Nederlands
Menu

Wat is ACL (toegangscontrolelijst)?

Lijst van regels die per object vastlegt welke toegang wordt toegestaan en welke wordt geweigerd. Op netwerkapparatuur beslist ze of pakketten worden doorgelaten of weggegooid op basis van voorwaarden zoals bron- en doeladressen, protocol en poortnummers; de regels worden van boven af gecontroleerd en de eerste die past, beslist. Wat bij geen enkele regel past, wordt meestal geweigerd (de impliciete weigering, implicit deny). In bestandssystemen heet een lijst van rechten per gebruiker ook een ACL.

Japanse benaming: ACL(アクセス制御リスト)

“ACL (toegangscontrolelijst)” komt voor in 1 oefenvragen uit 1 onderwerpen, bijv. Netwerkontwerp en -beheer.

Vakgebied: Netwerkontwerp en -beheer

Van boven af gecontroleerd, de eerste overeenkomst beslist

Een ACL in een netwerk vergelijkt een pakket van boven af met haar regels, beslist volgens het „toestaan” of „weigeren” van de eerste regel die past, en negeert alle latere regels. De volgorde van de regels doet er dus toe: smalle uitzonderingen, zoals alleen één bepaalde server toestaan, moeten boven bredere regels staan. Aan het einde wordt een ongeschreven regel „alles weigeren” verondersteld (de impliciete weigering, implicit deny), zodat al het verkeer dat bij geen enkele toestaanregel past, wordt weggegooid.

Waar en in welke richting toepassen

Een ACL wordt op een interface van een router of switch ingesteld voor ofwel inkomende ofwel uitgaande pakketten. Een ACL die bron, bestemming en poortnummers gedetailleerd opgeeft, staat het best dicht bij de bron, zodat ongewenst verkeer vroeg wordt weggegooid en geen links onderweg verspilt. Een ACL die alleen op de bron let, zou dicht bij de bron ook verkeer naar andere bestemmingen blokkeren, en staat daarom normaal dicht bij de bestemming. Een ACL bekijkt elk pakket afzonderlijk; om alleen het terugkerende verkeer van verbindingen die van binnenuit zijn gestart door te laten, worden de stateful functies van een firewall gebruikt, die de toestand van verbindingen onthouden.

ACL's in bestandssystemen

De term ACL wordt ook gebruikt voor toegangsrechten op bestanden en mappen. De basisrechten van Linux kunnen maar drie sets rechten uitdrukken, voor de eigenaar, de groep en alle anderen, maar met ACL's kunnen lees- en schrijfrechten voor bepaalde gebruikers of groepen worden toegevoegd. Ook NTFS onder Windows gebruikt ACL's per bestand om gedetailleerde rechten vast te leggen. De objecten verschillen, maar het idee van „een lijst van wat wie (of wat) is toegestaan” is hetzelfde.

Nu oefenen: vragen over ACL (toegangscontrolelijst)

Op een interface van een router is een ACL ingesteld die inkomende pakketten van boven af controleert. Regel 1 is „verkeer naar TCP-poort 443 van 10.0.0.10 toestaan”, regel 2 is „al het verkeer van bron 192.168.1.0/24 weigeren” en regel 3 is „verkeer van bron 192.168.0.0/16 naar TCP-poort 80 toestaan”; andere regels zijn er niet. Welke keuze noemt van de vier pakketten (i) „van 192.168.1.5 naar TCP-poort 443 van 10.0.0.10”, (ii) „van 192.168.1.5 naar TCP-poort 80 van 10.0.0.20”, (iii) „van 192.168.2.5 naar TCP-poort 80 van 10.0.0.20” en (iv) „van 192.168.2.5 naar TCP-poort 22 van 10.0.0.20” alle pakketten die worden doorgelaten?

  1. A(i) en (iii)
  2. B(i), (ii) en (iii)
  3. C(i), (iii) en (iv)
Antwoord en toelichting tonen

Antwoord: A. (i) en (iii)

Een ACL vergelijkt een pakket van boven af met de regels, beslist op grond van de eerste regel die past of het wordt toegestaan of geweigerd, en kijkt niet meer naar latere regels. Een pakket dat bij geen enkele regel past, wordt weggegooid door een onzichtbare regel „alles weigeren” aan het einde (de impliciete weigering, implicit deny). Pakket (i) past bij regel 1 en wordt toegestaan. Pakket (ii) voldoet ook aan regel 3, maar past eerst bij regel 2 (bron 192.168.1.0/24) en wordt geweigerd. Pakket (iii) past niet bij regel 1 of regel 2 en wordt door regel 3 toegestaan, en pakket (iv) past bij geen enkele regel en wordt door de impliciete weigering weggegooid.

Veelgestelde vragen

Moet ik aan het einde van een ACL „alles weigeren” schrijven?

De meeste apparatuur heeft aan het einde een impliciete weigering, dus verkeer dat niet is toegestaan, wordt ook zonder die regel weggegooid. Wilt u geweigerd verkeer echter registreren, dan kunt u een expliciete regel „alles weigeren” schrijven met logging ingeschakeld. Omgekeerd: een ACL toepassen die alleen weigerregels bevat, legt door de impliciete weigering al het verkeer stil, dus voorzichtigheid is geboden.

Wat is het verschil tussen een ACL en een firewall?

Een ACL staat pakketten een voor een toe of weigert ze volgens regels en is een basisfunctie van routers en switches. Een firewall is speciale apparatuur of software die naast regels zoals die van een ACL functies biedt zoals stateful inspection, die de toestand van verbindingen onthoudt en terugkerend verkeer automatisch doorlaat, en de herkenning van applicaties.

“ACL (toegangscontrolelijst)” in de toelichting

Vragen met “ACL (toegangscontrolelijst)” (1)

  1. Op een interface van een router is een ACL ingesteld die inkomende pakketten van boven af controleert. Regel 1 is „verkeer naar TCP-poort 443 van 10.0.0.10 toestaan”, regel 2 is „al het verkeer van bron 192.168.1.0/24 weigeren” en regel 3 is „verkeer van bron 192.168.0.0/16 naar TCP-poort 80 toestaan”; andere regels zijn er niet. Welke keuze noemt van de vier pakketten (i) „van 192.168.1.5 naar TCP-poort 443 van 10.0.0.10”, (ii) „van 192.168.1.5 naar TCP-poort 80 van 10.0.0.20”, (iii) „van 192.168.2.5 naar TCP-poort 80 van 10.0.0.20” en (iv) „van 192.168.2.5 naar TCP-poort 22 van 10.0.0.20” alle pakketten die worden doorgelaten?

Verwante termen

Router Pakket (packet) TCP (Transmission Control Protocol) Administratieve afstand (administrative distance) BGP (Border Gateway Protocol) Broadcastdomein Linkaggregatie Longest prefix match OSPF (Open Shortest Path First) Path MTU discovery

Naar de woordenlijst