Reflexive ACLs (Cisco)

Le ACL riflessive (Reflexive ACLs) per i router Cisco rappresentano un passo importante verso la trasformazione del router in un firewall stateful. Questo tipo di ACL permette al router di prendere decisioni di filtraggio basandosi sul fatto che le connessioni facciano parte del traffico stabilito o meno.

Cos’è un’ACL Riflessiva?

Le ACL riflessive sono una funzione avanzata che consente ai router di monitorare e gestire le connessioni TCP e UDP. Quando una connessione viene stabilita, il router crea automaticamente un’entrata temporanea nelle ACL per consentire il ritorno del traffico di risposta. In pratica, queste ACL permettono il passaggio del traffico in ingresso solo se è una risposta a una richiesta di traffico in uscita che è stata inizialmente permessa.

Funzionamento delle ACL Riflessive

1. Creazione delle Regole di Uscita: Quando il traffico esce dal router, le ACL riflessive creano delle regole temporanee che registrano le informazioni della sessione (come indirizzi IP e numeri di porta).
2. Verifica del Traffico in Entrata: Il traffico in entrata viene confrontato con queste regole temporanee per verificare se corrisponde a una sessione stabilita. Se il traffico in ingresso corrisponde a una sessione registrata, viene permesso; altrimenti, viene bloccato.
3. Rimozione delle Regole Temporanee: Le regole temporanee create per le sessioni stabilite vengono rimosse quando la sessione termina, garantendo così che solo il traffico legittimo e previsto venga autorizzato.

Vantaggi delle ACL Riflessive

• Maggiore Sicurezza: Le ACL riflessive migliorano la sicurezza del network consentendo solo il traffico di risposta legittimo, riducendo così il rischio di attacchi non autorizzati.
• Gestione Dinamica: A differenza delle ACL statiche, le ACL riflessive gestiscono dinamicamente le sessioni, adattandosi automaticamente alle variazioni del traffico di rete.
• Controllo Flessibile: Permettono un controllo più flessibile e granuale sulle connessioni, basandosi sullo stato delle sessioni.

Configurazione delle ACL Riflessive

Per configurare le ACL riflessive su un router Cisco, si utilizzano comandi specifici all’interno della modalità di configurazione globale. Ecco un esempio di configurazione di base:

1. Creazione di un’ACL Riflessiva di Uscita:

plaintextCopy codeip access-list extended OUTBOUND
  permit tcp any any reflect REFLECT_ACL

2. Creazione di un’ACL di Ingresso che Utilizza l’ACL Riflessiva:

plaintextCopy codeip access-list extended INBOUND
  evaluate REFLECT_ACL

3. Applicazione delle ACL alle Interfacce:

plaintextCopy codeinterface GigabitEthernet0/0
  ip access-group OUTBOUND out
  ip access-group INBOUND in

In questo esempio, il traffico TCP in uscita viene monitorato e le informazioni della sessione vengono registrate nell’ACL riflessiva chiamata REFLECT_ACL. Il traffico in entrata viene poi confrontato con queste informazioni per decidere se permettere o bloccare il traffico.

Conclusione

Le ACL riflessive rappresentano un miglioramento significativo rispetto alle ACL tradizionali, offrendo una capacità di filtraggio dinamico che aiuta a proteggere le reti dalle connessioni non autorizzate. Configurate correttamente, possono trasformare un router Cisco in un firewall stateful efficiente, migliorando la sicurezza complessiva della rete.