL cho mọi policy mới.
- Sắp xếp rule: Specific permit trước, General permit sau, Deny log cuối.
- Bật
loghoặclog-inputcho rule deny để audit. - Áp dụng ingress filtering (BCP 38 / RFC 2827) chặn spoofing IP nguồn.
- Review & cleanup định kỳ (unused ACL, shadowed rule).
- Kết hợp với Zone-Based Firewall (ZBFW) hoặc ASA/Firepower cho stateful inspection L7.
Kết luận
Extended ACL (đặc biệt Named Extended ACL) là loại cụ thể tăng cường an ninh mạng tốt nhất nhờ khả năng lọc đa chiều (IP, Port, Protocol), hỗ trợ Least Privilege, đặt gần nguồn giảm bề mặt tấn công. Standard ACL chỉ phù hợp trường hợp đơn giản (cho phép/cấm toàn bộ subnet).