Un routeur ne se contente pas de transmettre des paquets : il peut aussi décider lesquels ont le droit de passer. Avec une liste de contrôle d’accès (ACL), l’administrateur définit des règles précises selon les adresses IP, le protocole ou les ports réseau. C’est un moyen direct de limiter les échanges entre deux réseaux, de réserver un service à certains appareils ou de bloquer un flux indésirable, sans remplacer pour autant un pare-feu complet.
Pour comprendre le mécanisme, imaginons Atelier Nova, une petite entreprise qui héberge un serveur web sur son réseau interne. Elle veut autoriser les employés à consulter ce serveur en HTTPS, tout en empêchant les autres connexions vers lui. Une ACL Cisco peut remplir cette mission, à condition de choisir la bonne interface, le bon sens de circulation et un ordre cohérent pour les règles. Une configuration mal placée ou trop restrictive peut aussi couper un accès utile : mieux vaut donc préparer le filtrage réseau et vérifier son effet avant de le déployer.
L’article en bref
Une ACL donne au routeur des critères concrets pour autoriser ou refuser le trafic réseau. Bien ordonnée et appliquée au bon endroit, elle renforce la sécurité sans compliquer inutilement les échanges.
- Le principe : Filtrer les paquets selon leur source, destination, protocole et port.
- Le sens : Appliquer les règles en entrée ou en sortie d’interface.
- L’ordre : Placer les règles précises avant les règles générales.
- Le contrôle : Vérifier les ACL et leur application avec les commandes Cisco.
Une ACL efficace commence par une règle claire et testée.
ACL sur un routeur : comprendre le filtrage du trafic réseau
Une ACL est une suite de règles que le routeur examine lorsqu’un paquet traverse une interface. Chaque règle, appelée entrée de contrôle d’accès, indique une action — permit pour autoriser ou deny pour refuser — ainsi que les critères à comparer dans le paquet.
Une ACL standard examine principalement l’adresse IP source. Une ACL étendue peut aussi tenir compte de l’adresse de destination, du protocole, comme TCP ou ICMP, et de ports réseau précis, par exemple le port 443 pour HTTPS. Cette précision permet de filtrer un service sans nécessairement bloquer toutes les communications d’un appareil.
Le routeur lit les règles dans l’ordre et s’arrête à la première correspondance. Si aucune règle ne correspond, le trafic est refusé par une règle implicite située à la fin de l’ACL : une autorisation générale oubliée peut donc provoquer une coupure inattendue.
| Type d’ACL | Critères principaux | Usage courant |
|---|---|---|
| Standard | Adresse IP source | Limiter l’accès d’un réseau ou d’un hôte |
| Étendue | Source, destination, protocole et ports | Autoriser ou bloquer un service spécifique |
| Nommée | Nom lisible, critères standard ou étendus | Faciliter la gestion et la modification des règles |
Les numéros courants des ACL standard sont 1 à 99 et 1300 à 1999 ; ceux des ACL étendues, 100 à 199 et 2000 à 2699. Les ACL nommées, elles, portent un identifiant explicite, plus facile à reconnaître dans une configuration.
Configurer une ACL Cisco : accès au routeur et choix de l’interface
La configuration s’effectue généralement depuis la ligne de commande Cisco IOS, en connexion console ou à distance via SSH. Un émulateur de terminal comme PuTTY ou Tera Term peut servir pour une connexion console ; il faut ensuite disposer d’un compte autorisé et entrer en mode de configuration.
Avant de saisir des règles, repérez le trajet du trafic et l’interface qu’il emprunte. Une ACL appliquée sur une interface ne filtre que les paquets qui passent réellement par celle-ci : une règle placée sur une autre interface ne protégera pas le serveur visé.
Le sens compte également. Avec in, l’ACL examine les paquets lorsqu’ils entrent sur l’interface ; avec out, elle les examine avant qu’ils en sortent. En entrée, le filtrage intervient avant la décision de routage ; en sortie, il intervient une fois l’interface de destination déterminée.
- ACL standard : placez-la de préférence près de la destination, car elle filtre surtout selon la source.
- ACL étendue : placez-la généralement près de la source pour écarter tôt les flux non souhaités.
- Dans les deux cas : vérifiez le sens de circulation et le chemin réel des paquets.
Pour Atelier Nova, l’ACL étendue sera appliquée en entrée sur l’interface qui reçoit le trafic du réseau des employés. Elle pourra ainsi autoriser le HTTPS vers le serveur tout en refusant les autres connexions à cette destination.
Exemple d’ACL étendue pour autoriser le HTTPS vers un serveur
Dans cet exemple, le réseau des employés est 192.168.10.0/24 et le serveur web interne possède l’adresse 192.168.20.10. L’objectif est d’autoriser le HTTPS depuis le réseau des employés, de refuser les autres accès à ce serveur, puis de laisser passer le reste du trafic.
Depuis le mode de configuration globale, créez une ACL nommée et ajoutez les règles dans cet ordre. Le masque générique 0.0.0.255 correspond ici au réseau /24 : les trois premiers octets sont comparés, tandis que le dernier peut varier.
Router(config)# ip access-list extended ACCES-SERVEUR
Router(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 443
Router(config-ext-nacl)# deny ip any host 192.168.20.10
Router(config-ext-nacl)# permit ip any any
La première règle autorise les connexions TCP vers le port 443 du serveur depuis le réseau des employés. La deuxième bloque les autres protocoles et ports à destination de ce serveur ; la dernière autorise les autres paquets, qui ne correspondent pas aux deux premières règles.
Appliquez ensuite l’ACL en entrée sur l’interface connectée au réseau des employés. Remplacez GigabitEthernet0/0 par le nom réel de l’interface sur votre routeur :
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip access-group ACCES-SERVEUR in
Cette configuration est un exemple de démonstration, pas une politique universelle. Dans un réseau réel, la règle générale permit ip any any doit correspondre au besoin de l’organisation ; si l’objectif est de restreindre tout le trafic, il faut définir explicitement les communications à conserver avant de bloquer le reste.
ACL standard, masque générique et ordre des règles
Une ACL standard est utile lorsqu’il suffit de filtrer selon l’adresse IP source. Par exemple, pour refuser les paquets provenant du réseau 192.168.10.0/24, puis autoriser les autres sources, la configuration numérotée peut s’écrire ainsi :
Router(config)# access-list 10 deny 192.168.10.0 0.0.0.255
Router(config)# access-list 10 permit any
La liste doit ensuite être associée à une interface et à un sens adaptés. Sans la règle permit any, toutes les sources qui ne correspondent pas au refus seraient rejetées par le refus implicite ; c’est l’un des pièges classiques lors d’une première configuration.
Le masque générique, ou wildcard, n’est pas un masque de sous-réseau. Un zéro indique que l’octet correspondant doit être comparé ; un 255 indique qu’il peut prendre n’importe quelle valeur. Ainsi, 0.0.0.255 permet de faire correspondre un réseau /24, tandis que 0.0.255.255 correspond à un réseau /16.
Pour une règle étendue, les critères peuvent être affinés avec un hôte précis, un protocole et un port. Par exemple, host 192.168.10.25 désigne une seule adresse, et eq 443 signifie que le port de destination doit être égal à 443.
Vérifier une ACL Cisco et éviter les coupures réseau
Après application, ne vous fiez pas uniquement à la présence des commandes dans la configuration. Vérifiez les règles, l’interface concernée et les compteurs, puis testez le service autorisé ainsi qu’un accès qui doit être refusé.
Router# show access-lists affiche les ACL et, selon la plateforme, les compteurs de correspondance. Pour consulter leur application sur une interface, utilisez show ip interface GigabitEthernet0/0 ; la commande show running-config permet aussi de relire la configuration active.
Si une ACL a été appliquée au mauvais endroit, retirez son association avant de corriger la configuration : no ip access-group ACCES-SERVEUR in, à saisir dans le mode de configuration de l’interface concernée. Pensez ensuite à tester à nouveau les flux nécessaires et à enregistrer la configuration si le résultat est conforme.
- Confirmer l’adresse IP source et la destination réellement utilisées.
- Vérifier que le protocole et le port correspondent au service testé.
- Contrôler que l’interface et le sens in ou out sont corrects.
- Examiner l’ordre des règles et l’effet du refus implicite.
- Tester les accès autorisés et refusés avant le déploiement général.
Une ACL filtre des paquets selon des critères réseau ; elle ne remplace pas un pare-feu doté de fonctions plus avancées, comme l’inspection des connexions ou des politiques applicatives. Elle constitue néanmoins une première barrière utile pour maîtriser les échanges entre segments et renforcer la sécurité réseau.
Questions fréquentes sur les ACL et le filtrage réseau
Quelle différence entre une ACL standard et une ACL étendue ?
Une ACL standard filtre principalement selon l’adresse IP source. Une ACL étendue peut aussi examiner la destination, le protocole et les ports réseau, ce qui permet de cibler un service précis.
Que signifie le refus implicite dans une ACL ?
Tout paquet qui ne correspond à aucune règle est refusé à la fin de la liste. Ajoutez les autorisations nécessaires avant cette règle implicite, en respectant l’ordre de traitement.
Faut-il appliquer une ACL en entrée ou en sortie ?
Cela dépend du point où le trafic doit être filtré. In examine les paquets à leur arrivée sur une interface ; out les examine avant leur sortie. Vérifiez toujours le trajet réel des paquets.
Comment vérifier qu’une ACL est active sur une interface Cisco ?
Utilisez show access-lists pour consulter les règles et leurs compteurs, puis show ip interface suivi du nom de l’interface pour vérifier les ACL appliquées en entrée ou en sortie.
