ACL (एक्सेस कंट्रोल लिस्ट) क्या है?
ACL एक क्रमबद्ध नियमों का समूह है जो राउटर/फ़ायरवॉल/स्विच पर लागू होता है ताकि ट्रैफ़िक को अनुमति या अस्वीकार किया जा सके, स्रोत/गंतव्य IP, प्रोटोकॉल, पोर्ट, और अन्य पैकेट हेडर फ़ील्ड के आधार पर। यह स्टेटलेस पैकेट फ़िल्टरिंग का मूल रूप है।
ACL नेटवर्क सुरक्षा कैसे सुधारते हैं
1. ट्रैफ़िक फ़िल्टरिंग और पहुँच नियंत्रण
- इनग्रेस फ़िल्टरिंग: अविश्वसनीय नेटवर्क (इंटरनेट) से आंतरिक संसाधनों तक अवांछित ट्रैफ़िक ब्लॉक करें।
- ईग्रेस फ़िल्टरिंग: आंतरिक होस्ट को केवल अधिकृत गंतव्यों/पोर्ट्स तक पहुँचने दें (डेटा एक्सफ़िल्ट्रेशन, बॉटनेट C2 रोकता है)।
- प्रशासनिक पहुँच प्रतिबंध: केवल प्रबंधन सबनेट/बास्टियन होस्ट से SSH (22), HTTPS (443), SNMP (161) अनुमति दें।
2. नेटवर्क सेगमेंटेशन लागू करना
- VLAN/सबनेट के बीच ट्रैफ़िक नियंत्रित करें (जैसे: गेस्ट → कॉर्पोरेट ब्लॉक, सर्वर → डेटाबेस केवल विशिष्ट पोर्ट)।
- पार्श्व गति सीमित करें — समझौता होने पर ब्लास्ट रेडियस कम करें।
3. खतरा शमन
- ज्ञात दुर्भावनापूर्ण IP/सबनेट ब्लॉक करें (खतरे की खुफिया फीड से गतिशील ACL)।
- स्पूफिंग रोकें: RFC 1918/बोगन स्रोत एंटी-स्पूफिंग ACL (इनग्रेस पर)।
- बुनियादी DDoS शमन: SYN फ्लड स्रोतों पर रेट-लिमिटिंग ACL।
4. अनुपालन और ऑडिट
- नियामक आवश्यकताएँ (PCI-DSS 1.2.1, 1.3) सीधे सीमा ACL की माँग करती हैं।
- ACL नियम ऑडिट ट्रेल = कॉन्फ़िगरेशन परिवर्तन प्रबंधन साक्ष्य।
ACL प्रकार
| प्रकार | सिस्को संख्या सीमा | फ़िल्टरिंग क्षमता |
|---|---|---|
| मानक ACL | 1–99, 1300–1999 | केवल स्रोत IP |
| विस्तारित ACL | 100–199, 2000–2699 | स्रोत/गंतव्य IP, प्रोटोकॉल (TCP/UDP/ICMP), स्रोत/गंतव्य पोर्ट, TCP फ़्लैग, ToS/DSCP |
| नामित ACL | कोई संख्या नहीं (नाम) | विस्तारित समान + संपादन योग्य (हटाने के लिए सीक्वेंस नंबर) |
| IPv6 ACL | केवल नामित | IPv6 हेडर फ़ील्ड (फ्लो लेबल, अगला हेडर) |
सर्वोत्तम अभ्यास
- न्यूनतम विशेषाधिकार: डिफ़ॉल्ट डेनी (अंत में अंतर्निहित डेनी एनी होता है) — केवल आवश्यक अनुमति दें।
- क्रम मायने रखता है: नियम ऊपर से नीचे संसाधित होते हैं — विशिष्ट नियम सामान्य से पहले रखें।
- नामित ACL उपयोग करें: पठनीय, संपादन योग्य, संस्करण नियंत्रण अनुकूल।
- दिशा लागू करें: इंटरफ़ेस पर `ip access-group NAME in|out` — दिशा ट्रैफ़िक प्रवाह के सापेक्ष है।
- दस्तावेज़ीकरण: प्रत्येक नियम के लिए टिप्पणी (`remark`) जोड़ें — उद्देश्य, अनुरोधकर्ता, टिकट नंबर।
- नियमित समीक्षा: अप्रयुक्त/छाया नियम हटाएँ, खतरे की खुफिया जानकारी अद्यतन करें।
- लॉगिंग सक्षम करें: `log` या `log-input` कीवर्ड → हिट काउंट, SYSLOG/SIEM को भेजें।
ACL बनाम स्टेटफुल फ़ायरवॉल
- ACL: स्टेटलेस — प्रत्येक पैकेट स्वतंत्र रूप से मूल्यांकित, कोई सत्र ट्रैकिंग नहीं, उच्च प्रदर्शन (हार्डवेयर ASIC)।
- स्टेटफुल फ़ायरवॉल: कनेक्शन स्थिति बनाए रखता है — वापसी ट्रैफ़िक स्वचालित अनुमत, एप्लिकेशन लेयर निरीक्षण, गहन दृश्यता।
- साथ में उपयोग करें: बॉर्डर राउटर पर ACL (पहली पंक्ति, उच्च-थ्रूपुट फ़िल्टरिंग) → आंतरिक NGFW (गहन निरीक्षण)।
