Liste de acces

1Recapitulare4 min

Ultimul punct revine astăzi, într-o formă nouă și mult mai neplăcută: nu doar rutarea trebuie gândită în ambele sensuri, ci și filtrarea. O listă care permite corect traficul dus, dar uită traficul întors, produce exact același simptom - „nu merge" - dintr-un motiv complet diferit.

Rezultate ale învățării

• Să explicați ce este un ACL și ce poate identifica dintr-un pachet
• Să parcurgeți mental o listă de reguli și să spuneți exact ce se întâmplă cu un pachet dat
• Să calculați o mască wildcard și să spuneți ce interval de adrese acoperă
• Să alegeți între o listă standard și una extinsă și să știți unde se plasează fiecare
• Să scrieți liste cu nume și să editați o singură linie fără să rescrieți tot
• Să permiteți traficul de întoarcere fără să deschideți rețeaua din exterior
• Să depanați o listă folosind contorul de potriviri

2Definiția listei de acces8 min

Ultima propoziție merită subliniată, pentru că e sursa primei confuzii de laborator: o listă scrisă în configurație și neaplicată pe nicio interfață nu filtrează absolut nimic. Este doar un text. Aplicarea se face separat, cu o a doua comandă.

Filtrarea nu este singura utilizare

ACL-ul este, pe un echipament Cisco, modul standard de a răspunde la întrebarea „despre care trafic vorbim?". De aceea îl veți întâlni în locuri care nu au nicio legătură cu securitatea:

Ce poate „vedea" o listă dintr-un pachet

Criteriile disponibile acoperă nivelurile 3 și 4 ale modelului OSI - exact antetele pe care ruterul le citește oricum:

Ce nu poate vedea un ACL clasic: numele utilizatorului, conținutul paginii cerute, numele domeniului, faptul că un fișier conține un virus. Toate acestea sunt la nivelurile 5–7 și cer un echipament de alt tip.

3Ruter cu ACL sau firewall dedicat?6 min

Întrebarea apare imediat ce cineva realizează că ruterul poate filtra: dacă poate, de ce mai cumpărăm firewall-uri? Răspunsul e că fac lucruri diferite, iar diferența nu e de calitate, ci de rol.

Un ACL costă latență și încărcare pe procesorul ruterului: fiecare pachet trebuie comparat, în cel mai rău caz, cu toate regulile din listă. Pe un ruter mic, o listă de 300 de linii aplicată pe interfața de Internet se simte.

Unde se pun serviciile expuse public

Arhitectura clasică plasează un firewall între ruterul de margine și rețeaua internă și scoate serviciile publice - server web, server de mail - într-o zonă separată, numită DMZ (Demilitarized Zone).

4Cum se citește o listă de reguli10 min

Aceasta este secțiunea care, dacă e înțeleasă bine, face restul cursului aproape banal. Sunt trei propoziții.

Ordinea de parcurgere, ca exercițiu

5Unde se aplică o listă10 min

O listă scrisă nu face nimic. Ca să aibă efect, trebuie legată de un loc precis, iar locul are trei coordonate.

6Masca wildcard12 min

Aici trebuie să vă dezvățați ceva. Într-o listă de acces, adresele nu se însoțesc de mască de rețea, ci de mască wildcard, iar regula ei este exact inversă.

Wildcard-ul poate însă face lucruri pe care o mască de rețea nu le poate. Masca cere ca biții de 1 să fie contigui, de la stânga. Wildcard-ul nu are această restricție: putem lăsa un bit de 0 pe ultima poziție și selecta astfel doar adresele pare dintr-o rețea. E rar folosit, dar explică de ce cele două nu sunt același lucru cu semnele schimbate.

Porniți de la ce e deja în casetă: 172.16.8.0 0.0.7.255 acoperă opt rețele de clasă C consecutive, de la 172.16.8.0 la 172.16.15.255. Uitați-vă la reprezentarea binară: cei trei biți liberi din al treilea octet produc exact 2³ = 8 combinații.

Apoi încercați trei lucruri:

• wildcard 0.0.0.0 peste 10.1.1.7 - o singură adresă, echivalentul lui host;
• wildcard 0.0.0.1 peste 11.2.2.90 - exact două adrese, .90 și .91; e trucul prin care două reguli devin una;
• wildcard 255.255.255.255 peste orice adresă - absolut tot, echivalentul lui any.

Cuvintele cheie care scurtează scrierea

Calculator: de la prefix la wildcard și înapoi

Alegeți /22 și citiți rezultatul: wildcard-ul este 0.0.3.255, adică patru rețele de clasă C. Alegeți /30 - cazul legăturilor între rutere - și obțineți 0.0.0.3: patru adrese, din care două utilizabile.

7Listele standard10 min

O listă standard răspunde la o singură întrebare: de unde vine pachetul? Nu poate spune nimic despre destinație, protocol sau port. E puțin - dar e suficient pentru cazul frecvent „stația aceasta nu are voie în segmentul acela".

R(config)# access-list 50 deny host 172.16.1.1
                       │   │    │
                       │   │    └── criteriul: ce sursa
                       │   └─────── actiunea: permit sau deny
                       └─────────── numarul listei (1-99 => standard)

R(config)# access-list 50 remark blocheaza statia problematica
R(config)# access-list 50 deny host 172.16.1.1
R(config)# access-list 50 permit 172.16.0.0 0.0.255.255

R(config)# interface fastEthernet 0/1
R(config-if)# ip access-group 50 in

De ce lista standard se plasează lângă destinație

8Listele extinse12 min

Lista extinsă răspunde la patru întrebări deodată: de unde, unde, cu ce protocol și pe ce port. Prețul este o sintaxă mai lungă și obligația de a nu greși ordinea argumentelor.

access-list 101 deny tcp host 172.16.6.1 192.168.1.0 0.0.0.255 eq 23
            │    │    │        │              │                  │
            │    │    │        │              │                  └ portul destinatie
            │    │    │        │              └──── destinatia + wildcard
            │    │    │        └───────────────── sursa (aici: o singura statie)
            │    │    └────────────────────────── protocolul: ip, tcp, udp, icmp...
            │    └─────────────────────────────── actiunea
            └──────────────────────────────────── numarul (100-199 => extinsa)

Protocoale și porturi uzuale

Operatorii disponibili pentru porturi: eq (egal), neq (diferit), lt (mai mic), gt (mai mare) și range 20 21 (interval închis).

! permite tot traficul IP de la o singura statie, catre orice destinatie
access-list 101 permit ip host 10.0.0.1 any

! opreste tot traficul cu originea in reteaua 10.0.0.0/24
access-list 101 deny ip 10.0.0.0 0.0.0.255 any

! opreste Telnet de la o statie anume catre o retea anume
access-list 101 deny tcp host 172.16.6.1 192.168.1.0 0.0.0.255 eq 23

! permite Telnet de la toate statiile dintr-o retea, spre oriunde
access-list 101 permit tcp 172.16.6.0 0.0.0.255 any eq telnet

Evaluator interactiv

Editați lista din caseta de sus și urmăriți cum se schimbă verdictele. Trei observații merită făcute cu atenție.

Prima. Regula 4, deny ip host 192.168.10.66 any, pare să blocheze stația problematică - dar tabelul arată că pachetul ei este permis, de regula 3. Motivul este ordinea: permit icmp 192.168.10.0 0.0.0.255 any se potrivește prima, iar restul listei nu se mai verifică. Mutați regula 4 deasupra regulii 3 și priviți cum se schimbă verdictul. Aceasta este, în două rânduri, întreaga capcană a listelor de acces: o regulă corectă, plasată prea jos, nu există.

A doua. Ultimul pachet, venit din altă rețea, nu se potrivește cu nicio regulă și cade pe deny implicit - deși nimeni nu a scris acea linie nicăieri.

A treia. Ștergeți ultima linie, permit ip 192.168.10.0 0.0.0.255 any, și priviți câte pachete rămân permise. Este demonstrația practică a faptului că o listă fără o linie de permisiune finală este un zid.

Unde se plasează lista extinsă

9Listele cu nume și editarea lor7 min

Listele numerotate au două neajunsuri serioase, iar al doilea e cel care doare.

R(config)# ip access-list extended FILTRU_LAN_IN
R(config-ext-nacl)# 20 permit ip any any

! ne dam seama ca lipsesc doua reguli, si trebuie sa fie INAINTE
R(config-ext-nacl)# 5 permit icmp host 10.0.0.1 any
R(config-ext-nacl)# 10 deny icmp any any

! regula de pe linia 5 avea adresa gresita: o stergem punctual
R(config-ext-nacl)# no 5
R(config-ext-nacl)# 5 permit icmp host 10.0.0.2 any

! aplicarea pe interfata - la fel ca la listele numerotate
R(config)# interface fastEthernet 0/1
R(config-if)# ip access-group FILTRU_LAN_IN in

10Liste care țin cont de context9 min

Problema traficului de întoarcere

Vrem ca stațiile noastre să navigheze pe web, dar nimeni din exterior să nu poată iniția o conexiune spre ele. Sună simplu. Nu este.

Soluția minimală: established

Opțiunea established se potrivește cu pachetele TCP care au bitul ACK sau RST setat - adică cele care fac parte dintr-o conversație deja pornită. Primul pachet al unei conexiuni noi, cel cu SYN singur, nu are ACK, deci nu se potrivește și este oprit.

R0(config)# ip access-list extended IESIRE_HTTP
R0(config-ext-nacl)# 10 permit tcp 192.168.0.0 0.0.0.255 any eq www

R0(config)# ip access-list extended INTRARE_HTTP
R0(config-ext-nacl)# 10 permit tcp any eq www 192.168.0.0 0.0.0.255 established

R0(config)# interface fa1/0
R0(config-if)# ip access-group IESIRE_HTTP out
R0(config-if)# ip access-group INTRARE_HTTP in

Observați structura celei de-a doua reguli: sursa este any eq www - orice server web - iar destinația este rețeaua noastră. Este oglinda primei reguli, cu sursa și destinația inversate, plus cuvântul magic la final.

Listele reflexive

Un ACL reflexiv construiește dinamic regulile de întoarcere, pe baza sesiunilor observate la ieșire. Când o stație internă deschide o conexiune, ruterul creează automat, temporar, regula inversă - și o șterge când sesiunea se încheie sau expiră.

Se definesc doar prin liste extinse cu nume și folosesc două cuvinte cheie: reflect, care marchează traficul de urmărit, și evaluate, care aplică regulile generate din el.

R0(config)# ip access-list extended OUTBOUND
R0(config-ext-nacl)# 10 permit tcp 192.168.0.0 0.0.0.255 any eq www reflect TRAFIC_HTTP
R0(config-ext-nacl)# 20 permit icmp 192.168.0.0 0.0.0.255 any reflect TRAFIC_ICMP

R0(config)# ip access-list extended INBOUND
R0(config-ext-nacl)# 10 evaluate TRAFIC_HTTP
R0(config-ext-nacl)# 20 evaluate TRAFIC_ICMP

R0(config)# interface fastEthernet 1/0
R0(config-if)# ip access-group OUTBOUND out
R0(config-if)# ip access-group INBOUND in

Acesta este primul pas real spre un firewall cu stare: ruterul nu mai judecă fiecare pachet izolat, ci ține minte ce sesiuni au fost inițiate din interior. Spre deosebire de established, funcționează și pentru UDP și ICMP, pentru că se bazează pe perechea de adrese și porturi, nu pe biții TCP.

Liste condiționate temporal

Uneori regula nu depinde de trafic, ci de ceas: acces permis doar în programul de lucru, backup permis doar noaptea.

R(config)# time-range PROGRAM_LUCRU
R(config-time-range)# periodic Monday Tuesday Wednesday Thursday Friday 9:00 to 18:00

R(config)# ip access-list extended ACL_ORAR
R(config-ext-nacl)# 10 permit tcp any 192.168.1.0 0.0.0.255 eq telnet time-range PROGRAM_LUCRU

R# show time-range

11Verificare, jurnalizare, comentarii6 min

Trei mecanisme fac diferența între un ACL scris și un ACL înțeles.

Comentariile - remark, maximum 100 de caractere - explică intenția fiecărui grup de reguli, nu sintaxa lor. Peste șase luni, când altcineva citește configurația, un comentariu valorează cât zece minute de reconstituit raționamentul.

Jurnalizarea - cuvântul cheie log la finalul unei reguli - generează un mesaj care conține numărul listei, acțiunea, adresa sursă și numărul de pachete. Mesajul apare la primul pachet care se potrivește și apoi din 5 în 5 minute, mecanism gândit exact ca să nu inunde jurnalele.

12Protejarea accesului la echipament5 min

Până acum am filtrat trafic care trece prin ruter. Ultima aplicație este diferită: filtrăm traficul care se oprește la ruter - sesiunile de administrare.

Un ruter accesibil prin SSH de oriunde din Internet este o parolă distanță de un dezastru. Soluția standard nu este o listă pe interfață, ci una aplicată pe liniile virtuale (VTY), cu o comandă diferită: access-class în loc de ip access-group.

R(config)# access-list 5 remark doar statiile administratorilor
R(config)# access-list 5 permit 192.168.99.0 0.0.0.255

R(config)# line vty 0 15
R(config-line)# access-class 5 in
R(config-line)# transport input ssh
R(config-line)# exec-timeout 5 0

Avantajul acestei abordări: lista se aplică o singură dată și acoperă toate interfețele, indiferent pe unde ar veni încercarea de conectare. Un ACL pe interfață ar trebui replicat pe fiecare ușă.

13Erori frecvente4 min

• „Am scris lista, dar nu filtrează nimic" Lista există în configurație, dar nu a fost aplicată pe nicio interfață. Este doar text. Verificați cu show ip interface ce listă e aplicată și pe ce direcție.
• „Am pus regula, dar nu are efect" O regulă de deasupra prinde deja traficul. Regula dumneavoastră nu e citită niciodată. show access-lists → 0 matches. Mutați regula mai sus. Specificul deasupra generalului.
• „Am blocat tot, deși voiam să blochez o singură stație" Lista are doar reguli deny. După ele vine deny any implicit. Adăugați o linie permit finală pentru restul traficului.
• „Ping-ul merge într-un sens, dar nu se întoarce" Ați permis traficul dus și ați uitat răspunsul. Ca și la rutare, filtrarea se gândește în ambele sensuri. Fie o regulă pentru echo-reply, fie established, fie o listă reflexivă.
• „Am confundat in cu out" Direcția se judecă din perspectiva ruterului, nu a rețelei. Întrebați-vă: pachetul intră în ruter pe această interfață, sau iese din el?
• „Am folosit masca de rețea în loc de wildcard" permit 10.0.0.0 255.255.255.0 se acceptă fără eroare și selectează cu totul altceva. Wildcard = 255.255.255.255 minus masca. Verificați cu show access-lists, unde IOS afișează explicit wildcard bits.
• „Am aplicat lista pe interfața prin care eram conectat" Sesiunea se închide instantaneu și nu se mai poate redeschide. Pe echipamente la distanță: reload in 5 înainte, reload cancel după ce confirmați că merge.

14Rezumat și glosar4 min

15Întrebări de verificare6 min

16Direcții de aprofundare2 min

Am învățat să descriem traficul și să îl oprim pe un ruter Cisco, fără nicio noțiune de stare și fără niciun fel de criptografie. Cursul următor privește aceeași problemă din perspectiva unui firewall cu stare și a unei mașini Linux, și adaugă exact dimensiunea care lipsește complet aici: cum protejăm conținutul, nu doar traseul.

Laboratorul 6 configurează liste standard și extinse pe topologia firmei, împreună cu NAT - și veți vedea acolo, în practică, ce înseamnă „aceeași listă, alt înțeles al cuvântului permit".

• Cisco - Security Configuration Guide: Access Control Lists
• RFC 3871 - cerințe operaționale de securitate pentru infrastructura IP
• RFC 2827 (BCP 38) - filtrarea la intrare împotriva adreselor sursă falsificate
• Manualul iptables(8), pentru comparație cu abordarea Linux