Trước tiên, ghi rõ ai được truy cập ai
Danh sách kiểm soát truy cập (ACL) là một tập hợp các quy tắc dùng để đối sánh gói tin và thực hiện hành động. ACL có thể hạn chế một số truy cập mạng tại các điểm xử lý mà thiết bị hỗ trợ, nhưng không tự động bảo vệ toàn bộ mạng chỉ vì bạn đã tạo tên quy tắc. Trước khi thiết kế, hãy ghi rõ các trao đổi mà máy tính bảo trì, bộ điều khiển, máy chủ và thiết bị khách cần thực hiện, cũng như những truy cập phải bị từ chối, rồi mới quyết định đặt quy tắc ở đâu.
Ví dụ, để chỉ cho phép một máy tính được chỉ định trên mạng bảo trì truy cập một dịch vụ trên máy chủ điều khiển, bạn cần đồng thời xác nhận địa chỉ nguồn, địa chỉ đích, giao thức và cổng dịch vụ. Yêu cầu này không hoàn toàn giống với “thiết bị khách không được vào mạng sản xuất”: yêu cầu thứ nhất giới hạn một dịch vụ, còn yêu cầu thứ hai còn liên quan đến các phân đoạn mạng, đường đi liên vùng và những dịch vụ khác được phép. Viết mục tiêu dưới dạng quan hệ liên lạc có thể kiểm thử sẽ giúp kiểm tra kết quả dễ hơn so với việc sao chép trực tiếp ảnh chụp màn hình giao diện.
Switch đối sánh các điều kiện của gói tin
Tùy theo model và loại ACL, thiết bị có thể đối sánh các điều kiện như địa chỉ MAC, VLAN, địa chỉ IP, giao thức và cổng TCP hoặc UDP. MAC thuộc về khung Ethernet, IP thuộc về gói tin mạng, còn cổng TCP hoặc UDP được dùng để phân biệt hoạt động liên lạc tương ứng ở tầng giao vận. Chúng không phải là số hiệu đầu nối vật lý trên mặt switch; cổng đích TCP và số hiệu cổng switch không thể thay thế cho nhau.
Các quy tắc lọc thường phân tích những trường mà thiết bị hỗ trợ trước, sau đó quyết định cho phép, loại bỏ hoặc thực hiện các hành động khác được hỗ trợ. Cho phép chỉ có nghĩa là điều kiện lọc này cho gói tin đi qua; sau đó gói tin vẫn có thể không tới được đích do định tuyến, VLAN, một điểm lọc khác hoặc xác thực ứng dụng. ACL không thay đổi tiêu chuẩn điện của tín hiệu, không tự động chuyển đổi qua lại giữa các giao thức PLC khác nhau và không thể bảo đảm an toàn nội dung gói tin chỉ dựa vào số cổng.
Thứ tự quy tắc thay đổi kết quả như thế nào
Các ACL có thứ tự thông dụng được kiểm tra theo thứ tự đã chỉ định. Quy tắc khớp đầu tiên quyết định hành động tương ứng và các quy tắc phía sau không được kiểm tra nữa. Giả sử quy tắc đầu tiên cho phép một máy tính bảo trì nhất định và quy tắc thứ hai từ chối một phạm vi lớn hơn; máy tính cụ thể đó có thể khớp với quy tắc cho phép trước. Nếu đưa quy tắc từ chối phạm vi rộng lên trước, máy tính đó có thể bị từ chối ngay và quy tắc cho phép chi tiết phía sau không còn cơ hội có hiệu lực. Đây gọi là hiện tượng quy tắc bị che khuất; nhiều quy tắc hơn không có nghĩa là chính sách chính xác hơn.
Cách xử lý khi không có quy tắc nào khớp phải được kiểm tra theo nền tảng cụ thể. Trong tài liệu Cisco, các danh sách truy cập IP tương ứng có quy tắc từ chối ngầm định, nhưng không thể áp dụng hành vi này cho mọi nhà cung cấp, mọi cơ chế lọc tầng 2 hoặc các tính năng chính sách khác nhau. Nhận định cũ rằng “không khớp chắc chắn có nghĩa là loại bỏ” và một dải chỉ số thống nhất là những điều kiện triển khai cần xác nhận; bạn cần làm rõ hành động mặc định thực tế và xác minh bằng các gói tin không khớp quy tắc nào.
Cũng không được nhầm lẫn các loại mặt nạ địa chỉ. Mặt nạ mạng thông thường, mặt nạ ký tự đại diện và một số mặt nạ đối sánh phần cứng có thể có ý nghĩa bit khác nhau; hãy kiểm tra định nghĩa trong giao diện hiện tại. Bạn có thể xác minh trước bằng một địa chỉ đã biết, rồi mở rộng đến phạm vi cần thiết để tránh đảo ngược một bit và mở phạm vi quá rộng. Các lệnh, số thứ tự và cú pháp mặt nạ trong tài liệu hướng dẫn phải tương ứng với phiên bản firmware và không nên được coi là lệnh dùng chung cho mọi thiết bị.
Cần gắn quy tắc vào đâu để có hiệu lực
Sau khi tạo quy tắc, thông thường bạn còn cần gắn chúng vào các cổng, VLAN hoặc giao diện tầng 3 được hỗ trợ và phải xác nhận chiều vào hoặc chiều ra. Chiều vào thường có nghĩa là gói tin đi vào điểm xử lý đó, còn chiều ra có nghĩa là gói tin rời khỏi đó; hãy xác định theo góc nhìn của thiết bị này, không gọi một cách chung chung theo chiều gửi của máy tính bảo trì. Hai đầu cuối liên lạc trong cùng một phạm vi chuyển mạch có thể hoàn toàn không đi qua vị trí lọc tầng 3 mà bạn đã cấu hình.
Trước tiên hãy vẽ đường đi thực tế, sau đó đánh dấu các điểm lọc. Chiều của yêu cầu bảo trì gửi đến máy chủ khác với chiều phản hồi của máy chủ và cơ chế lọc gói tin cơ bản không nhất thiết tự động duy trì trạng thái phiên. DNS, đồng bộ thời gian, cấp phát địa chỉ hoặc xác thực quản trị cũng có thể phụ thuộc vào các dịch vụ khác. Không thể suy ra rằng toàn bộ lưu lượng phản hồi và liên lạc hỗ trợ đều được đáp ứng chỉ bằng cách cho phép một cổng theo chiều đi, và không thể coi ACL thông thường là một tường lửa có trạng thái hoàn chỉnh.
Đối chiếu phạm vi hỗ trợ với các sản phẩm Feichang Technology
Trang trung tâm sản phẩm Feichang Technology dành cho switch gigabit có quản lý M12 với 16 cổng, mã số 3187, liệt kê tính năng kiểm soát truy cập ACL và quản lý đặc quyền người dùng; switch mạng vòng bốn cổng quang, tám cổng đồng, mã số 2241, cũng liệt kê chức năng quản lý ACL liên quan đến IPv4, IPv6 và MAC. Các sản phẩm này có thể là lựa chọn để xem xét khi cần hạn chế truy cập tại hiện trường, nhưng các trường đối sánh cụ thể, dung lượng quy tắc, vị trí gắn kết và hành động vẫn cần được đối chiếu với tài liệu của phiên bản được bàn giao.
Quản lý đặc quyền người dùng kiểm soát quyền quản trị thiết bị, còn ACL dịch vụ lọc các gói tin liên quan; hai chức năng này không thể thay thế cho nhau. Kiểu đầu nối M12 và thiết kế dành cho môi trường công nghiệp cũng không chứng minh rằng phần cứng có thể lọc mọi trường giao thức. Khi mua hàng, hãy cung cấp ma trận truy cập và sơ đồ mạng thực tế, yêu cầu nhà cung cấp xác nhận model, firmware, tài nguyên và phương pháp cấu hình, đồng thời không ghi số lượng quy tắc hay hành vi mặc định của thương hiệu khác thành khả năng của Feichang Technology.
Các thay đổi phải duy trì quyền truy cập quản trị và khả năng hoàn tác
Trước khi triển khai, hãy xuất cấu hình đang có hiệu lực, ghi lại các nguồn bảo trì được phép và một phương thức truy cập khôi phục đáng tin cậy. Trước tiên, xác minh một số ít quy tắc trong môi trường cách ly, sau đó áp dụng dần vào đường truyền sản xuất; không thay đổi tất cả VLAN, địa chỉ quản trị và ACL trong cùng một thao tác. Cách thiết bị cho phép áp dụng và lưu cấu hình lâu dài cũng có thể khác nhau; hãy kiểm tra xem chính sách đúng có còn được giữ lại sau khi khởi động lại hay không.
Không xóa mọi quy tắc và mở toàn bộ truy cập chỉ để hệ thống hoạt động, cũng không thử trực tiếp quy tắc từ chối phạm vi rộng trên đường truyền điều khiển sản xuất. Hãy bố trí khung thời gian bảo trì và thống nhất trước các chỉ số theo dõi cùng điều kiện hoàn tác. Nếu phiên kết nối từ xa bị chính quy tắc của bạn ngắt, bạn không thể tiếp tục sửa qua cùng đường truy cập đã bị chặn; cần chuẩn bị trước khả năng quản trị tại chỗ, bản sao lưu được kiểm soát hoặc các phương thức khôi phục khác được hỗ trợ.
Nghiệm thu kiểm tra cả cho phép lẫn từ chối
Dùng một đầu cuối được xác định rõ là được phép để khởi tạo các dịch vụ thực tế và xác nhận yêu cầu cùng phản hồi; sau đó xác minh việc từ chối từ một nguồn được xác định rõ là không được phép, cuối cùng kiểm thử trường hợp biên khi không có quy tắc nào khớp. Quan sát xem bộ đếm số lần khớp quy tắc, nhật ký hoặc bằng chứng từ chức năng sao chép lưu lượng có tương ứng với thời gian kiểm thử hay không. Bộ đếm tăng cho thấy đã xảy ra một dạng đối sánh nào đó; điều này không có nghĩa là toàn bộ ứng dụng đã hoạt động thành công, cũng không có nghĩa là các đường đi khác chưa bỏ qua bộ lọc.
Lưu lại thứ tự quy tắc, vị trí gắn kết, chiều, hành động mặc định và kết quả kiểm thử. Nếu dịch vụ được phép không hoạt động, hãy kiểm tra riêng các điều kiện đối sánh, lưu lượng phản hồi, các chính sách khác và ứng dụng; nếu dịch vụ bị từ chối vẫn truy cập được, hãy xác nhận đường đi thực tế và các đối tượng được gắn chính sách thay vì lập tức thêm quy tắc trùng lặp. Giá trị của ACL nằm ở ranh giới chính xác và có thể rà soát; ảnh chụp màn hình hiển thị “đã bật” không thể thay thế việc nghiệm thu truy cập đầu cuối đến đầu cuối.
Lưu ý về tài liệu: Các sơ đồ nguyên lý dùng để giải thích cơ chế tổng quát, không phải ảnh sản phẩm hoặc hồ sơ đo thực tế. Giao diện, chế độ và khả năng cụ thể phụ thuộc vào mẫu thiết bị, phiên bản được chọn và việc kiểm tra tại hiện trường.
Tài liệu tham khảo: Nguyên lý danh sách truy cập IP của Cisco
Switch gigabit có quản lý M12 IP68 với 16 cổng của Feichang Technology
Switch mạng vòng bốn cổng quang, tám cổng đồng của Feichang Technology
Các danh mục sản phẩm switch công nghiệp của Feichang Technology
Các chủ đề kỹ thuật liên quan: Cách GMRP quản lý multicast lớp 2: Đăng ký MAC, rời nhóm và khác biệt so với IGMP Cách cấu hình DHCP Snooping: cổng tin cậy, bảng ràng buộc và khắc phục sự cố nhận địa chỉ Cách phát hiện vòng lặp trên switch hoạt động: Gói thăm dò quay về, xử lý cổng và khôi phục có kiểm soát Cách bộ thu phát quang video đa dịch vụ truyền tín hiệu: Điều chế tương tự, lấy mẫu số và giới hạn định dạng
Được dịch từ bài viết kỹ thuật tiếng Trung. Nguồn được xuất bản lần đầu: 2022-11-11. Nguồn được sửa đổi lần cuối: 2026-10-13. Đọc nguồn tiếng Trung
