ACL nommées et IPv6

Définition

Les ACL nommées remplacent les numéros par un nom textuel (GW-BLOCK, MGMT-ALLOW) et donnent accès aux numéros de séquence: on insère, supprime et réordonne des lignes sans reconstruire la liste. Côté IPv6, il n'existe que des ACL nommées étendues, créées avec ipv6 access-list: le protocole ne connaît plus les ACL standards, et quelques réflexes IPv4 tombent, comme le deny du multicast.

Contexte

Le thème 5.6 du blueprint 200-301 couvre les ACL sans distinguer explicitement numérotées et nommées, mais l'OCG et les examens posent des questions de maintenance: ajouter une règle au milieu d'une ACL, supprimer une seule ligne, comprendre qu'une ACL IPv6 nommée n'a pas de famille standard. Le wildcard disparaît en IPv6 au profit du préfixe en notation slash. L'implicit deny final, lui, survit: il est encore plus piégeant en IPv6 où le ND (Neighbor Discovery) est de l'ICMPv6, et une ACL trop stricte casse le voisinage avant de casser le trafic.

Pourquoi les nommées gagnent

Aspect	ACL numérotée legacy	ACL nommée
Édition	Suppression et recréation de toute la liste	no 15 puis insertion par séquence
Lisibilité	access-list 101 permit ...	Section ip access-list extended GW-BLOCK
Ordre	Ajout en fin de liste uniquement	Numéro de séquence explicite, tri automatique
Types disponibles	Standard et étendue IPv4, nommées équivalentes	Idem, et obligatoire en IPv6

R1(config)# ip access-list extended OUTSIDE-IN
R1(config-ext-nacl)# 10 permit tcp any host 203.0.113.10 eq 443
R1(config-ext-nacl)# 20 permit udp any host 203.0.113.20 eq 500
R1(config-ext-nacl)# 30 permit udp any host 203.0.113.20 eq 4500
R1(config-ext-nacl)# 40 permit icmp any any echo-reply
R1(config-ext-nacl)# 50 deny ip any any log
R1(config-ext-nacl)# no 30
R1(config-ext-nacl)# 35 permit tcp host 198.51.100.7 host 203.0.113.10 eq 22

La suppression no 30 ne touche que cette ligne; les trous de séquence (10, 20, 40) sont autorisés, IOS réordonne à l'affichage. Par défaut, les nouvelles lignes sans numéro prennent un pas de 10; ip access-list resequence OUTSIDE-IN 100 10 redistribue proprement.

ACL IPv6, spécificités

R1(config)# ipv6 access-list GUESTS-V6
R1(config-ipv6-acl)# permit icmp any any nd-na
R1(config-ipv6-acl)# permit icmp any any nd-ns
R1(config-ipv6-acl)# permit icmp any any router-advertisement
R1(config-ipv6-acl)# permit tcp 2001:db8:acad:20::/64 any eq 443
R1(config-ipv6-acl)# deny ipv6 any any log
R1(config)# interface GigabitEthernet0/2
R1(config-if)# ipv6 traffic-filter GUESTS-V6 in

Points à retenir pour l'examen:

• Préfixe en notation /64, pas de wildcard: 2001:db8:acad:20::/64.
• Mot-clé ipv6 pour le protocole global, icmp pour ICMPv6 sans numéro de type obligatoire.
• ND et RA sont de l'ICMPv6: les bloquer casse la résolution d'adresse et l'autoconfiguration SLAAC du segment, symptômes: les hôtes gardent leur IP, plus personne ne sort.
• Pas d'ACL standard IPv6: toute liste est nominative et peut examiner les ports.
• ipv6 traffic-filter NOM in|out remplace ip access-group.

Pièges courants

Appliquer une ACL nommée encore vide revient à un deny ip any any immédiat: la section n'existe qu'avec ip access-list extended, mais sans lignes, tout tombe. C'est l'accident typique du technicien qui crée l'ACL, l'attache, puis prépare ses lignes: le temps du coller-copier, le site est isolé. En IPv6, oublier le permit icmp any any nd-ns produit le même isolement, plus difficile à voir car le ping local fonctionne encore.

Le verrouillage VTY en IPv6 suit la même logique qu'IPv4: un access-class avec préfixe IPv6 sur la ligne VTY, et un permit pour l'adresse de management avant tout deny.

Exemple concret

Un parc de 300 ACL numérotées héritées des années 2000 a coût une interruption de 12 minutes par insertion: pour ajouter un host en ligne 1 d'une ACL étendue appliquée in sur un 6500, l'équipe recopiait toute la liste dans un fichier, l'éditait, la reflashait. Après migration vers les nommées et la resequence, la même opération: 15 permit tcp host 172.16.5.7 any eq 22, 2 secondes, sans retirer l'ACL de l'interface. Un audit a ensuite révélé 41 lignes dupliquées à l'identique par les recopies successives, nettoyées d'un no 15 ciblé.