ACL
IT위키
더 많은 작업
Access Control List
ACL은 네트워크 장비에서 특정 리소스에 대한 접근 권한을 설정하는 방법 중 하나이다. ACL은 일반적으로 라우터나 스위치 같은 장비에서 사용되며, 패킷이나 데이터 스트림을 분석하여 특정 조건에 따라 필터링하거나 차단하는 데 사용된다. ACL은 특정 IP 주소나 IP 주소 범위, TCP/UDP 포트 등의 조건을 설정하여 접근 권한을 제어할 수 있다. 꼭 IP를 기준으로 하지 않더라도 어떤 조건과 허용/비허용을 구분해서 나열하면 모두 광의적인 ACL로 볼 수 있다.
- 일반화된 예시
- 홍길동; 전산실; 출입 불가
- 임꺽정; 화장실; 출입 가능
- 유관순; 건물 전체; 출입 가능
- 네트워크 방화벽
- 출발지: 172.1.1.2, 목적지: 172.1.2.55; 목적지 포트: 80포트; 접근정책: 접근 가능
- 출발지: 172.1.1.55/29, 목적지: 172.1.5.60; 목적지 포트: 443포트; 접근정책: 접근 가능
- 규칙은 위에서부터 차례로 비교하고, 패킷이 처음으로 일치한 규칙의 동작(허용·거부)을 적용한 뒤 비교를 멈춘다. 그래서 좁은 조건을 위에, 넓은 조건을 아래에 둔다
- 어느 규칙에도 일치하지 않으면 거부한다(묵시적 거부, implicit deny). 목록 끝에 any → any 거부를 명시해 두기도 한다
- 규칙이 일치하려면 출발지와 목적지가 둘 다 규칙의 대역에 들어야 한다. 대역은 CIDR 표기로 적는다. /24 는 앞 세 옥텟, /16 은 앞 두 옥텟이 같아야 같은 대역이다
| 규칙 | 출발지 | 목적지 | 동작 |
|---|---|---|---|
| A | 15.10.12.0/24 | 168.30.22.0/24 | 거부 |
| B | 192.20.0.0/16 | 168.15.0.0/16 | 허용 |
| C | any | any | 거부 |
- 15.10.12.2 → 168.30.22.11 : 출발지·목적지 모두 A 의 대역이라 A 에서 거부
- 15.10.22.2 → 168.15.0.4 : 출발지 15.10.22.2 는 15.10.12.0/24 도, 192.20.0.0/16 도 아니다. A·B 어느 것에도 맞지 않아 C 에서 거부된다
- 192.20.5.11 → 168.15.43.7 : 둘 다 B 의 대역이라 B 에서 허용