Access Control List (ACL)

1
 ACL
➢ Une ACL est une liste de règles permettant de filtrer ou d’autoriser du
trafic sur un réseau en fonction de certains critères (IP source, IP
destination, port source, port destination, protocole, …).
➢ Une ACL permet de soit autoriser du trafic (permit) ou de le bloquer
(deny).
➢ Il est possible d’appliquer au maximum une ACL par interface et par sens
(input/output).

2
 ACL
➢ Une ACL est analysée par l’IOS de manière séquentielle. Dès qu’une règle
correspond au trafic, l’action définie est appliquée, le reste de l’ACL n’est
pas analysé.
➢ les ACL par défaut bloque tout trafic. Donc tout trafic ne correspondant
à aucune règle d’une ACL est rejeté.

3
ACL

4
 ACL
➢ Il existe 2 types d’ACL:
• ACL standard
o Contrôle le trafic en se basant uniquement sur l’adresse IP source;

NB: les ACL standards sont à appliquer le plus proche possible de la

destination en raison de leur faible précision.

5
 ACL
o Les ACL standards numériques: 1 à 99 et de 1300 à 1999
Syntaxe:access-list number [deny|permit] source [source-wildcard]

o Activation d'une ACL sur une interface

ip access-group [ number | name [ in | out ] ]

6
 ACL
• ACL Etendues: Permettent d’analyse du trafic en fonction de:
Adresse IP source
Adresse IP destination
Protocole( tcp, udp …)
Port source
Port destination
Etc

7
 ACL
NB: les ACL étendues sont à appliquer le plus proche possible de la source.
o Les ACL étendues numériques: 100 à 199 et de 2000 à 2699.
o Syntaxe: #access-list numéro-liste-accès {deny|permit} protocole
adresse-source masque-source [opérateur port] adresse-destination
masque-destination [opérateur port]

8
 ACL
"opérateur" peut prendre les valeurs suivantes :
lt (less than)
gt (greater than)
eq (equal)
neq (not equal)
range (inclusive range).

9
 ACL

o access-list 101 deny ip any host 10.1.1.1

Refus des paquets IP à destination de la machine 10.1.1.1 et provenant
de n'importe quelle source
o access-list 101 deny tcp any gt 1023 host 10.1.1.1 eq 23
Refus de paquet TCP provenant d'un port > 1023 et à destination du
port 23 de la machine d'IP 10.1.1.1

10
 ACL

o access-list 101 deny tcp any host 10.1.1.1 eq http

Refus des paquets TCP à destination du port 80 de la machine d'IP
10.1.1.1

11