Access Control Lists: Filtering TrafficACLـەکان: فلتەرکردنی هاتوچۆ

A router’s job is to forward: if it has a route, the packet goes on. In this school, router R1 joins three LANs — staff, students and servers. The policy says students may open the web server but must never reach the exam server. R1 cannot keep that rule by itself: it has routes to every LAN, so it forwards every packet. An access control list (ACL) is how you give it rules.

کاری ڕێدۆز ناردنە: ئەگەر ڕێگەی هەبێت، پاکێتەکە (Packet) بەردەوام دەبێت. لەم قوتابخانەیەدا ڕێدۆزی ⁦R1⁩ سێ ڕایەڵەی ناوچەیی (LAN) بەیەکەوە دەبەستێت — کارمەندان، قوتابیان و ڕاژەکارەکان (Server). سیاسەتەکە دەڵێت قوتابیان دەتوانن ڕاژەکاری وێبەکە (Web server) بکەنەوە بەڵام هەرگیز نابێت بگەنە ڕاژەکاری تاقیکردنەوە. ⁦R1⁩ بە تەنیا ناتوانێت ئەو یاسایە بپارێزێت: ڕێگەی بۆ هەموو ڕایەڵەیەکی ناوچەیی هەیە، بۆیە هەموو پاکێتێک دەنێرێت. ACL ئەو ڕێگایەیە کە یاسای پێ دەدەیت.

An ACL is an ordered list of permit and deny statements. Each line — an access control entry (ACE) — has a sequence number, an action and a description of the packets it matches. On an interface it works as a packet filter; elsewhere it only selects traffic, as you saw when access-list 1 picked the hosts for NAT (Dynamic NAT). The same idea is the heart of every firewall.

ACL لیستێکی ڕیزکراوی ڕستەکانی permit و denyـە. هەر دێڕێک — تۆمارێکی کۆنترۆڵی دەستڕاگەیشتن (Access control) ⁦(ACE)⁩ — ژمارەیەکی زنجیرە، بڕیارێک و وەسفی ئەو پاکێتانەی هەیە کە دەیانگرێتەوە. لەسەر نێوبەستەیەک وەک فلتەرکردنی پاکێت (Packet filtering) کار دەکات؛ لە شوێنی تر تەنیا هاتوچۆ هەڵدەبژێرێت، وەک بینیت کاتێک access-list 1 میوانگرەکان (Host) بۆ NAT هەڵبژارد (وەرگێڕانی بزۆکی ناونیشانی ڕایەڵە). هەمان بیرۆکە دڵی هەموو ئاگرەدیوارێکە.

For every packet, the router compares the lines in order, from the top. As soon as one line matches, its action (permit or deny) is applied and the rest of the list is not read. So the order of the lines is part of the rule: a broad line placed early hides every specific line below it.

بۆ هەر پاکێتێک، ڕێدۆزەکە دێڕەکان بە ڕیز، لە سەرەوە بەراورد دەکات. هەر کە دێڕێک گونجا، بڕیارەکەی (permit یان deny) جێبەجێ دەکرێت و ئەوانی تری لیستەکە ناخوێندرێنەوە. بۆیە ڕیزبەندیی دێڕەکان بەشێکە لە یاساکە: دێڕێکی فراوان کە زوو دابنرێت هەموو دێڕێکی تایبەتی ژێر خۆی دەشارێتەوە.

Every ACL ends with a line you never typed and never see in show access-lists: deny any (in an extended ACL, deny ip any any). A packet that matches nothing is dropped. This is the deny-by-default rule of security. It has two big consequences: an ACL needs at least one permit, or it blocks everything; and if only one host should be blocked, the list must end with permit any.

هەموو ACLـێک بە دێڕێک کۆتایی دێت کە هەرگیز نەتنووسیوە و هەرگیز لە show access-listsـدا نایبینیت: deny any (لە ACLـی درێژکراوەدا، deny ip any any). پاکێتێک کە لەگەڵ هیچ شتێک نەگونجێت فڕێ دەدرێت. ئەمە یاسای ڕێگری وەک بنەڕەتـی ئاسایشە. دوو دەرئەنجامی گەورەی هەیە: ACL پێویستی بە لانیکەم یەک permit هەیە، ئەگەر نا هەموو شتێک ڕادەگرێت؛ و ئەگەر تەنیا یەک میوانگر دەبێت ڕابگیرێت، لیستەکە دەبێت بە permit any کۆتایی بێت.

ACLs describe groups of addresses with a wildcard mask, the same tool you used for OSPF network statements (Configuring OSPF). A 0 bit means “this bit must match”, a 1 bit means “ignore it”. The quick way: wildcard = 255.255.255.255 minus the subnet mask. Two shortcuts save typing: host 192.168.20.25 means 192.168.20.25 0.0.0.0 (exactly one address) and any means 0.0.0.0 255.255.255.255 (every address).

ACLـەکان کۆمەڵە ناونیشان بە ماسکی پێچەوانە وەسف دەکەن، هەمان ئامرازی کە بۆ ڕستەکانی networkـی OSPF بەکارت هێنا (ڕێکخستنی OSPF). بیتی (Bit) 0 واتە «ئەم بیتە دەبێت وەک یەک بێت»، بیتی 1 واتە «گرنگی پێ مەدە». ڕێگای خێرا: ماسکی پێچەوانە = ⁦255.255.255.255⁩ لابردنی ماسکی ژێرڕایەڵە (Subnet mask). دوو کورتکراوە نووسین کەم دەکەنەوە: host 192.168.20.25 واتە 192.168.20.25 0.0.0.0 (ڕێک یەک ناونیشان) و any واتە 0.0.0.0 255.255.255.255 (هەموو ناونیشانێک).

IOS has two kinds of IPv4 ACL. A standard ACL checks only the source address. An extended ACL can check the protocol, the source and destination addresses and the source and destination ports. The number you choose tells IOS which kind you mean; a name works for both (later in this lesson).

IOS دوو جۆر ACLـی ⁦IPv4⁩ـی هەیە. ACLـی ستاندارد تەنیا ناونیشانی سەرچاوە دەپشکنێت. ACLـی درێژکراوە دەتوانێت پرۆتۆکۆڵەکە، ناونیشانی سەرچاوە و مەبەست و پۆرتی سەرچاوە و مەبەست بپشکنێت. ئەو ژمارەیەی هەڵیدەبژێریت بە IOS دەڵێت مەبەستت کام جۆرە؛ ناو بۆ هەردووکیان کار دەکات (دواتر لەم وانەیەدا).

An ACL does nothing until you apply it to an interface, in a direction, with ip access-group <number or name> in|out in interface mode. Inbound (in) ACLs check packets as they arrive, before the routing decision; outbound (out) ACLs check packets that have been routed and are about to leave. Each interface takes one ACL per direction per protocol: at most one IPv4 ACL in, one IPv4 ACL out (and the same again for IPv6).

ACL هیچ شتێک ناکات تا لەسەر نێوبەستەیەک، لە ئاڕاستەیەکدا، جێبەجێی دەکەیت بە ip access-group <number or name> in|out لە باری نێوبەستەدا. ACLـی هاتنەژوورەوە (in) پاکێتەکان لە کاتی گەیشتنیاندا دەپشکنێت، پێش بڕیاری ڕێدۆزی (Routing)؛ ACLـی دەرچوون (out) ئەو پاکێتانە دەپشکنێت کە ڕێدۆزییان بۆ کراوە و خەریکە دەردەچن. هەر نێوبەستەیەک بۆ هەر ئاڕاستەیەک و هەر پرۆتۆکۆڵێک یەک ACL وەردەگرێت: زۆرترین یەک ACLـی ⁦IPv4⁩ بۆ in، یەک بۆ out (و هەمان شت دووپاتە بۆ ⁦IPv6⁩).

The classic Cisco guideline: put extended ACLs as close to the source as possible — they can name the exact destination, so unwanted traffic is dropped before it uses any links. Put standard ACLs as close to the destination as possible — they see only the source, so near the source they would block that source from everything.

ڕێنمایی کلاسیکی ⁦Cisco: ACL⁩ـی درێژکراوە تا بتوانرێت نزیک سەرچاوە دابنێ — دەتوانێت مەبەستی ڕێک ناو ببات، بۆیە هاتوچۆی نەخوازراو پێش ئەوەی هیچ بەستەرێک بەکار بهێنێت فڕێ دەدرێت. ACLـی ستاندارد تا بتوانرێت نزیک مەبەست دابنێ — تەنیا سەرچاوە دەبینێت، بۆیە لە نزیک سەرچاوە ئەو سەرچاوەیە لە هەموو شتێک دادەبڕێت.

PC 192.168.20.25 has been misusing the servers, so it must be kept away from the server LAN, while every other device keeps working. A standard ACL can do it, placed near the destination: outbound on G0/0/2, the server interface. The remark line is a comment for the next administrator.

PCـی ⁦192.168.20.25⁩ ڕاژەکارەکان بە خراپی بەکار دەهێنێت، بۆیە دەبێت لە ڕایەڵەی ناوچەیی ڕاژەکارەکان دوور بخرێتەوە، لە کاتێکدا هەموو ئامێرەکانی تر بەردەوام کار دەکەن. ACLـێکی ستاندارد دەتوانێت ئەوە بکات، لە نزیک مەبەست دابنرێت: out لەسەر ⁦G0/0/2⁩، نێوبەستەی ڕاژەکارەکان. دێڕی remark تێبینییەکە بۆ بەڕێوەبەری داهاتوو.

Ping a server from PC .25 and from PC .30, then look on R1. show access-lists prints every list with its sequence numbers and a match counter per line — the fastest proof that traffic really hits the line you expect. The invisible deny any has no counter. show ip interface g0/0/2 tells you which ACL is applied in which direction. clear access-list counters sets the counters back to zero before a new test.

لە PCـی .25 و PCـی .30ـەوە پینگ بۆ ڕاژەکارێک بکە، پاشان لەسەر ⁦R1⁩ سەیر بکە. show access-lists هەموو لیستێک لەگەڵ ژمارەکانی زنجیرە و ژمێرەرێکی گونجان بۆ هەر دێڕێک چاپ دەکات — خێراترین بەڵگە کە هاتوچۆ بەڕاستی بەو دێڕە دەگات کە چاوەڕێی دەکەیت. deny anyـی نەبینراو ژمێرەری نییە. show ip interface g0/0/2 پێت دەڵێت کام ACL بە کام ئاڕاستە جێبەجێ کراوە. clear access-list counters پێش تاقیکردنەوەیەکی نوێ ژمێرەرەکان دەگەڕێنێتەوە بۆ سفر.

On PC .25 the ping fails: R1 drops each echo request and, by default, answers with an ICMP destination unreachable — administratively prohibited message, so the PC reports the destination as unreachable instead of waiting for a timeout. From PC .30 the ping succeeds.

لەسەر PCـی .25 پینگەکە شکست دەهێنێت: ⁦R1⁩ هەر داواکاریی (Request) echoـێک فڕێ دەدات و بە شێوەی بنەڕەت بە پەیامی ICMPـی ⁦destination unreachable — administratively prohibited⁩ وەڵام دەداتەوە، بۆیە PCـەکە ڕادەگەیەنێت کە مەبەستەکە ناگاتێ لە جیاتی چاوەڕوانیی تەواوبوونی کات. لە PCـی .30ـەوە پینگەکە سەرکەوتوو دەبێت.

An extended line reads like a sentence: number – action – protocol – source – destination – (port). The protocol is ip (any IP packet), tcp, udp or icmp. Each address takes a wildcard, or host / any. A port test follows the address it belongs to, with an operator: eq (equal), neq, lt, gt or range. IOS shows well-known ports by name, for example port 80 as www.

دێڕێکی درێژکراوە وەک ڕستەیەک دەخوێندرێتەوە: ژمارە – بڕیار – پرۆتۆکۆڵ – سەرچاوە – مەبەست – (پۆرت). پرۆتۆکۆڵەکە ip (هەر پاکێتێکی IP)، tcp، udp یان icmpـە. هەر ناونیشانێک ماسکێکی پێچەوانە یان host / any وەردەگرێت. پشکنینی پۆرت دوای ئەو ناونیشانە دێت کە پێیەوە پەیوەستە، لەگەڵ کارپێکەرێک (Operator): eq (یەکسان)، neq، lt، gt یان range. IOS پۆرتە ناسراوەکان بە ناو پیشان دەدات، بۆ نموونە پۆرتی ⁦80⁩ وەک www.

Now the real policy: students may use the web server (HTTP 80 and HTTPS 443) and may ping the servers, but nothing else may go from the student LAN to the server LAN; everything else (for example to the staff LAN) stays allowed. An extended ACL, inbound on the student interface G0/0/1:

ئێستا سیاسەتە ڕاستەقینەکە: قوتابیان دەتوانن ڕاژەکاری وێبەکە بەکار بهێنن (⁦HTTP 80⁩ و ⁦HTTPS 443⁩) و دەتوانن پینگ بۆ ڕاژەکارەکان بکەن، بەڵام هیچ شتێکی تر نابێت لە ڕایەڵەی ناوچەیی قوتابیانەوە بڕوات بۆ ڕایەڵەی ناوچەیی ڕاژەکارەکان؛ هەموو شتێکی تر (بۆ نموونە بۆ ڕایەڵەی ناوچەیی کارمەندان) ڕێگەپێدراو دەمێنێتەوە. ACLـێکی درێژکراوە، بە in لەسەر نێوبەستەی قوتابیان ⁦G0/0/1⁩:

Numbers are hard to remember. A named ACL does the same job with a name you choose, and it has its own sub-mode where each line is typed without repeating access-list 110: the prompt changes to (config-std-nacl)# for standard and (config-ext-nacl)# for extended lists. Here is Lab 2 as a named list:

ژمارەکان بە ئاسانی لە بیر نامێنن. ACLـی ناودار هەمان کار بە ناوێک دەکات کە خۆت هەڵیدەبژێریت و باری لاوەکیی خۆی هەیە کە هەر دێڕێک تێیدا بەبێ دووپاتەکردنەوەی access-list 110 دەنووسرێت: دەقی داواکردنەکە (Prompt) بۆ لیستی ستاندارد دەبێت بە (config-std-nacl)# و بۆ درێژکراوە بە (config-ext-nacl)#. ئەمە تاقیکردنەوەی 2یە وەک لیستێکی ناودار:

The capstone project protects its servers with a named extended ACL: Step 8: an ACL in front of the servers.

پڕۆژەی کۆتایی ڕاژەکارەکان بە ACLـی درێژکراوەیەکی ناودار دەپارێزێت: هەنگاوی ⁦8: ACL⁩ـێک لە بەردەم ڕاژەکارەکان.

Lines get sequence numbers 10, 20, 30… and a new line without a number goes to the end. To put a line in the middle, give it a number in between; to remove one line, type no and its number. This works for named lists and also for numbered ones opened with ip access-list extended 110. (Later the exam app on EXAM, TCP 8443, must be opened during exams, and pings are no longer needed.)

دێڕەکان ژمارەکانی زنجیرەی ⁦10⁩، ⁦20⁩، ⁦30⁩… وەردەگرن و دێڕێکی نوێ بەبێ ژمارە دەچێتە کۆتایی. بۆ دانانی دێڕێک لە ناوەڕاستدا، ژمارەیەکی نێوانی پێ بدە؛ بۆ لابردنی یەک دێڕ، no و ژمارەکەی بنووسە. ئەمە بۆ لیستە ناودارەکان کار دەکات و بۆ ژمارەکراوەکانیش کاتێک بە ip access-list extended 110 دەکرێنەوە. (دواتر ئەپی تاقیکردنەوە لەسەر EXAM، ⁦TCP 8443⁩، دەبێت لە کاتی تاقیکردنەوەکاندا بکرێتەوە و ئیتر پێویست بە پینگ نییە.)

You already lock the VTY lines with SSH, a user name and a secret (Lock the VTY lines). An ACL adds a second lock: who may even try. On a line, the command is access-class, not ip access-group. Apply it to all VTY lines — a remote session can land on any of them.

پێشتر هێڵەکانی VTY بە SSH، ناوی بەکارهێنەر (Username) و نهێنییەک دادەخەیت (داخستنی هێڵەکانی VTY). ACL قوفڵێکی دووەم زیاد دەکات: کێ تەنانەت دەتوانێت هەوڵ بدات. لەسەر هێڵێک فەرمانەکە (Command) access-classـە، نەک ip access-group. لەسەر هەموو هێڵەکانی VTY جێبەجێی بکە — دانیشتنێکی دوور دەتوانێت لەسەر هەر کامیان بنیشێتەوە.

The same list syntax is used in many places where nothing is dropped. With NAT, ip nat inside source list 1 … uses ACL 1 only to decide who is translated: a permitted source is translated, a denied (or unmatched) source is simply forwarded untranslated (Dynamic NAT). Other IOS features — route filtering, QoS, debug filters — reuse ACLs the same way. Always ask: is this list applied to an interface, or referenced by a feature?

هەمان ڕێزمانی لیست لە زۆر شوێندا بەکار دێت کە هیچ شتێک فڕێ نادرێت. لەگەڵ NAT، ip nat inside source list 1 … ⁦ACL 1⁩ تەنیا بۆ بڕیاردان بەکار دەهێنێت کە کێ وەردەگێڕدرێت: سەرچاوەیەکی ڕێگەپێدراو وەردەگێڕدرێت، سەرچاوەیەکی ڕێگرتوو (یان نەگونجاو) تەنیا بەبێ وەرگێڕان دەنێردرێت (وەرگێڕانی بزۆکی ناونیشانی ڕایەڵە). تایبەتمەندییەکانی تری IOS — فلتەرکردنی ڕێگەکان، QoS، فلتەری debug — بە هەمان شێوە ACL بەکار دەهێننەوە. هەمیشە بپرسە: ئەم لیستە لەسەر نێوبەستەیەک جێبەجێ کراوە، یان تایبەتمەندییەک ئاماژەی پێ دەکات؟

A classic ACL is a stateless packet filter: it judges each packet alone and remembers nothing. That matters for replies. If an inbound ACL on the Internet-facing interface allows only what the company wants in, the replies to the staff’s own web requests are blocked too — unless a line lets them in, such as permit tcp any 192.168.10.0 0.0.0.255 established, which matches TCP segments with the ACK or RST flag set (packets that belong to a connection already under way). It is a rough tool: it works only for TCP, and a forged flag passes.

ACLـێکی کلاسیکی بە شێوەیەکی بێ‌دۆخ (Stateless) فلتەرکردنی پاکێت دەکات: هەر پاکێتێک بە تەنیا هەڵدەسەنگێنێت و هیچ شتێک لە بیر ناگرێت. ئەمە بۆ وەڵامەکان گرنگە. ئەگەر ACLـێکی in لەسەر نێوبەستەی ڕووەو ئینتەرنێت (Internet) تەنیا ڕێگە بەوە بدات کە کۆمپانیاکە دەیەوێت بێتە ژوورەوە، وەڵامی ئەو داواکارییانەی کارمەندان خۆیان بۆ تۆڕگەکان (Website) دەینێرن ڕادەگیرێن — مەگەر دێڕێک ڕێگەیان پێ بدات، وەک permit tcp any 192.168.10.0 0.0.0.255 established، کە ئەو بڕانەی (Segment) TCP دەگرێتەوە کە ئاڵای ACK یان RSTـیان لەسەرە (ئەو پاکێتانەی سەر بە پەیوەندییەکن کە پێشتر دەستی پێکردووە). ئامرازێکی زبرە: تەنیا بۆ TCP کار دەکات و ئاڵایەکی ساختە تێدەپەڕێت.

A stateful firewall keeps a table of the conversations started inside and lets in exactly their replies — for TCP, UDP and ICMP alike — and modern next-generation firewalls look much deeper (Kinds of firewall). ACLs remain the everyday tool on routers and switches: for simple filters between internal networks, for protecting the device itself, and for selecting traffic for other features.

ئاگرەدیوارێکی دۆخدار خشتەیەک لە گفتوگۆکانی ناوەوە ڕادەگرێت و ڕێک ڕێگە بە وەڵامەکانیان دەدات — بۆ TCP، UDP و ICMP وەک یەک — و ئاگرەدیوارەکانی نەوەی نوێ (Next-generation firewall) زۆر قووڵتر سەیر دەکەن (جۆرەکانی ئاگرەدیوار). ACLـەکان ئامرازی ڕۆژانەی ڕێدۆز و سویچەکان (Network switch) دەمێننەوە: بۆ فلتەری سادە لە نێوان ڕایەڵەکانی ناوخۆدا، بۆ پاراستنی خودی ئامێرەکە و بۆ هەڵبژاردنی هاتوچۆ بۆ تایبەتمەندییەکانی تر.

When an ACL blocks more than you meant, troubleshooting starts with show access-lists and a ping — that is the next lesson, Troubleshooting with IOS.

کاتێک ACLـێک زیاتر لەوەی مەبەستت بوو ڕادەگرێت، چارەسەرکردنی کێشە (Troubleshooting) بە show access-lists و پینگێک دەست پێ دەکات — ئەوە وانەی داهاتووە، چارەسەرکردنی کێشە بە IOS.