Belajar Computer Networking PNETLab - Network Security dengan Access Control List (ACL)

#Pendahuluan

Jaringan yang sudah berjalan dengan routing dan redundansi masih butuh satu hal: kendali atas siapa boleh berbicara dengan siapa. Episode 15 membahas alat kendali paling dasar dan paling sering dipakai di Cisco IOS: Access Control List (ACL).

ACL adalah daftar aturan yang mengizinkan atau menolak paket berdasarkan field tertentu. Meski sederhana, ACL adalah pondasi dari NAT di episode 16 dan firewall enterprise. Kalian akan memahami cara kerja evaluasi ACL, dua tipe utamanya, lalu membangun extended named ACL yang diterapkan langsung di PNETLab.

#Konsep Paket Filtering dengan ACL

#Evaluasi Top-Down dan Implicit Deny

ACL dievaluasi baris per baris dari atas. Paket diperiksa satu per satu aturan; aturan pertama yang cocok langsung dieksekusi, dan aturan berikutnya tidak lagi dilihat. Di akhir setiap ACL tersembunyi implicit deny any: jika tidak ada aturan yang cocok, paket otomatis ditolak.

Dua konsekuensi penting dari cara kerja ini: urutan aturan sangat menentukan hasil, dan setiap ACL yang mengizinkan sesuatu harus diakhiri dengan permit ip any any agar traffic lain tetap bisa lewat.

#Klasifikasi ACL pada Cisco IOS

#Standard ACL vs Extended ACL

• Standard ACL (nomor 1-99 atau 1300-1999): hanya memeriksa source IP address. Karena tidak bisa melihat tujuan, penyimpanan terbaiknya adalah dekat dengan destination agar tidak menghalangi traffic yang tidak perlu.
• Extended ACL (nomor 100-199 atau 2000-2699): memeriksa source IP, destination IP, protocol (TCP, UDP, ICMP), dan port number. Karena lebih spesifik, penyimpanan terbaiknya dekat dengan source agar paket yang ditolak tidak membuang bandwidth di perjalanan.

#Konfigurasi Extended Named ACL

#Memblokir Akses Web

Skenario lab: departemen di VLAN 10 tidak boleh membuka web server internal 10.0.0.50. Bangun named extended ACL di router R1:

configure terminal
ip access-list extended BLOCK_WEB
 deny tcp 192.168.10.0 0.0.0.255 host 10.0.0.50 eq 80
 deny tcp 192.168.10.0 0.0.0.255 host 10.0.0.50 eq 443
 permit ip any any
exit

deny tcp 192.168.10.0 0.0.0.255 host 10.0.0.50 eq 80 menolak traffic TCP dari subnet VLAN 10 menuju host 10.0.0.50 dengan destination port 80, dan baris kedua menolak port 443 (HTTPS). Baris permit ip any any memastikan traffic lain tetap berjalan.

#Penerapan ACL pada Interface dan Line VTY

#ip access-group pada Interface

ACL tidak aktif sampai diterapkan pada interface dengan arah in atau out:

configure terminal
interface g0/0
 ip access-group BLOCK_WEB in
exit

ip access-group BLOCK_WEB in menerapkan ACL pada traffic yang masuk interface g0/0. Arah in memeriksa paket sebelum diproses router, sedangkan out memeriksa paket yang akan keluar interface.

#access-class pada Line VTY

ACL juga bisa membatasi siapa saja yang boleh login via SSH. Buat ACL untuk mengizinkan hanya satu subnet mengelola router:

configure terminal
ip access-list standard MANAGE
 permit 10.0.0.0 0.0.0.255
exit
line vty 0 4
 access-class MANAGE in
exit

access-class MANAGE in pada line vty memastikan hanya source dari 10.0.0.0/24 yang bisa membuka sesi remote ke router.

#Verifikasi dan Uji ACL

#Melihat Hit Count

Setelah menerapkan ACL, cek apakah aturan benar-benar dieksekusi:

R1# show access-lists BLOCK_WEB
Extended IP access list BLOCK_WEB
    deny tcp 192.168.10.0 0.0.0.255 host 10.0.0.50 eq www (6 matches)
    deny tcp 192.168.10.0 0.0.0.255 host 10.0.0.50 eq 443 (2 matches)
    permit ip any any (124 matches)

show access-lists menampilkan hit count tiap aturan. Dari console PC di VLAN 10, coba buka http://10.0.0.50 — permintaan ditolak, sementara ping tetap berjalan karena baris permit ip any any.

#Kesalahan Umum ACL

Dua kesalahan tersering: meletakkan permit ip any any di awal ACL sehingga semua paket diizinkan sebelum mencapai aturan deny, dan lupa bahwa arah interface menentukan sisi paket yang diperiksa. Selalu ingat urutan top-down, dan selalu verifikasi dengan show access-lists sebelum menyimpulkan.

#Penutup

Inti yang harus dibawa pulang:

• ACL dievaluasi top-down dengan implicit deny any di akhir list.
• Standard ACL hanya melihat source; extended ACL melihat protocol dan port.
• Standard ACL dekat destination; extended ACL dekat source.
• Extended named ACL memakai deny tcp <source> host <dest> eq <port>.
• ip access-group pada interface; access-class pada line vty.
• show access-lists menampilkan hit count untuk verifikasi.

Di episode 16 selanjutnya kita membahas Network Address Translation (NAT): kebutuhan menghemat IP public, perbedaan static NAT, dynamic NAT, dan PAT overload, konfigurasi NAT overload di Cisco Router untuk akses internet, serta verifikasi dengan show ip nat translations dan statistics.