Les ACL réflexives (Reflexive ACLs) pour les routeurs Cisco représentent une étape importante vers la transformation du routeur en un pare-feu à état (stateful firewall). Ce type d’ACL permet au routeur de prendre des décisions de filtrage en se basant sur le fait que les connexions font partie ou non d’un trafic établi.

Qu’est-ce qu’une ACL réflexive ?

Les ACL réflexives sont une fonctionnalité avancée qui permet aux routeurs de surveiller et de gérer les connexions TCP et UDP. Lorsqu’une connexion est établie, le routeur crée automatiquement une entrée temporaire dans les ACL pour autoriser le retour du trafic de réponse. En pratique, ces ACL permettent le passage du trafic entrant uniquement s’il s’agit d’une réponse à une demande de trafic sortant qui a été initialement autorisée.

Fonctionnement des ACL réflexives

1. Création des règles de sortie : Lorsque le trafic sort du routeur, les ACL réflexives créent des règles temporaires qui enregistrent les informations de session (telles que les adresses IP et les numéros de port).
2. Vérification du trafic entrant : Le trafic entrant est comparé à ces règles temporaires pour vérifier s’il correspond à une session établie. Si le trafic entrant correspond à une session enregistrée, il est autorisé ; sinon, il est bloqué.
3. Suppression des règles temporaires : Les règles temporaires créées pour les sessions établies sont supprimées lorsque la session se termine, garantissant ainsi que seul le trafic légitime et attendu est autorisé.

Avantages des ACL réflexives

• Sécurité accrue : Les ACL réflexives améliorent la sécurité du réseau en autorisant uniquement le trafic de réponse légitime, réduisant ainsi le risque d’attaques non autorisées.
• Gestion dynamique : Contrairement aux ACL statiques, les ACL réflexives gèrent dynamiquement les sessions, en s’adaptant automatiquement aux variations du trafic réseau.
• Contrôle flexible : Elles permettent un contrôle plus flexible et granulaire sur les connexions, en se basant sur l’état des sessions.

Configuration des ACL réflexives

Pour configurer les ACL réflexives sur un routeur Cisco, on utilise des commandes spécifiques au sein du mode de configuration globale. Voici un exemple de configuration de base :

1. Création d’une ACL réflexive de sortie :

plaintextCopy codeip access-list extended OUTBOUND
  permit tcp any any reflect REFLECT_ACL

2. Création d’une ACL d’entrée utilisant l’ACL réflexive :

plaintextCopy codeip access-list extended INBOUND
  evaluate REFLECT_ACL

3. Application des ACL aux interfaces :

plaintextCopy codeinterface GigabitEthernet0/0
  ip access-group OUTBOUND out
  ip access-group INBOUND in

Dans cet exemple, le trafic TCP sortant est surveillé et les informations de session sont enregistrées dans l’ACL réflexive nommée REFLECT_ACL. Le trafic entrant est ensuite comparé à ces informations pour décider s’il faut autoriser ou bloquer le trafic.

Conclusion

Les ACL réflexives représentent une amélioration significative par rapport aux ACL traditionnelles, offrant une capacité de filtrage dynamique qui aide à protéger les réseaux contre les connexions non autorisées. Correctement configurées, elles peuvent transformer un routeur Cisco en un pare-feu à état efficace, améliorant ainsi la sécurité globale du réseau.