Keine ACL, kein Zutritt. So einfach ist das.

1. Was ist eine ACL (Access Control List)?

Eine Access Control List (ACL) ist eine geordnete Liste von Regeln auf einem Netzwerkgerät (Router, Switch, Access Point), die Verkehr anhand von Merkmalen wie Quell-IP, Ziel-IP, Protokoll und Port erlaubt oder verweigert.
Das Gerät prüft die Regeln der Reihe nach; der erste Treffer gilt. Passt keine Regel, greift in der Regel ein implizites Deny. Die wichtigsten Punkte:

• ACLs können eingehend oder ausgehend auf Schnittstellen oder VLAN-Schnittstellen angewendet werden.

• ACLs können Treffer protokollieren (je nach Plattform) und schaffen so Transparenz.

• Sie ergänzen Firewalls: ACLs schützen die Management-Ebene vor Bedrohungen aus dem Inneren.

2. Warum ACLs auf Switches, Access Points und Routern?

Die Management-Ebene schützen

Management-Schnittstellen (SSH, HTTPS, SNMP) dürfen niemals aus Benutzer-VLANs erreichbar sein. ACLs beschränken diese Dienste auf reine Admin-Netze.

Gestaffelte Verteidigung (Defense in Depth)

Die Firewall sichert den Perimeter, ACLs schützen das Innere Ihres Netzwerks. Gelangt ein Angreifer hinein, kann er nicht zu Ihren Kerngeräten weiterspringen.

Konfigurationsfehler verringern

Wenn nur das Admin-Subnetz eine Verbindung herstellen kann, können Engineers aus dem falschen VLAN nicht versehentlich etwas beschädigen.

Prüfung und Transparenz

ACLs mit Protokollierung helfen, verdächtige Zugriffsversuche oder Scans zu erkennen.

3. Ein Anwendungsbeispiel

Szenario:

• Management-Netz: 192.168.100.0/24

• Admin-Subnetz: 172.16.10.0/28

• Erlaubte Dienste: SSH (22), HTTPS (443)

• Ziel: Nur 172.16.10.0/28 darf auf das Management zugreifen. Alles andere wird blockiert.

4. Konfigurationsbeispiele

Cisco IOS: benannte erweiterte ACL

! Create a named extended ACL
ip access-list extended MGMT_ONLY
 remark Allow admin subnet to management services
 permit tcp 172.16.10.0 0.0.0.15 any eq 22      ! SSH
 permit tcp 172.16.10.0 0.0.0.15 any eq 443     ! HTTPS
 deny   ip any any                            ! Explicit deny
! Apply ACL inbound on the management interface
interface GigabitEthernet0/0
 description Management Interface
 ip access-group MGMT_ONLY in

Hinweise

Verwenden Sie zur besseren Übersicht eine benannte ACL. 0.0.0.15 ist die Wildcard-Maske für /28. Schließen Sie immer mit einem expliziten Deny ab.

Aruba AOS-CX: ACL auf der VRF

! Create an IPv4 ACL named mgmt_only
access-list ip mgmt_only
 permit tcp 172.16.10.0/255.255.255.240 any eq ssh ! SSH
 permit tcp 172.16.10.0/255.255.255.240 any eq ssh ! HTTPS
 deny ip any any               ! Deny all others

! Bind the ACL to the management VLAN
apply access-list ip mgmt_only control-plane vrf default
apply access-list ip mgmt_only control-plane vrf mgmt

Hinweise

Aruba AOS-CX legt die Reihenfolge über Regelnummern fest. Wenden Sie die ACL auf die VRFs default und mgmt an. Sie können sie für SNMP erweitern.

HP Procurve: IP authorized-managers

! Create an authorized-managers
ip authorized-managers 172.16.10.0 255.255.255.240 access manager access-method ssh
ip authorized-managers 172.16.10.0 255.255.255.240 access manager access-method web

5. Best Practices und Fallstricke

Die Reihenfolge zählt: Bei ACLs gilt der erste Treffer. Schließen Sie immer mit einem Deny ab (deny ip any any). Testen Sie, bevor Sie eine ACL auf produktive Schnittstellen anwenden. Protokollieren Sie verworfene Pakete, wo möglich. Dokumentieren Sie alles: ACLs entwickeln sich weiter, und Klarheit verhindert Fehler. Sichern Sie die Konfiguration vor jeder Änderung, denn eine fehlerhafte ACL kann Sie aussperren.

6. Nützliche show- und debug-Befehle

show access-list mgmt_only

Was Sie prüfen sollten

Ist die ACL auf die richtige Schnittstelle oder das richtige VLAN angewendet? Steigen die Trefferzähler wie erwartet? Werden legitime Verbindungen verweigert?

7. Auswirkungen auf die Sicherheit: Was passiert ohne ACLs?

Ohne ACLs kann jeder Benutzer oder Angreifer im Unternehmens-LAN: Management-Schnittstellen scannen und darauf zugreifen. Brute-Force-Angriffe auf SSH oder HTTPS versuchen. Konfigurationen ändern oder bösartige Firmware einspielen. Sich seitwärts durch das Netzwerk bewegen. ACLs verhindern das, indem sie nur vertrauenswürdigen Admin-Subnetzen den Zugang zu den kritischen Management-Ebenen erlauben.

8. ACLs als Teil des Gesamtbilds: Compliance mit ConnectMyAssets

In modernen Netzwerkumgebungen sind Access Control Lists (ACLs) nicht nur eine Sicherheitsschicht, sondern ein zentraler Bestandteil Ihrer gesamten Compliance-Strategie. Sie auf Dutzenden (oder Hunderten) von Switches einheitlich zu halten, kann jedoch schnell zum Albtraum werden.

Hier setzt ConnectMyAssets an. Unsere Plattform prüft nicht nur, ob ACLs vorhanden sind, sondern auch, ob sie korrekt, konform und an den Sicherheitsrichtlinien Ihres Unternehmens ausgerichtet sind.

Mit ConnectMyAssets können Sie:

• Ihre Switches automatisch auf ACL-Fehlkonfigurationen prüfen

• Nicht autorisierte oder fehlende Einträge in Management-VLANs erkennen

• Aktuelle Konfigurationen mit Ihrer Compliance-Baseline vergleichen

• Berichte erstellen, die die Einhaltung interner oder regulatorischer Standards belegen

Mit anderen Worten: ACLs sind nur der Anfang. ConnectMyAssets gibt Ihnen einen vollständigen Rahmen für Transparenz und Kontrolle, damit das, was auf Ihren Switches konfiguriert ist, jeden Tag und im gesamten Netzwerk genau dem entspricht, was Ihr Sicherheitsteam erwartet.

9. Fazit

Ein Netzwerk ohne ACLs ist wie eine Burg ohne Tore. ACLs sind einfach zu konfigurieren, kosten nichts und verbessern Ihre Sicherheitslage erheblich. Beschränken Sie den Management-Zugriff, protokollieren Sie alles und schlafen Sie ruhiger, weil Ihre Switches und Router nicht für alle Welt offenstehen.