Was ist ACL (Zugriffskontrollliste)?
Liste von Regeln, die für jedes Objekt festlegt, welche Zugriffe erlaubt und welche verweigert werden. Auf Netzwerkgeräten entscheidet sie anhand von Bedingungen wie Quell- und Zieladressen, Protokoll und Portnummern, ob Pakete durchgelassen oder verworfen werden; die Regeln werden von oben nach unten geprüft, und die erste passende entscheidet. Was zu keiner Regel passt, wird in der Regel verweigert (implizites Deny). In Dateisystemen heißt eine Liste von Berechtigungen je Benutzer ebenfalls ACL.
Japanische Bezeichnung: ACL(アクセス制御リスト)
„ACL (Zugriffskontrollliste)“ kommt in 1 Übungsfragen aus 1 Themen vor, z. B. Netzwerkdesign und Netzwerkbetrieb.
Fachgebiet: Netzwerkdesign und Netzwerkbetrieb
Von oben geprüft, die erste passende Regel entscheidet
Eine Netzwerk-ACL vergleicht ein Paket von oben nach unten mit ihren Regeln, entscheidet nach dem „Erlauben“ oder „Verweigern“ der ersten passenden Regel und beachtet alle späteren Regeln nicht. Die Reihenfolge der Regeln ist daher entscheidend: Enge Ausnahmen, etwa die Freigabe nur eines bestimmten Servers, müssen oberhalb allgemeinerer Regeln stehen. Am Ende wird eine nicht ausgeschriebene Regel „alles verweigern“ angenommen (implizites Deny), sodass jeder Verkehr, auf den keine Erlaubnisregel passt, verworfen wird.
Wo und in welcher Richtung man sie anwendet
Eine ACL wird auf einer Schnittstelle eines Routers oder Switches entweder für eingehende oder für ausgehende Pakete eingerichtet. Eine ACL, die Quelle, Ziel und Portnummern genau festlegt, steht am besten nahe der Quelle, sodass unerwünschter Verkehr früh verworfen wird und keine Verbindungen auf dem Weg unnötig belastet. Eine ACL, die nur nach der Quelle filtert, würde nahe der Quelle auch den Verkehr zu anderen Zielen blockieren und wird deshalb grundsätzlich nahe dem Ziel platziert. Eine ACL betrachtet jedes Paket für sich; um nur den Rückverkehr von intern begonnenen Verbindungen durchzulassen, nutzt man die zustandsbehafteten Funktionen einer Firewall, die sich den Verbindungszustand merkt (Stateful Inspection).
ACLs in Dateisystemen
Der Begriff ACL wird auch für Zugriffsrechte auf Dateien und Ordner verwendet. Die einfachen Linux-Berechtigungen können nur drei Gruppen von Rechten ausdrücken, für den Eigentümer, die Gruppe und alle anderen, doch mit ACLs lassen sich Lese- und Schreibrechte für bestimmte Benutzer oder Gruppen hinzufügen. Auch NTFS unter Windows legt mit ACLs je Datei detaillierte Rechte fest. Die Objekte sind verschieden, doch die Idee „einer Liste, wem (oder was) was erlaubt ist“, ist dieselbe.
Häufige Fragen
Muss man am Ende einer ACL „alles verweigern“ ausschreiben?
Die meisten Geräte haben am Ende ein implizites Deny, sodass nicht erlaubter Verkehr auch ohne diese Regel verworfen wird. Will man verweigerten Verkehr protokollieren, schreibt man jedoch mitunter eine ausdrückliche Regel „alles verweigern“ mit aktivierter Protokollierung. Umgekehrt stoppt eine ACL, die nur Verweigerungsregeln enthält, wegen des impliziten Deny den gesamten Verkehr; hier ist Vorsicht geboten.
Was ist der Unterschied zwischen einer ACL und einer Firewall?
Eine ACL erlaubt oder verweigert Pakete einzeln nach Regeln und ist eine Grundfunktion von Routern und Switches. Eine Firewall ist ein spezielles Gerät oder eine Software, die zusätzlich zu ACL-ähnlichen Regeln Funktionen wie Stateful Inspection bietet, die sich den Verbindungszustand merkt und Rückverkehr automatisch durchlässt, sowie die Erkennung von Anwendungen.