ACCESS LIST
(ACL)
Una lista de control de acceso (ACL) es una lista de filtros de tráfico de red y acciones correlacionadas
utilizadas para mejorar la seguridad. Bloquea o permite a los usuarios acceder a recursos específicos.
Una ACL contiene los hosts a los que se permite o se niega el acceso al dispositivo de red.
LAS ACL CONFIGURADAS REALIZAN LAS SIGUIENTES
TAREAS:
Limitan el tráfico de la red para aumentar su rendimiento. En una entidad, por ejemplo, si su política corporativa no permite el
tráfico de video en la red, se pueden configurar y aplicar ACL que lo bloqueen, lo que reduce considerablemente la carga de la red
y aumenta su rendimiento.
Proporcionan un nivel básico de seguridad para el acceso a la red. Las ACL pueden permitir que un host acceda a una parte de la
red y evitar que otro lo haga a esa misma área.
Filtran el tráfico según su tipo. Por ejemplo, una ACL puede permitir el tráfico de correo electrónico, pero bloquear todo el tráfico
de redes sociales.
Filtran a los hosts para permitirles o denegarles el acceso a los servicios de red. Las ACL pueden permitirles o denegarles a los
usuarios el acceso a determinados tipos de archivos.
FUNCIONAMIENTO: FILTRADO DE PAQUETES
Una Lista de Control de Accesos (ACL) es una enumeración secuencial de instrucciones permit (permitir)
o deny (denegar), conocidas como “entradas de control de acceso”, o también con frecuencia como “instrucciones
ACL”.
El criterio de filtrado establecido en cada entrada de una ACL es la dirección IP de origen. Un router configurado con
una ACL estándar toma la dirección IP de origen del encabezado del paquete y comienza a compararla con cada
entrada de la ACL de manera secuencial. Cuando encuentra una coincidencia, el router realiza la instrucción
correspondiente, que puede ser: permitir o bloquear el paquete, y finaliza la comparación. Si la dirección IP del
paquete no coincide con ninguna entrada en la ACL, se bloquea el paquete por definición.
Para la configuración de las Listas de Control de Acceso de los routers, es importante
conocer que estas se aplican para el intercambio de paquetes de datos tanto a las
interfaces de red de entrada como de salida. En este sentido:
Las ACL de entrada
Las ACL de salida
TIPOS DE ACL:
ACL estándar:
Permiten el filtrado de paquetes de datos únicamente verificando la dirección IP de origen. De esta manera, si un
dispositivo es denegado por una ACL estándar, se deniegan todos los servicios provenientes de él. Este tipo de ACL sirve
para permitir el acceso de todos los servicios de un usuario específico, o LAN, a través de un router y a la vez, denegar el
acceso de otras direcciones IP. Las ACL estándar están identificadas por el número que se les ha asignado. Para las listas
de acceso que permiten o deniegan el tráfico IP, el número de identificación puede variar entre 1 y 99 o entre 1300 y 1999.
ACL extendidas:
Filtran no sólo según la dirección IP de origen, sino también según la dirección IP de destino, el protocolo y los números
de puertos. Con frecuencia son más empleadas que las ACL estándar, porque son más específicas y ofrecen un mayor
control. El rango de números de las ACL extendidas va de 100 a 199 y de 2000 a 2699.
La correcta conformación de la ACL puede contribuir a que la red funcione de forma eficiente. En este
sentido, se deben configurar donde tengan mayor impacto. Las reglas básicas a considerar son:
Las ACL estándar se colocan cerca del destino del tráfico. Esto se debe a sus limitaciones, pues no se puede
distinguir el destino.
Las ACL extendidas se colocan cerca del origen del tráfico por eficiencia, para evitar tráfico innecesario en el
resto de la red.
COMANDOS BASICOS
ACL estándar
• (config)#access-list n {permit | deny} source {source-mask} •
Ejemplos:
• (config)#access-list 1 deny 10.5.3.0 0.0.0.255
• (config)#access-list 1 permit host 10.5.3.37
• (config)#access-list 1 permit any
ACL extendida
• (config)#access-list n {permit | deny} protocol source {source-mask} destination {destinationmask} [eq destination-port]
Ejemplos
• (config)#access-list 105 permit 10.5.4.0 0.0.0.255 host 10.5.64.30 eq 80
• (config)#access-list 105 permit host 10.5.3.37 10.5.64.0 0.0.63.255
• (config)#access-list 105 deny 10.5.3.0 0.0.0.255 any
