ACL
José Aular / 07.07.2023
Tabla de contenido
- Concepto
- Configuración de ACL estándar para IPv4
- Protección de puertos VTY con una ACL estándar para IPv4
- Configuración de ACL extendidas para IPv4
- Referencias
Concepto
Una ACL es una serie de comandos del IOS que controlan si un router reenvía o descarta paquetes según la información que se encuentra en el encabezado del paquete. De forma predeterminada, un enrutador no tiene ninguna ACL configurada. Sin embargo, cuando se aplica una ACL a una interfaz, el router realiza la tarea adicional de evaluar todos los paquetes de red a medida que pasan a través de la interfaz para determinar si el paquete se puede reenviar.
Una ACL utiliza una lista secuencial de declaraciones de permiso o denegación, conocidas como entradas de control de acceso (ACE) o instrucciones de ACL.
Configuración de ACL estándar para IPv4
Sintaxis de ACL estándar numerada para IPv4
Para crear una ACL estándar numerada, utilice el comando access-list {access-list-number} {deny | permit | remark text} source [source-wildcard] [log]
.
Utilice el comando
no access-list {access-list-number}
para eliminar una ACL estándar numerada.
Ejemplo
Utilice la palabra clave
host {ip-address}
o simplemente ingrese una dirección IP (sin elhost
) para identificar una dirección IP específica. Por ejemplo, el comandodeny host 192.168.5.5
es el mismo que el comandodeny 192.168.5.5 0.0.0.0
.
Seguidamente aplique la ACL numerada a la interfaz correspondiente.
Sintaxis de ACL con nombre estándar para IPv4
La asignación de nombres a las ACL hace más fácil comprender su función. Para crear una ACL estándar con nombre, utilice el comando ip access-list standard {access-list-name}
Utilice el comando
no ip access-list standard {access-list-name}
para eliminar una ACL IPv4 estándar con nombre.
Ejemplo
Agregue un ACE que permita sólo el host 192.168.10.10 y otro ACE que permita todos los hosts LAN 2 a Internet.
Utilice la palabra clave
any
para especificar todas las redes. Ejemplo:deny any
si desea denegar todos los host.
Seguidamente aplique la ACL con nombre a la interfaz correspondiente.
Aplicación de una ACL estándar para IPv4
Después de configurar una ACL estándar para IPv4, debe vincularse a una interfaz o función. Utilice el comando ip access-group {access-list-number | access-list-name} {in | out}
para enlazar una ACL estándar para IPv4 numerada o nombrada a una interfaz.
Protección de puertos VTY con una ACL estándar para IPv4
Las ACL normalmente filtran el tráfico entrante o saliente en una interfaz. Sin embargo, una ACL también se puede utilizar para proteger el acceso administrativo remoto a un dispositivo mediante las líneas vty.
Utilice el comando access-class {access-list-number | access-list-name} { in | out }
para aplicar una ACL a las líneas vty
La palabra clave
in
es la opción más utilizada para filtrar el tráfico vty entrante, mientras queout
filtra el tráfico vty saliente y rara vez se aplica.
Se ha configurado
deny any
para realizar un seguimiento del número de veces que se ha denegado el acceso.
Utilice el comando show access-lists
para verificar las estadísticas de ACL.
Configuración de ACL extendidas para IPv4
Las ACL estándar solo se filtran en la dirección de origen. Cuando se requiere un control de filtrado de tráfico más preciso, se pueden crear ACL extendidas de IPv4.
Las ACL extendidas se utilizan con más frecuencia que las ACL estándar, porque proporcionan un mayor grado de control. Pueden filtrar por dirección de origen, dirección de destino, protocolo (es decir, IP, TCP, UDP, ICMP) y número de puerto. Esto proporciona una gama de criterios más amplia sobre la cual basar la ACL.
Sintaxis de ACL extendida numerada para IPv4
Para crear una ACL extendida numerada, utilice el comando access-list {access-list-number} {deny | permit | remark text} {protocol} source [source-wildcard] [operator {port}] destination [destination-wildcard] [operator {port}] [established] [log]
.
Protocolos y puertos
Opciones de protocolo
Opciones de palabra clave de puertos
Configuración de Protocolos y Números de Puerto
La configuración del número de puerto es necesaria cuando no aparece un nombre de protocolo específico, como SSH (número de puerto 22) o HTTPS (número de puerto 443).