Zależnie od implementacji reguły mogą badać adresy źródłowe i docelowe, numery protokołów, porty transportowe, kierunek lub inne pola nagłówka. Listy ACL można stosować na routerach, przełącznikach, hostach, sieciach wirtualnych i granicach sieci chmurowych.
Reguły są zwykle oceniane według zdefiniowanej kolejności lub priorytetu, z udokumentowanym domyślnym działaniem, gdy żadna reguła nie pasuje. Wiele sieciowych list ACL filtruje pakiety bez śledzenia stanu połączenia, podczas gdy część platform używa tej samej etykiety dla kontroli stanowych. Projektanci muszą zatem weryfikować rzeczywistą ewaluację, zachowanie ruchu powrotnego, rejestrowanie, fragmentację i obsługę IPv4/IPv6.
Najważniejsze punkty
Podstawa politykiZaczynaj od wymaganych przepływów i wyrażaj najwęższe źródło, miejsce docelowe, protokół, port i kierunek, które je obsługują.
UmiejscowienieStosuj reguły na użytecznych granicach, uwzględniaj alternatywne ścieżki i utrzymuj routing, NAT oraz kontrole na poziomie obciążeń spójne z zamierzoną polityką.
OperacjePrzypisuj właścicielstwo, dokumentuj cel i wygaśnięcie, przeglądaj logi trafień i odrzuceń, testuj zmiany reguł i usuwaj przestarzałe lub przesłonięte pozycje.
Istotne ograniczenieACL widzi zwykle ograniczone metadane sieciowe, a nie intencję użytkownika lub pełne zachowanie aplikacji. Ponowne użycie adresów, spoofing, zaszyfrowane ładunki, błędy kolejności reguł i ścieżki obejścia mogą osłabiać oczekiwany rezultat.