SECURITE DES SI
ACL
M. MOURAD BOUAABID
INTRODUCTION
Elles opèrent selon un ordre
séquentiel et logique, en évaluant
Les listes d'accès (access list) sont
les paquets à partir du début de la liste
des instructions qui expriment
d'instructions. Si le paquet répond au
une liste de règles, imposées par
critère de la première instruction, il
l'opérateur, donnant un contrôle
ignore alors des règles et il est
supplémentaire sur les paquets
autorisé ou refusé. Il ne peut pas
reçus et transmis par le routeur.
avoir qu’une seule liste d'accès
par protocole et par interface.
PARAMÈTRES À CONTRÔLER PAR LES ACL
une partie de
le port l'adresse IP
l'adresse
source source
source
l'adresse IP une partie de
le port de
de l'adresse de
destination
destination destination
A supprimer des paquets pour des raisons
de sécurité.
UTILITÉS DES A filtrer des mises à jour de routage.
ACL
A filtrer des paquets en fonction de leur
priorité (QoS : Quality of Service).
A définir du trafic intéressant pour des
configurations spécifiques (NAT, VPN, etc.).
PRINCIPE
DES ACL
ALGORITHME DES ACL
Recherche de
Si pas de
correspondance Action (deny ou
correspondance,
(examen de chaque permit)
instruction suivante
paquet)
Si aucune
correspondance,
l'instruction implicite
est appliquée
ACL STANDARDS ET ÉTENDUES
Une liste d'accès standard examinera seulement l'adresse IP source.
Une liste d'accès étendue pourra examiner les adresses IP et les ports
aussi bien source que destination, ainsi que le type de protocole (IP,
ICMP, TCP, UDP). Par ailleurs, il sera possible de vérifier une partie des
adresses avec un masque générique (wildcard mask).
ACL NUMÉRIQUES
Protocole Plage
IP 1 - 99 et 1300 - 1999
IP étendu 100 - 199 et 2000 - 2699
Apple Talk 600 - 699
IPX 800 - 899
IPX étendu 900 - 999
Protocole IPX Service Advertising 1000 - 1099
MASQUE GÉNÉRIQUE
Placez les listes d'accès aussi près de
que possible de la source des
paquets (au niveau de l'interface) s'il
s'agit d'une ACL étendue;
RÈGLES S'il s'agit d'une ACL standard, il faut la
D’APPLICATION placer au plus proche de la
destination (puisque c'est ce qu'elle ne
DES ACL vérifie pas).
Placer en tête de liste les règles (les
instructions) qui font l'objet d'une
correspondance la plus précise et les
plus générales à la fin.
SYNTAXE DES COMMANDES : STANDARDS
VÉRIFICATION DES ACL
SUPPRIMER ACL
APPLIQUER ACL SUR INTERFACE
ETUDE DE CAS:
ETUDE DE CAS : ATTRIBUTION DES IP AUX
MACHINES
ETUDE DE CAS : ATTRIBUTION DES IP AU
MACHINES
ETUDE DE CAS : ATTRIBUTION DE IP AU
ROUTEUR
TABLE DE ROUTAGE PAR DEFAUT
VÉRIFICATION DES ÉTATS DES CONNEXIONS
ETAT DE CONFIGURATION DU PC0
ETAT DE CONNEXION AVEC LES MACHINES DE
MEME RESEAU
ETAT DE CONNEXION AVEC MACHINES DISTANTES
CONNEXION AVEC LE SERVEUR WEB
BESOIN: INTERDICTION DE CONNEXION DE LA
MACHINE PC0 AVEC L ’AUTRE RÉSEAU
INTERDICTION DE CONNEXION DE LA MACHINE
PC0 AVEC L ’AUTRE RÉSEAU - SOLUTION
TEST : INTERDICTION
DE CONNEXION DE LA
MACHINE PC0 AVEC
L ’AUTRE RÉSEAU
TEST : AUTORISATION DE
CONNEXION DE LA
MACHINE PC1 AVEC LES
AUTRES MACHINES
VISUALISER LES ACL PRÉSENTES SUR LE ROUTEUR
MODIFICATION L’ACL
NOUVEAU TEST
PC0
NOUVEAU TEST
PC1
SYNTAXE DES COMMANDES : ÉTENDUES
TOPOLOGIE
SPÉCIFICATION DES BESOINS
• On veut autoriser toutes les communications
entre les deux réseaux
• Excepté, une interdiction au PC0 de solliciter le
site web hébergé dans le serveur Web
SPÉCIFICATION DES BESOINS
SUPPRESSION DE L’ACL STANDARD NUMÉRO 1
TEST DE
CONNEXION
DU PC0
ACCÈS À LA
PAGE WEB
PAR PC0
CRÉATION DE L’ACL ETNDUE
TEST DE
CONNEXION
DU PC0
TEST DE
CONNEXION
DU PC1
INTERPRÉTATION
• La communication entre les réseaux : 192.168.1.0/24 et
192.168.2.0/24 est permise
• Un service HTTP qui est interdit exclusivement au PC0
ayant IP : 192.168.1.10/24
