Qu'est-ce que ACL (liste de contrôle d'accès) ?
Liste de règles qui indique, pour chaque objet, quels accès sont autorisés et lesquels sont refusés. Sur les équipements réseau, elle décide de laisser passer ou de détruire les paquets selon des conditions comme les adresses source et destination, le protocole et les numéros de port ; les règles sont examinées à partir du haut, et la première qui correspond l'emporte. Ce qui ne correspond à aucune règle est en général refusé (le refus implicite, implicit deny). Dans les systèmes de fichiers, une liste de droits par utilisateur s'appelle aussi une ACL.
Nom japonais: ACL(アクセス制御リスト)
« ACL (liste de contrôle d'accès) » apparaît dans 1 questions d'entraînement réparties sur 1 thèmes, dont Conception et exploitation des réseaux.
Domaine: Conception et exploitation des réseaux
Examinée à partir du haut, décidée par la première correspondance
Une ACL réseau compare un paquet à ses règles à partir du haut, décide selon l'« autoriser » ou le « refuser » de la première règle qui correspond, et ignore toutes les règles suivantes. L'ordre des règles est donc important : les exceptions étroites, comme n'autoriser qu'un serveur particulier, doivent être écrites au-dessus des règles plus larges. On considère qu'une règle non écrite « tout refuser » figure à la fin (le refus implicite, implicit deny), si bien que tout trafic qui ne correspond à aucune règle d'autorisation est détruit.
Où et dans quel sens l'appliquer
Une ACL se configure sur une interface de routeur ou de commutateur, pour les paquets entrants ou pour les paquets sortants. Une ACL qui précise en détail la source, la destination et les numéros de port se place de préférence près de la source, pour que le trafic indésirable soit détruit tôt et ne gaspille pas les liaisons traversées. Une ACL qui ne porte que sur la source bloquerait aussi, placée près de la source, le trafic vers d'autres destinations ; on la place donc normalement près de la destination. Une ACL examine chaque paquet isolément : pour ne laisser passer que le trafic de retour des connexions ouvertes depuis l'intérieur, on utilise les fonctions avec état d'un pare-feu, qui mémorisent l'état des connexions.
Questions fréquentes
Faut-il écrire « tout refuser » à la fin d'une ACL ?
La plupart des équipements ont un refus implicite à la fin : le trafic non autorisé est donc détruit même si vous ne l'écrivez pas. Toutefois, si vous voulez enregistrer le trafic refusé, vous pouvez écrire une règle explicite « tout refuser » avec la journalisation activée. À l'inverse, appliquer une ACL qui ne contient que des règles de refus bloque tout le trafic à cause du refus implicite : il faut donc être prudent.
Quelle est la différence entre une ACL et un pare-feu ?
Une ACL autorise ou refuse les paquets un par un selon des règles ; c'est une fonction de base des routeurs et des commutateurs. Un pare-feu est un équipement ou un logiciel dédié qui, en plus de règles comparables à celles d'une ACL, offre des fonctions comme l'inspection avec état, qui mémorise l'état des connexions et laisse passer automatiquement le trafic de retour, et l'identification des applications.