Network ACL — tarmoq paketlarini manba, manzil, protokol, port va yo‘nalish kabi belgilar asosida ruxsat etadigan yoki rad qiladigan qoidalar ro‘yxatidir. U router, switch, firewall, bulut subneti yoki virtual tarmoq interfeysida qo‘llanishi mumkin. Maqsad segmentlar orasidagi trafikni faqat zarur oqimlar bilan cheklashdir.
Qoida maydonlari
Tipik qoida source va destination CIDR, TCP/UDP/ICMP protokoli, port oralig‘i va actiondan iborat. Ingress qoidasi kiruvchi, egress esa chiquvchi trafikni boshqaradi. Qaysi nuqtaga biriktirilgani paket manzil transformatsiyasidan oldinmi yoki keyinmi ko‘rilishini belgilaydi.
100 allow tcp 10.20.0.0/16 -> 10.30.1.10/32 port 443
200 deny ip any -> 10.30.0.0/16
Qoidalar raqami tartibni ko‘rsatishi va keyin oraliq yozuv qo‘shish uchun bo‘sh joy qoldirishi mumkin. Izohda biznes maqsadi va egasi ko‘rsatiladi.
Stateless va stateful nazorat
Stateless ACL har bir paketni mustaqil tekshiradi. Kiruvchi so‘rovga ruxsat berish javob trafikini avtomatik ruxsat etmaydi; qaytish yo‘li uchun alohida qoida kerak. Ephemeral client portlar bunday dizaynda hisobga olinadi.
Stateful firewall ulanish holatini kuzatib, ruxsat etilgan sessiyaning javob paketlarini tan oladi. Network ACL atamasi bulut platformasiga qarab stateless yoki stateful bo‘lishi mumkin, shu sabab nomga emas, amaldagi semantikaga qaraladi.
Tartib va default deny
Ko‘p ACLlar yuqoridan pastga tekshiriladi va birinchi mos yozuvda to‘xtaydi. Keng allow tor deny oldida joylashsa, deny ishlamaydi. Ayrim platformalar esa barcha qoidani yig‘ib, deny ustuvorligini qo‘llaydi. Migratsiyada bu farq muhim.
Ro‘yxat oxiridagi implicit deny hech bir qoidaga mos kelmagan paketni to‘sadi. Default deny bilan avval zarur oqimlar inventari tuziladi. “Any-any” vaqtinchalik diagnostika qoidasi muddatsiz qolmasligi va avtomatik tugashi kerak.
Segmentatsiya
ACL frontenddan backendga faqat kerakli portni, backenddan bazaga esa aniq xizmat portini ochishi mumkin. Boshqaruv tarmog‘i foydalanuvchi trafikidan ajratiladi. Egress nazorati buzilgan serverning noma’lum tashqi manzilga ulanishini cheklaydi va data exfiltrationni qiyinlashtiradi.
IPga asoslangan qoida identifikatsiya emas. Dinamik bulut va konteyner muhitida manzil tez o‘zgaradi yoki NAT ortida ko‘p xizmat bo‘ladi. Identity-aware siyosat yoki service mesh tarmoq ACLini ilova darajasidagi avtorizatsiya bilan to‘ldiradi.
O‘zgarish va test
Qoida qo‘shishdan oldin trafik yo‘li, NAT, route va ikki yo‘nalish aniqlanadi. Shadow analysis yangi yozuv qaysi mavjud qoidani soyada qoldirishini tekshiradi. O‘zgarish kod sifatida reviewdan o‘tib, bosqichli qo‘llanadi va qaytarish rejasi saqlanadi.
Flow log qaysi manba va qoida trafikni qabul yoki rad etganini ko‘rsatadi. Hit counter ishlatilmayotgan qoidalarni topadi, ammo mavsumiy yoki favqulodda oqimni o‘chirishdan oldin egasi bilan tasdiqlanadi. Paket capture ACLdan oldingi va keyingi nuqtada olinishi mumkin.
Chegaralar
ACL shifrlangan trafik ichidagi amalni, foydalanuvchi rolini yoki HTTP obyektini ko‘rmaydi. Ruxsat etilgan port orqali zararli so‘rov o‘tishi mumkin. TLS, application authorization, WAF va host firewall bilan qatlamli himoya yaratiladi. IPv4 uchun yozilgan qoidalar IPv6 yo‘lini avtomatik qamramasligi ham alohida tekshiriladi.
Nomi yechiladigan qoidalar
Ba’zi platformalar ACLda domen yoki service tag ishlatishga ruxsat beradi. Domen bir nechta va o‘zgaruvchan IPga yechilgani sabab yangilash va kesh semantikasi aniqlanadi. Faqat DNS nomiga ruxsat hujumchi shu domenni egallasa xavf tug‘dirishi mumkin; TLS identity va application-level nazorat bilan to‘ldiriladi. Service tag provider tomonidan boshqariladigan manzil to‘plami bo‘lib, uning qamrovi va o‘zgarish xabarlari kuzatiladi.
Bog‘liq tushunchalar
Access Control List, Firewall, Network segmentation, CIDR, Ingress, Egress, Default deny, Stateful firewall