Access Control List (ACL) คืออะไร?
ACL (Access Control List) คือ **รายการกฎ (Rules) ที่กำหนดว่า "ใคร" (Source) สามารถ "ทำอะไร" (Action: Permit/Deny) กับ "ที่ไหน" (Destination) "ผ่านทางไหน" (Protocol/Port) ได้** ใช้ควบคุมการไหลของแพ็กเก็ต (Packet Filtering) บน Router, Switch, Firewall, หรือ Load Balancer
ACL ช่วยปรับปรุง Network Security อย่างไร?
- 🛡️ **Packet Filtering:** อนุญาต/บล็อกทราฟฟิกตาม IP, Port, Protocol (Layer 3/4)
- 🛡️ **Traffic Control:** จำกัด Bandwidth, QoS, Rate Limiting
- 🛡️ **Access Restriction:** บล็อกการเข้าถึง Management Plane (SSH, SNMP, HTTP/HTTPS to Router)
- 🛡️ **Anti-Spoofing:** บล็อก Source IP ที่เป็น Private/RFC1918 จาก Internet (Ingress Filtering)
- 🛡️ **Segmentation:** แยก VLAN/Subnet (Inter-VLAN ACL) จำกัด Lateral Movement
- 🛡️ **Compliance:** Enforce Policy (เช่น PCI-DSS: บล็อก Cardholder Data Network ออก Internet)
ประเภทของ ACL (Cisco Style)
| ประเภท | ลำดับหมายเลข | การจับคู่ (Match Criteria) | ใช้เมื่อไหร่ |
|---|---|---|---|
| Standard ACL | 1-99, 1300-1999 | Source IP เท่านั้น | ง่าย, ใกล้ Destination (เพราะไม่เห็น Dest) |
| Extended ACL | 100-199, 2000-2699 | Src IP, Dst IP, Protocol (TCP/UDP/ICMP), Src/Dst Port, TCP Flags, ToS, Precedence | ส่วนใหญ่ ใกล้ Source (Best Practice) |
| Named ACL | ชื่อตัวอักษร | เหมือน Standard/Extended แต่มีชื่อ อ่านง่าย, จัดการง่าย, ลบ/แก้ไข Entry ได้ | แนะนำใช้แทน Numbered |
| Dynamic ACL (Lock-and-Key) | - | User Auth (Telnet/SSH) แล้วสร้าง Temporary Permit | Remote Access ชั่วคราว |
| Reflexive ACL | - | สร้าง Temporary Permit สำหรับ Return Traffic (Stateful-lite) | ไม่มี Firewall/Stateful Inspection |
| Time-based ACL | - | ผูกกับ Time Range (เช่น บล็อก Facebook เฉพาะเวลาทำงาน) | Policy-based Access |
ACL ใน Firewall vs Router ACL
| ด้าน | Router ACL (Stateless) | Firewall ACL (Stateful) |
|---|---|---|
| Inspection | Packet-by-packet (ไม่จำ State) | Stateful (จำ Connection State: SYN, ESTAB, FIN) |
| Return Traffic | ต้อง Allow Explicitly (ใน ACL) | Allow อัตโนมัติ (State Table) |
| Performance | เร็ว (Hardware/ASIC) | ช้ากว่า (แต่ Smart) |
| Application Awareness | ไม่มี (L3/L4 เท่านั้น) | มี (L7: App-ID, URL Filtering, SSL Decrypt) |
Best Practices การเขียน ACL
- Implicit Deny All: ท้าย ACL ทุกตัวมี `deny ip any any` (Hidden) -> ต้อง Permit ก่อน Deny
- Top-Down Processing: ใส่กฎเฉพาะเจาะจง (Specific) ไว้บน, กฎกว้าง (General) ไว้ล่าง
- Place Standard ACL near Destination, Extended near Source
- ใช้ Named ACL แทน Numbered (อ่านง่าย, จัดการ Entry ได้)
- Document ทุก Entry: `remark` คำอธิบาย (Change Request, Owner, Date)
- Test ก่อนนำไป Production: Lab / `access-list compile` / Simulation
- Review แบบ定期 (Quarterly): ลบกฎไม่ใช้, ปรับลำดับ, ตรวจ Shadowed Rules
- Anti-Spoofing Ingress/Egress: RFC 2827 / BCP 38
ตัวอย่าง ACL (Cisco Extended Named ACL)
ip access-list extended WAN_INBOUND
remark === ALLOW MANAGEMENT FROM TRUSTED NETWORK ===
permit tcp host 192.168.10.5 host 203.0.113.10 eq 22 log # SSH from Mgmt Host
permit tcp host 192.168.10.5 host 203.0.113.10 eq 443 log # HTTPS Mgmt
remark === ALLOW PUBLIC SERVICES ===
permit tcp any host 203.0.113.10 eq 80 # Web Server HTTP
permit tcp any host 203.0.113.10 eq 443 # Web Server HTTPS
permit udp any host 203.0.113.10 eq 53 # DNS
remark === DENY PRIVATE/RFC1918 FROM INTERNET (ANTI-SPOOF) ===
deny ip 10.0.0.0 0.255.255.255 any log
deny ip 172.16.0.0 0.15.255.255 any log
deny ip 192.168.0.0 0.0.255.255 any log
deny ip 127.0.0.0 0.255.255.255 any log
deny ip 169.254.0.0 0.0.255.255 any log
deny ip 224.0.0.0 15.255.255.255 any log # Multicast
remark === DENY ALL ELSE & LOG ===
deny ip any any log
Network ACL (AWS/Azure/GCP) vs Security Group
| ด้าน | Network ACL (Stateless) | Security Group (Stateful) |
|---|---|---|
| Scope | Subnet Level | Instance/ENI Level |
| Rules | Allow + Deny (Numbered, Ordered) | Allow Only (Implicit Deny All) |
| Stateful | ❌ ต้อง Allow Return Traffic เอง | ✅ อัตโนมัติ |
| Evaluation | Top-down (First Match) | All Rules Evaluated |
| Use Case | Subnet Border, Stateless Filtering | Instance Firewall, Application Tier |
คำถามที่พบบ่อย (FAQ)
ACL และ Firewall ต่างกันยังไง?
ACL = Stateless Packet Filter (L3/L4) บน Router/Switch | Firewall = Stateful Inspection (L3-L7) + App Control + IPS + VPN + Management
ACL ใช้แทน Firewall ได้ไหม?
**ไม่ได้** ACL เป็นชั้นหนึ่ง (Layer) ใน Defense in Depth ใช้ร่วมกับ Firewall (Edge: Firewall, Internal: ACL/SG)
Shadowed Rule ใน ACL คืออะไร?
กฎที่อยู่ล่าง แต่ Match Criteria ถูกครอบคลุมโดยกฎบนสุดแล้ว -> ไม่มีโอกาสทำงาน -> ควรลบ/ย้าย
ACL 影响 Performance ไหม?
Router ACL มักรันบน **Hardware/ASIC/TCAM** -> **ไม่กระทบ CPU/Throughput** (จน TCAM เต็ม) Firewall Stateful ต้องใช้ CPU/Memory มากกว่า
