NACL : Network Access Control List
Réseau
NACL : Network Access Control List. « Liste de contrôle d'accès réseau », par analogie avec le règlement de copropriété affiché à l'entrée du lotissement, qui s'applique à toutes les maisons sans distinction.
Au niveau du sous-réseau : Dans un VPC chez AWS, la NACL filtre le trafic qui entre et sort d'un sous-réseau entier, alors que les security groups s'attachent aux interfaces des instances.
Sans mémoire : Elle est sans état : autoriser une requête entrante n'autorise pas sa réponse. Il faut ouvrir explicitement les ports éphémères au retour, détail que l'on découvre généralement après une heure passée à accuser le DNS.
Règles numérotées : Les règles s'évaluent par numéro croissant et la première qui correspond l'emporte. Elles peuvent autoriser ou refuser, là où un security group ne sait qu'autoriser.
Ce qui arrive si on s'en passe
Sans liste de contrôle au niveau du sous-réseau, la protection repose entièrement sur les groupes de sécurité attachés à chaque instance. Une seule erreur sur l'un d'eux, par exemple un port d'administration ouvert à tout Internet, suffit alors à exposer la machine, sans seconde barrière pour rattraper l'oubli. Il devient aussi impossible de bloquer d'un coup une plage d'adresses hostile pour tout un sous-réseau, puisque les groupes de sécurité ne savent pas exprimer de refus. La liste réseau ne remplace pas ces groupes : elle ajoute une couche plus grossière, mais indépendante.
Explication de la marmotte
Dans un centre de données loué en ligne, les machines sont rangées par quartiers. Cette liste est le règlement posé à l'entrée de tout un quartier : elle dit quelles connexions peuvent entrer ou sortir, et lesquelles sont interdites. Elle a une particularité : elle n'a aucune mémoire. Si on laisse entrer une question, il faut aussi penser à autoriser la réponse à ressortir, sinon celle-ci reste bloquée à la porte.
Où ce terme est utilisé
- Cloud networking, VPC/VNet, CDN et équilibrage (4 occurrences)