Podle implementace mohou pravidla zkoumat zdrojové a cílové adresy, čísla protokolů, transportní porty, směr či jiná pole hlaviček. ACL lze uplatnit na routerech, switchech, hostitelích, virtuálních sítích a cloudových síťových hranicích.
Pravidla se běžně vyhodnocují v definovaném pořadí či prioritě, se zdokumentovanou výchozí akcí, když žádné pravidlo neodpovídá. Mnoho síťových ACL filtruje pakety bez sledování stavu spojení, zatímco některé platformy používají stejné označení pro stavové kontroly. Návrháři proto musí ověřit skutečné vyhodnocení, zpětný provoz, logování, fragmentaci a chování IPv4/IPv6.
Klíčové body
Základ politikyVycházejte z požadovaných toků a vyjádřete nejužší zdroj, cíl, protokol, port a směr, které je podporují.
UmístěníUplatňujte pravidla na užitečných hranicích, zohledněte alternativní cesty a udržujte směrování, NAT a kontroly na úrovni úloh konzistentní se zamýšlenou politikou.
ProvozPřiřaďte vlastnictví, dokumentujte účel a expiraci, přezkoumávejte logy zásahů a zamítnutí, testujte změny pravidel a odstraňujte zastaralé či zastíněné položky.
Důležité omezeníACL obvykle vidí omezená síťová metadata, nikoli záměr uživatele či úplné chování aplikace. Opětovné použití adres, spoofing, šifrované payloady, chyby v pořadí pravidel a obcházející cesty mohou očekávaný výsledek oslabit.