Danh sách kiểm soát truy cập (Access Control List - ACL) là gì?
ACL là tập hợp các quy tắc (rules) được áp dụng trên thiết bị mạng (router, switch, firewall) để lọc gói tin dựa trên thông tin header IP: địa chỉ IP nguồn/đích, giao thức (TCP/UDP/ICMP), số cổng (port), flag TCP, v.v. ACL hoạt động như bộ lọc gói tin (packet filter) tại lớp mạng (Layer 3) và lớp truyền tải (Layer 4).
ACL cải thiện bảo mật mạng bằng cách nào?
1. Lọc lưu lượng dựa trên tiêu chí chính xác
- Standard ACL: Chỉ lọc theo IP nguồn (1-99, 1300-1999).
- Extended ACL: Lọc theo IP nguồn/đích, giao thức, cổng nguồn/đích, flag TCP, ICMP type/code, DSCP/ToS (100-199, 2000-2699).
- Named ACL: Dùng tên thay vì số, dễ quản lý, hỗ trợ remark.
2. Triển khai nguyên tắc đặc quyền tối thiểu (Least Privilege)
- Chỉ cho phép lưu lượng cần thiết cho hoạt động kinh doanh.
- Chặn tất cả mặc định (implicit deny any any).
- Áp dụng tại ranh giới mạng (DMZ, VLAN quản trị, server farm).
3. Bảo vệ cơ sở hạ tầng mạng
- Giới hạn truy cập quản trị (SSH/HTTPS/SNMP) chỉ từ IP quản trị tin cậy.
- Chặn gói tin giả mạo (anti-spoofing): drop gói tin nguồn là IP private, loopback, multicast ra WAN.
- Giữa các zone bảo mật khác nhau (Untrusted, DMZ, Trusted, Restricted).
4. Kiểm soát truy cập ứng dụng/dịch vụ
- Cho phép HTTP/HTTPS (80/443) đến web server, chặn các cổng khác.
- Giới hạn truy cập database chỉ từ app server cụ thể.
- Chặn dịch vụ nguy hiểm: Telnet (23), FTP (21), SMB (445) ra Internet.
Ví dụ ACL mở rộng (Cisco IOS)
! Cho phép HTTP/HTTPS từ bất kỳ đâu đến Web Server 10.1.10.10
ip access-list extended WEB_TRAFFIC
permit tcp any host 10.1.10.10 eq 80
permit tcp any host 10.1.10.10 eq 443
deny ip any any log
! Chỉ cho phép SSH từ subnet quản trị 192.168.100.0/24 đến tất cả thiết bị mạng
ip access-list extended MGMT_ACCESS
permit tcp 192.168.100.0 0.0.0.255 any eq 22
deny tcp any any eq 22 log
permit ip any any
! Áp dụng vào interface
interface GigabitEthernet0/1
ip access-group WEB_TRAFFIC in
ip access-group MGMT_ACCESS in
ACL so với Firewall trạng thái (Stateful Firewall)
| Đặc điểm | ACL (Stateless) | Stateful Firewall |
|---|---|---|
| Kiểm tra trạng thái kết nối | Không (mỗi gói tin độc lập) | Có (bảng trạng thái kết nối) |
| Hiệu năng | Rất cao (hardware ASIC) | Thấp hơn (cần xử lý state) |
| Phát hiện tấn công phức tạp | Khó khăn | Tốt (DDoS, scan, exploit) |
| Chi phí | Đã có sẵn trên router/switch | Thiết bị chuyên dụng/licensing |
Lời khuyên: Kết hợp cả hai: ACL trên router/switch ranh giới cho lọc cơ bản tốc độ cao, Stateful Firewall cho kiểm tra sâu và phòng thủ tiên tiến.
Các thuộc tính Extended ACL dùng để lọc (Chọn 2)
- Địa chỉ IP nguồn/đích (Source/Destination IP)
- Giao thức lớp 4 (Layer 4 Protocol): TCP, UDP, ICMP, v.v.
- Số cổng nguồn/đích (Source/Destination Port)
- Flag TCP (SYN, ACK, FIN, RST, PSH, URG)
- ICMP Type/Code
- DSCP/ToS/Precedence
Tóm tắt
ACL là công cụ cơ bản, hiệu quả, chi phí thấp để thực hiện phân đoạn mạng, bảo vệ mặt phẳng điều khiển (control plane) và mặt phẳng dữ liệu (data plane). Mặc dù không thay thế được firewall trạng thái, ACL không thể thiếu trong chiến lược bảo mật đa lớp (Defense in Depth).