Passa al contenuto principale

Configurare le liste di controllo degli accessi (ACL)

  • Una Access Control List (ACL) è un insieme di regole applicate a una VLAN per controllare il traffico in entrata e in uscita. Viene utilizzata per consentire o negare i pacchetti in base a criteri quali indirizzi IP, numeri di porta e protocolli, contribuendo a migliorare la sicurezza della rete.
  • Il traffico in entrata o in uscita da una VLAN a cui è applicato un profilo filtro traffico ACL viene consentito o negato in base all'insieme di regole configurato.
  • Le regole ACL possono essere configurate per traffico IPv4 e IPv6.

Ogni pacchetto viene verificato rispetto all'elenco ACL dall'alto verso il basso:

  • Valutazione delle regole: a partire dalla prima regola, gli attributi del pacchetto vengono confrontati con i criteri di corrispondenza.
  • Consentire o negare: se il pacchetto corrisponde a una regola, viene applicata l'azione specificata (consentire o negare) e il processo si interrompe.
  • Procedere alla regola successiva: se il pacchetto non corrisponde, si passa alla regola successiva nell'elenco.
  • Regola predefinita: se nessuna regola corrisponde, al pacchetto viene implicitamente negato l'accesso per impostazione predefinita.

Configurazione​

Creare un profilo filtro traffico ACL​

  1. Alla voce Impostazioni, fare clic su Profilo filtro traffico ACL e quindi su (+)
  2. Alla voce Etichetta inserire un nome per il profilo
  3. Le regole specificano ora i pacchetti IP da controllare
  4. Se necessario, fare clic sulla regola predefinita e modificare l'azione predefinita (il valore predefinito è nega)
  5. Aggiungere una nuova regola facendo clic su + Regola, quindi inserire la descrizione e l'azione della regola.
  6. Selezionare la versione IP (IPv4 o IPv6).
  7. Aggiungere un nuovo criterio di corrispondenza con i seguenti attributi:
    • Prefisso sorgente: inserire un indirizzo IPv4 o IPv6 e il prefisso. Lasciare vuoto per Qualsiasi.
    • Prefisso destinazione: inserire un indirizzo IPv4 o IPv6 e il prefisso. Lasciare vuoto per Qualsiasi.
    • Protocollo: scegliere il protocollo. Per TCP e UDP è possibile specificare i numeri di porta sorgente e destinazione.
    • DSCP: inserire il valore DSCP come numero decimale. Lasciare vuoto per Qualsiasi.
    • Porta sorgente: inserire il valore della porta sorgente. Lasciare vuoto per Qualsiasi.
    • Porta destinazione: inserire il valore della porta destinazione. Lasciare vuoto per Qualsiasi.
    • TCP Established: consente il traffico TCP solo se fa parte di una connessione già stabilita (flag ACK o RST impostato).
  8. Se necessario, fare clic su + Criterio di corrispondenza e aggiungere ulteriori criteri di corrispondenza.
  9. Se necessario, fare clic su + Regola e aggiungere ulteriori regole. Si prega di notare l'ordine delle regole. Viene applicata la prima regola corrispondente.
  10. Salvare le voci
note

Le ACL sono stateless e valutano ogni pacchetto separatamente, basandosi solo su indirizzi IP e porte. Per il traffico TCP, le ACL devono anche consentire esplicitamente il percorso di ritorno.

Le regole ACL IPv6 sono efficaci solo se IPv6 è abilitato sulla VLAN e sulla Access VPN corrispondenti. Per ulteriori informazioni, consultare:

Applicare il profilo filtro traffico ACL​

  1. Alla voce Sede > VLANs, aprire la VLAN a cui si desidera applicare l'ACL.
  2. Abilitare ACL IPv4, ACL IPv6 o entrambi a seconda del filtraggio del traffico richiesto.
  3. Nel menu a discesa per il traffico in entrata, scegliere il profilo filtro traffico ACL per la direzione ingress.
  4. Nel menu a discesa per il traffico in uscita, scegliere il profilo filtro traffico ACL per la direzione egress.
  5. Inviare l'ordine di configurazione
note

Quando si configurano le ACL su una VLAN, è importante considerare la direzionalità dal punto di vista dell'interfaccia di rete del CPE. Ecco come interpretare le direzioni del traffico:

  • Direzione Ingress: si riferisce al traffico che entra nel CPE dalla VLAN. Essenzialmente, rappresenta i dati che viaggiano da un client LAN verso il CPE.
  • Direzione Egress: si riferisce al traffico che esce dal CPE e si dirige verso la VLAN. Riguarda i dati che si muovono dall'interfaccia CPE verso la VLAN.
pericolo

La modifica di un profilo filtro traffico ACL associato a una VLAN disattiverà temporaneamente l'ACL, causando un'interruzione dell'inoltro del traffico durante l'elaborazione dell'ordine. Ciò può avere un impatto significativo sulle operazioni di rete presso la sede.