ACL (Access Control List) trong an ninh mạng: Mục đích và cách hoạt động

Mục đích sử dụng ACL trong mạng

ACL (Access Control List) dùng để lọc gói tin (packet filtering). Đảm bảo an ninh bằng cách: cho phép (permit), từ chối (deny), hoặc giới hạn (limit) traffic. Mục tiêu: kiểm soát luồng gói tin cho một địa chỉ IP/nhóm IP, và các giao thức (TCP, UDP, ICMP, v.v.).

Tại sao ACL cần thiết trong an ninh mạng?

• Kiểm soát tài nguyên inbound/outbound → bảo vệ thiết bị mạng khỏi truy cập trái phép hoặc bị dùng làm trung gian tấn công mạng khác.
• Giảm thiểu rủi ro bảo mật khi quản trị đúng cách (well-managed ACLs).
• Thực hiện nguyên tắc least privilege tại lớp mạng.

ACL trong mạng là gì?

Danh sách kiểm soát truy cập (Access Control List) — tập hợp quy tắc được định nghĩa để: hạn chế tấn công mạng, kiểm soát traffic. ACL lọc traffic dựa trên rule đã định cho traffic inbound/outbound của tổ chức.

Cơ chế hoạt động của Network ACL

• ACL là tập hợp quy tắc (ruleset) kiểm soát traffic mạng.
• Áp dụng cho traffic đến từ Internet (hoặc giữa các zone/network segment).
• Mỗi rule khớp một hoặc nhiều trường trong gói tin: Source IP, Destination IP, Source Port, Destination Port, Protocol (TCP/UDP/ICMP...), Flags, ICMP Type/Code.
• Hành động: Permit (Cho phép) hoặc Deny (Từ chối).
• Xử lý theo thứ tự ưu tiên (sequence number / line number) — rule khớp đầu tiên được áp dụng (first-match).
• Implicit deny all ở cuối (mặc định chặn mọi thứ không khớp rule allow).

ACL trong an ninh mạng (định nghĩa Cisco style)

Công cụ lọc gói tin (packet filtering) cho phép hoặc từ chối gói IP thoát khỏi interface chỉ định. Cung cấp kiểm soát truy cập dựa trên: Source/Dest IP, Port, Protocol, ToS/DSCP, Time-range, TCP flags.

ACL trong an ninh mạng (định nghĩa chung)

Access Control List (ACL) kiểm soát truy cập số (digital access control): chỉ định môi trường nào được truy cập. Filesystem ACL: cấp quyền user/group lên file/thư mục (NTFS ACL, POSIX ACL, NFSv4 ACL). Network ACL: kiểm soát truy cập mạng (Router ACL, VLAN ACL / VACL, Port ACL / PACL, SG/NSG trong cloud).

Lợi ích ACL trên Router Cisco

• Kiểm soát gói tin đi qua mạng bằng packet filtering.
• Hạn chế user/thiết bị truy cập mạng (quản trị truy cập).
• Giảm traffic không cần thiết → tiết kiệm băng thông, tài nguyên mạng.
• Bảo vệ control plane (Control Plane Policing - CoPP).
• Hỗ trợ QoS (classification, marking, policing).
• Hỗ trợ NAT, Policy-Based Routing (PBR), VPN filter.

ACL cho Router là gì?

Tập hợp điều kiện permit/deny cung cấp an ninh: ngăn user trái phép truy cập tài nguyên cụ thể, cho phép user hợp pháp truy cập. Thường đặt trên: Firewall router, Router kết nối 2 mạng internal (DMZ-LAN, Branch-HQ).

Standard ACL trong mạng

• Chỉ lọc dựa trên Source IP Address (không xem dest IP, port, protocol).
• Số hiệu: 1-99 và 1300-1999 (Cisco).
• Đặt gần đích (destination) nhất có thể vì không lọc được dest.
• Extended ACL (100-199, 2000-2699): lọc Source IP, Dest IP, Protocol, Source Port, Dest Port, DSCP, Time-range, TCP flags — linh hoạt hơn, đặt gần nguồn.

Thành phần bắt buộc trong ACL Network

Mỗi ACL entry (ACE) thường chứa:

• Địa chỉ/nơi nguồn (Source IP/CIDR: ví dụ 192.168.1.0/24, any, host 10.1.1.1).
• Địa chỉ/nơi đích (Destination IP/CIDR).
• Giao thức (Protocol: tcp, udp, icmp, ip, ospf, eigrp...).
• Cổng nguồn (Source Port: đơn, dải, eq, neq, gt, lt, range).
• Cổng đích (Destination Port).
• Hành động: permit hoặc deny.
• (Tùy chọn) Time-range, DSCP/ToS, TCP flags (established, syn, ack, fin, rst, psh, urg).

ACL có cải thiện hiệu năng mạng không?

Có. Giới hạn traffic không cần thiết → giảm congestion, giảm tải CPU router (ít xử lý gói tin rác). Tối ưu ACL (ACL optimization): gom rule, sắp xếp rule thường khớp lên đầu, dùng object-group, loại rule trùng lặp/không bao giờ khớp → tăng hiệu năng xử lý.

Tại sao dùng ACL trong mạng?

• Đảm bảo an ninh mạng cơ bản (network security baseline).
• Hạn chế cập nhật routing từ peer (BGP/OSPF filter, distribute-list).
• Định nghĩa điều khiển luồng traffic (traffic flow control: QoS classification, PBR matching).
• Bảo vệ Management Plane (SSH/HTTPS/SNMP chỉ cho management subnet).
• Anti-spoofing (chặn gói tin source IP private/bogons từ Internet).

ACL áp dụng ở tầng nào (OSI Layer)?

• Layer 2 (Data Link): MAC ACL / VACL (VLAN ACL) — lọc dựa trên MAC address, EtherType, VLAN ID, COS.
• Layer 3 (Network): IP ACL (Router ACL, Port ACL, SG/NSG) — lọc dựa trên IP, Protocol, Port.
• Layer 4 (Transport): Phần của Extended ACL (TCP/UDP Port).

Firewall router, router liên kết 2 mạng nội bộ thường chứa ACL Layer 3/4.

ACL vs Firewall: Khác biệt

Kết luận: ACL = stateless packet filter (tốc độ cao, đơn giản). Firewall = stateful inspection + DPI + threat prevention (an ninh toàn diện). Thực tế: dùng kết hợp — ACL trên router/switch core cho filtering nhanh, Firewall tại perimeter/DC edge cho inspection sâu.

Thiết bị mạng dùng ACL

Router, Layer 3 Switch, Firewall (access rule), Wireless Controller, Load Balancer, Cloud: Security Group (SG), Network Security Group (NSG), Firewall Policy. ACL là filter cho phép/limiting data flow giữa interface/network segment dựa trên tiêu chí định nghĩa.

AWS ACL (Network ACL / NACL)

• Stateless (khác Security Group là stateful).
• Áp dụng ở cấp Subnet — mọi instance trong subnet tuân thủ.
• Rule có số thứ tự (Rule Number 1-32766) — đánh giá theo thứ tự số nhỏ đến lớn.
• Inbound và Outbound rules riêng biệt.
• Mặc định: Allow all inbound/outbound (Default NACL). Custom NACL: Deny all mặc định.
• Dùng cho: Stateless filtering, subnet-level guardrail, ephemeral port control.

Amazon S3 ACL

Access Control List cấp bucket/object (legacy). Khuyên dùng Bucket Policy hoặc IAM Policy thay thế (linh hoạt hơn, quản trị tập trung). S3 ACL: định nghĩa AWS Account/Group được quyền gì (READ, WRITE, FULL_CONTROL) trên bucket/object.