РЭ: ACL в платах VE-01 и VE-02

[alx]

В платах VE-01 и VE-02 реализована новая возможность (функция) - задавать список управления доступом (Access Control List, ACL). Этот список позволяет определить хосты, запросы от которых плата будет принимать без аутентификации (то есть как бы будет априори доверять любым запросам, полученным от этих хостов/адресов).

Список может включать в себя правила ACL двух возможных типов:

1. Имя хоста;
2. Адрес/маска (CIDR).

Имя хоста

Если указано имя хоста, то плата проверяет на совпадение с указанным именем сертификата TLS отправившего запрос UAC. Поэтому такое правило действует только для транспорта TLS.

Адрес/маска

Если указаны адрес и (опционально) маска, то на совпадение с указанными адресом и маской проверяется адрес, с которого пришел запрос. Вместе с адресом и маской также указывается тип транспорта (UDP/TCP/TLS), и плата тоже проверяет его на совпадение. То есть такое правило может работать с транспортом любого типа.

Дополнительно в таком правиле можно указать номер порта. Если указан ненулевой номер порта, то плата принимает без аутентификации только запросы с указанного порта. Если указан порт 0, то проверка порта не производится (принимаются запросы от любого порта).

Конфигурирование

Для настройки ACL в диалоге конфигурации плат VE-01 и VE-02 в веб-интерфейсе блока MC04-DSL-3U добавлена вкладка "ACL":

На этой вкладке размещена таблица, отображающая список управления доступом. В каждой строке таблицы (не считая заголовка) отображается правило ACL. Над таблицей расположена кнопка "Добавить ACL".

Столбец "Адрес / имя хоста" таблицы отображает имя хоста (для элементов первого типа) или адрес и (опционально) маску (для элементов второго типа).

Для элементов второго типа (которые задают адрес) столбец "Порт" отображает номер порта, а столбец "Транспорт" отображает тип транспорта. Для элементов первого типа (которые задают имя хоста) в этих двух столбцах отображается "(TLS auth)", так как для них номер порта и тип транспорта не имеют значения.

В столбце "Действия" расположены две иконки: "Редактировать правило ACL" и "Удалить правило ACL".

При клике кнопки "Добавить ACL" появляется диалог добавления ACL:

В строке "Хост или IP адрес" диалога следует ввести имя хоста или IP адрес. Адрес IPv6 может быть указан как в квадратных скобках, так и без квадратных скобок. После IP адреса опционально может быть указан символ '/' и сказан размер маски. Если маска не указана, то будет действовать размер маски по умолчанию - 32 для адреса IPv4 и 128 для адреса IPv6. Для удобства пользователей в нижней части диалога есть сноска (примечание), где указано, в какой форме (или в каких форматах) можно задавать значение этого поля.

В строке "Порт (0 - любой)" диалога указывается номер порта. Если указан 0, то номер порта не проверяется.

В троке "Транспорт" диалога выбирается тип транспорта.

При клике кнопки "OK" правило ACL с указанными параметрами добавляется в таблицу.

Клик иконки "Редактировать правило ACL" в таблице открывает диалог редактирования правила ACL. Этот диалог точно такой же, как и описанный выше диалог добавления правила ACL. Разница только в том, что при открытии диалога все поля сразу заполняются текущими значениями параметров. Добавленные или отредактированные правила ACL в таблице отображаются на оранжевом фоне. Этот фон говорит о том, что правило было изменено. После записи правил в плату кнопкой "Применить" фон становится обычным (серым).

Клик иконки "Удалить правило ACL" помечает правило к удалению - фон соответствующей строки таблицы становится красным, а все надписи зачеркнутыми. После записи правил в плату кнопкой "Применить" удаленные строки пропадают из таблицы.

Предлагаю описать конфигурирование и работу ACL плат VE-01 и VE-02 исполнений 1 и 3 в РЭ блока MC04-DSL-3U.

[alx]

Уменьшил ширину картинки.