Ağ güvenliğinin temel taşlarından biri olan Erişim Kontrol Listeleri (ACL’ler), ağ trafiğini belirli kurallar dahilinde filtreleyerek yetkisiz erişimi engellemek için kullanılır. Bu rehber, ağ cihazlarında ACL’lerin nasıl yapılandırılacağına dair adım adım bir yaklaşım sunmaktadır. Doğru yapılandırılmış ACL’ler, ağınızın bütünlüğünü korumanın yanı sıra güvenlik politikalarınızın etkin bir şekilde uygulanmasını sağlar.

ACL’lerin Temel Prensipleri

ACL’ler, paketlerin kaynak ve hedef IP adresleri, port numaraları ve protokoller gibi çeşitli kriterlere göre incelenmesini sağlar. Her bir kural (Access Control Entry – ACE), bir paketin izin verilip verilmeyeceğini belirler. ACL’ler genellikle “izin ver” (permit) ve “reddet” (deny) olmak üzere iki ana eylemden oluşur. Bir paketin bir ACL’den geçmesi durumunda, listedeki kurallar sırayla değerlendirilir. Bir paket bir kurala uyduğunda, o kuralın eylemi uygulanır ve liste işleme alınmaya devam etmez. Listenin sonunda örtük bir “her şeyi reddet” (implicit deny) kuralı bulunur; yani, herhangi bir kurala uymayan tüm paketler varsayılan olarak reddedilir.

Standart ve Genişletilmiş ACL’ler

ACL’ler iki temel türde gelir:

• Standart ACL’ler: Yalnızca kaynak IP adreslerine göre filtreleme yapar. Genellikle ağ segmentlerinin birbirinden ayrılması gibi daha genel filtrelemeler için kullanılır.
• Genişletilmiş ACL’ler: Kaynak ve hedef IP adresleri, protokoller (TCP, UDP, ICMP vb.) ve port numaraları gibi daha ayrıntılı kriterlere göre filtreleme yapabilir. Daha hassas ve granüler güvenlik kontrolleri için tercih edilir.

Adım Adım ACL Yapılandırması

Ağ cihazlarında (genellikle yönlendiriciler veya güvenlik duvarları) ACL yapılandırması, cihazın işletim sistemine göre farklılık gösterebilir. Cisco IOS tabanlı cihazlar için genel adımlar aşağıda açıklanmıştır:

H2: ACL Oluşturma

Öncelikle, yapılandırma moduna geçilir ve yeni bir ACL oluşturulur. Standart ACL için “access-list” komutu ve bir numara (1-99 veya 1300-1999), genişletilmiş ACL için ise aynı komutla birlikte bir numara (100-199 veya 2000-2699) kullanılır. Liste bir isimle de tanımlanabilir (named ACL).

Örnek: Standart bir ACL oluşturma

enable
configure terminal
access-list 10 permit 192.168.1.0 0.0.0.255

Bu komut, 192.168.1.x ağından gelen trafiğe izin veren 10 numaralı bir standart ACL oluşturur.

H3: ACL Kuralları Ekleme

Oluşturulan ACL’ye “permit” (izin ver) veya “deny” (reddet) komutları kullanılarak kurallar eklenir. Genişletilmiş ACL’lerde protokol ve port bilgileri de belirtilir.

Örnek: Belirli bir porta erişimi engelleme (Genişletilmiş ACL)

access-list 101 deny tcp any host 192.168.2.10 eq 23
access-list 101 permit ip any any

Bu örnekte, 101 numaralı genişletilmiş ACL oluşturulmuş, herhangi bir kaynaktan 192.168.2.10 IP adresindeki cihaza Telnet (port 23) erişimi engellenmiş ve son olarak tüm IP trafiğine izin verilmiştir (implicit deny’yi aşmak için).

H3: ACL’yi Arayüzlere Uygulama

ACL’ler tek başına bir anlam ifade etmez; etkin olmaları için belirli bir arayüze uygulanmalıdır. Bu, trafiğin hangi yönde filtreleneceğini de belirler.

Örnek: ACL’yi bir arayüze uygulama

interface GigabitEthernet0/1
 ip access-group 101 in

Bu komut, 101 numaralı ACL’yi GigabitEthernet0/1 arayüzüne gelen (in) trafik için uygular. Gelen trafik, bu ACL’deki kurallara göre değerlendirilecektir.

H3: Yapılandırmayı Kaydetme ve Doğrulama

Yapılandırma tamamlandıktan sonra, değişikliklerin kalıcı olması için kaydedilmesi önemlidir.

Örnek: Yapılandırmayı kaydetme

end
write memory

ACL’nin doğru çalışıp çalışmadığını doğrulamak için komut satırı arayüzünde “show access-lists” veya “show ip interface ” gibi komutlar kullanılabilir. Bu komutlar, ACL’lerin istatistiklerini (kaç paket geçti, reddedildi vb.) gösterir.

En İyi Uygulamalar

• ACL’leri mümkün olduğunca hedef arayüzlere yakın uygulayın (genellikle kaynak ağa en yakın yönlendirici).
• Standart ACL’leri yalnızca kaynak IP’ye göre filtreleme gerektiğinde kullanın.
• Genişletilmiş ACL’lerde kuralları mantıksal bir sırayla düzenleyin. En kısıtlayıcı kuralları başa, daha genel izin veren kuralları sona doğru yerleştirin.
• Her ACL’nin sonunda, istenmeyen trafiği engellemek için açıkça bir “deny ip any any” kuralı eklemeyi düşünün veya örtük “deny” kuralını bilinçli kullanın.
• ACL’leri düzenli olarak gözden geçirin ve güncelleyin.
• Test ortamlarında deneyerek uygulamaya geçin.

ACL’ler, ağ güvenliği stratejisinin ayrılmaz bir parçasıdır. Bu temel yapılandırma adımları, ağınızdaki veri akışını daha iyi kontrol etmenize ve potansiyel tehditlere karşı ilk savunma hattını oluşturmanıza yardımcı olacaktır. Ağınızın güvenliğini sağlamak için hangi tür ACL’leri daha sık kullanıyorsunuz ve neden?