एक्सेस कंट्रोल सूचियाँ (ACL) नेटवर्क सुरक्षा कैसे सुधारती हैं?

ACL नेटवर्क सुरक्षा को कैसे बढ़ाते हैं

एक्सेस कंट्रोल लिस्ट (ACL) नियमों का एक क्रम है जो राउटर/फायरवॉल को बताता है कि पैकेट हेडर जानकारी के आधार पर पैकेट को अग्रेषित करना है या छोड़ना है। वे स्टेटलेस पैकेट फ़िल्टर के रूप में कार्य करते हैं।

ACL क्या फ़िल्टर कर सकते हैं (IP हेडर फ़ील्ड)

• स्रोत IP एड्रेस - ट्रैफ़िक कहाँ से आता है
• गंतव्य IP एड्रेस - ट्रैफ़िक कहाँ जा रहा है
• प्रोटोकॉल - TCP, UDP, ICMP, IP, आदि (प्रोटोकॉल नंबर द्वारा)
• स्रोत/गंतव्य पोर्ट - सॉकेट नंबर (TCP/UDP पोर्ट)
• TCP फ्लैग्स - SYN, ACK, FIN, RST (स्थापित कनेक्शन फ़िल्टर करने के लिए)
• ToS/DSCP - सेवा गुणवत्ता चिह्न

ACL प्रकार

ACL नेटवर्क की सुरक्षा कैसे करते हैं

1. अनधिकृत पहुंच रोकें: संवेदनशील सबनेट (सर्वर, प्रबंधन) तक पहुंच को केवल अधिकृत IP तक सीमित करें
2. DDoS कम करें: ज्ञात हमलावर IP या संदिग्ध पैटर्न से ट्रैफ़िक छोड़ें
3. आंतरिक खतरे नियंत्रित करें: विभागों के बीच पार्श्व गति सीमित करें (VLAN ACL / VACL)
4. नीति लागू करें: अनधिकृत प्रोटोकॉल/पोर्ट ब्लॉक करें (जैसे, उपयोगकर्ता VLAN से SSH, Telnet, RDP)
5. स्पूफिंग रोकें: आंतरिक स्रोत IP के साथ इनबाउंड ट्रैफ़िक छोड़ें (एंटी-स्पूफिंग ACL)
6. प्रबंधन प्लेन सुरक्षित करें: राउटर/स्विच प्रबंधन (SSH, SNMP, HTTPS) को केवल विश्वसनीय IP तक सीमित करें

ACL प्रसंस्करण तर्क

• नियमों का मूल्यांकन क्रमिक रूप से (ऊपर से नीचे) किया जाता है
• पहला मिलान वाला नियम कार्रवाई निर्धारित करता है (अनुमति/अस्वीकार)
• अंत में एक निहित अस्वीकार सब कुछ होता है - स्पष्ट रूप से अनुमति नहीं दिए गए ट्रैफ़िक को छोड़ दिया जाता है
• सबसे विशिष्ट नियमों को शीर्ष पर रखें, सामान्य नियमों को नीचे

ACL बनाम स्टेटफुल फायरवॉल

सर्वोत्तम अभ्यास

• इनबाउंड और आउटबाउंड दोनों दिशाओं में ACL लागू करें
• प्रबंधन ट्रैफ़िक के लिए विशेष रूप से ACL का उपयोग करें (केवल विश्वसनीय होस्ट)
• नियमित रूप से ACL की समीक्षा/ऑडिट करें - अप्रयुक्त नियम हटाएं
• रिमार्क/टिप्पणियों के साथ दस्तावेज़ करें
• उत्पादन में लागू करने से पहले लैब में परीक्षण करें
• लॉगिंग सक्षम करें (हिट काउंट, अस्वीकृत पैकेट) निगरानी के लिए

उदाहरण: विस्तारित ACL - केवल विशिष्ट होस्ट को वेब सर्वर तक HTTP/HTTPS अनुमति दें

ip access-list extended WEB_SERVER_IN
 permit tcp host 192.168.10.5 host 10.1.1.100 eq 80
 permit tcp host 192.168.10.5 host 10.1.1.100 eq 443
 deny ip any host 10.1.1.100 log
 permit ip any any
!
interface GigabitEthernet0/1
 ip access-group WEB_SERVER_IN in