Les ACL¶
1. Objectif du cours¶
Comprendre ce que sont les listes de contrôle d'accès (ACL) sur Cisco IOS, leurs rôles, types et modes d'application, et savoir configurer/valider des ACL standard, étendues et nommées dans des scénarios simples.
2. Notions et définitions essentielles¶
- ACL : suite d'entrées "permit" ou "deny" évaluées séquentiellement pour décider du transfert ou du rejet d'un paquet.
- Déni implicite : dernière ligne invisible d'une ACL qui bloque tout ce qui n'est pas explicitement autorisé.
- ACL standard : numéros 1–99, filtre sur adresse IPv4 source (couche 3).
- ACL étendue : numéros 100–199, filtre sur adresse source/destination, protocole et ports (couches 3 et 4).
- ACL nommée : ACL étendue (ou standard) identifiée par un nom, gérée en mode configurateur d'ACL.
3. Fonctionnement et principes¶
- Le routeur compare l'en-tête du paquet à chaque entrée de l'ACL de haut en bas ; la première correspondance décide de l'action (permit/deny). Si aucune correspondance, le déni implicite s'applique.
- Les ACL n'existent pas par défaut sur un routeur : sans ACL, le routage ne filtre pas le trafic.
- Application et emplacement :
- ACL entrantes : testées avant le routage ; évitent une recherche de route inutile si le paquet est rejeté.
- ACL sortantes : testées après le routage vers l'interface de sortie ; utiles si le même filtre doit s'appliquer à plusieurs interfaces d'entrée.
- Bon emplacement : placer une ACL standard près de la destination ; placer une ACL étendue près de la source.
4. Commandes et manipulations¶
Regroupées par procédure (sans scripts complets) — commandes extraites du document.
- Configuration d'interfaces (exemples d'affectation d'IP) :
- int fa0/0 → ip add
→ no shut -
int se0/0/0 → ip add
→ no shut -
Routage statique (ajout d'une route) :
-
ip route
-
ACL standard : création et application
- access-list 1 deny
ou access-list 1 deny host - access-list 1 permit any (pour autoriser le reste)
-
int fa0/0 → ip access-group 1 out
-
ACL étendue : création et application
- access-list 100 permit ip host
host -
int fa0/0 → ip access-group 100 in
-
ACL nommée : création en mode configurateur
- conf t → ip access-list extended
- (saisir les lignes permit/deny, ex. permit tcp host
host eq 80) -
int fa0/0 → ip access-group
in -
Visualisation et suppression
- do show ip route static (pour vérifier route par défaut statique indiquée S*)
- do show ip access-list (pour afficher les listes)
- no access-list
et no ip access-group (pour supprimer)
(Remarque du cours : ne pas saisir le texte entre parenthèses dans les commandes.)
5. Sécurité et bonnes pratiques¶
- Ne pas compter sur une ACL par défaut : il n'existe aucune ACL sur un routeur fraîchement configuré.
- Toujours inclure des règles "permit" appropriées avant de laisser l'ACL bloquer tout le trafic (en raison du déni implicite).
- Positionner les ACL correctement : ACL standard au plus près de la destination, ACL étendue au plus près de la source.
- Utiliser les ACL entrantes pour économiser les ressources (éviter des recherches de routage inutile) ; utiliser les ACL sortantes quand un même filtre doit s'appliquer depuis plusieurs sources.
- Quand on écrit des ACL étendues, spécifier correctement source/destination/protocole/ports pour éviter d'ouvrir involontairement des accès.
6. Points essentiels à retenir pour le TSSR¶
- Une ACL est une liste ordonnée d'entrées permit/deny ; la première correspondance s'applique.
- Toute ACL se termine par un déni implicite : sans permit explicite, tout sera bloqué.
- Standard (1–99) : filtre uniquement sur adresse source (couche 3) — placer près de la destination.
- Étendue (100–199) : filtre source/destination, protocole et ports (couches 3+4) — placer près de la source.
- ACL nommée : permet une gestion par nom via ip access-list extended
. - Appliquer une ACL se fait via ip access-group sur une interface, en in ou out selon le besoin.
- Vérifier les routes statiques et la présence des ACL dans la configuration pour valider le comportement attendu.
- Les ACL influeront uniquement sur le trafic transitant par les interfaces ; elles ne filtrent pas le trafic généré par le routeur lui‑même.
7. Tableau récapitulatif¶
| Élément | Caractéristique principale | Plage / Placement recommandé |
|---|---|---|
| ACL standard | Filtre sur IPv4 source (couche 3) | Numéros 1–99, près de la destination |
| ACL étendue | Filtre source/destination, protocole, ports (couches 3+4) | Numéros 100–199, près de la source |
| ACL nommée | ACL identifiée par un nom (extended ou standard) | Gestion via ip access-list extended |
| Déni implicite | Bloque tout ce qui n'est pas permis explicitement | Présent automatiquement en fin d'ACL |
8. Vérifications pratiques¶
- Tester la communication entre hôtes avec ping (ICMP) pour constater qu'une ACL bloque ou autorise le trafic attendu.
- Vérifier la présence d'une route par défaut/statique dans la table de routage (indication S* pour route statique).
- Consulter les ACL appliquées pour confirmer les entrées actives et leur association aux interfaces.
9. Flashcards Anki¶
Qu'est-ce qu'une ACL :: Une liste séquentielle d'entrées "permit" ou "deny" évaluées pour chaque paquet.
Que fait le déni implicite d'une ACL :: Bloque tout le trafic non explicitement permis.
Sur quelle information se base une ACL IPv4 standard :: L'adresse IPv4 source du paquet.
Sur quelles couches opère une ACL étendue :: Couches 3 et 4 (IP + protocole/ports).
Quelle est la plage de numéros pour une ACL standard :: 1–99.
Quelle est la plage de numéros pour une ACL étendue :: 100–199.
Où placer une ACL standard selon le cours :: Au plus près de la destination.
Où placer une ACL étendue selon le cours :: Au plus près de la source.
Commande pour appliquer une ACL à une interface (concept) :: Utiliser ip access-group