ACCESS-LIST

1. Introducción Listas de control de acceso

Los administradores de red siempre están buscando la manera de impedir el acceso no

autorizado a la red, así como la forma de permitir el acceso autorizado a la misma. Entre las
herramientas de seguridad con las que puede contar un administrador para lograr este
propósito se tienen las ACL's (Listas de Control de Acceso).

Una ACL es una colección secuencial de sentencias de permiso o rechazo que se programan
en un Router para proporcionan capacidades básicas de filtrado de tráfico así como de como
bloqueo del tráfico.

Las ACL filtran el tráfico de red controlando si los paquetes enrutados se envían o se
bloquean en las interfaces del router. El router examina cada paquete para determinar si se
debe enviar o descartar, según las condiciones especificadas en la ACL. Entre las condiciones
de las ACL se pueden incluir la dirección origen o destino del tráfico, el protocolo de capa
superior, u otra información.

Básicamente existen de dos tipos de ACL's: estándar y extendidas.

 ACL Estandard:

Una ACL estándar es una herramienta simple y efectiva de regular el tráfico que
puede pasar a través de un router según el origen, ya sea un host específico
(normalmente una estación de trabajo o servidor) o una red completa (cualquier host
o servidor en esa red).

Las ACL estándar son una forma básica de control que tan solo permiten o
deniegan (todo o nada) paquetes que salen de o entran a una interfaz de router
utilizando sólo la dirección IP de la red o host origen. Por lo tanto, se deben aplicar
cerca de la dirección destino, ya que dicha dirección no se puede especificar.

 ACL Extendida:

Las ACL extendidas se usan con mayor frecuencia para verificar condiciones porque
ofrecen una mayor cantidad de opciones de control que las ACL estándar. Se puede
usar una ACL extendida ACL cuando se desea permitir el tráfico de la Web pero
denegar el Protocolo de Transferencia de Archivos (FTP) o telnet desde las redes que
no pertenecen a la empresa. Las ACL extendidas verifican las direcciones origen y
destino de los paquetes. También pueden verificar protocolos, números de puerto y
otros parámetros específicos. Esto ofrece mayor flexibilidad para describir las
verificaciones que debe realizar la ACL.

Nota: Para el manejo de ACL's extendidas es necesario comprender muy bien el

funcionamiento de los puertos TCP y UDP, y toda la dinámica asociada a las
aplicaciones Cliente - Servidor.
 ACCESS-LIST

Creación de la ACL Estandard:

Router(config)#access-list num_ACL {deny | permit } fuente

[wildcard_fuente]

access-list Comando para asignar la ACL

num_ACL Número que identifica de manera única la ACL [1-99]
Modificador, permite o deniega los paquetes
{deny | permit }
provenientes de fuente
Dirección IP correspondiente al origen (puede ser un
fuente
host o una red)
[wildcard_fuente] Máscara de verificación (Wildcard)

Router(config-if)#{protocol} access-group num_ACL {in | out}

protocol Protocolo que se esta trabajando
access-
Comando para vincular la ACL con la interfaz
group
num_ACL Número que identifica de manera única la ACL [1-99]
Modificador, establece la ACL para el tráfico que ingresa o
{in | out}
sale de la interfaz

Creación de la ACL Extendida:

Router(config)#access-list num_ACL {deny | permit } proto [fuente]

[destino] oper port

access-
Comando para asignar la ACL
list
num_ACL Número que identifica de manera única la ACL [100-199]
{deny | Modificador, permite o deniega los paquetes de fuente a de
permit } destino
proto Protocolo del paquete. Puede ser IP, TCP, UDP, ICMP, IGRP
fuente Dirección IP correspondiente al origen junto con su wildcard
destino Dirección IP correspondiente al destino junto con su wildcard
oper lt (less than), gt (greater than), eq (equal), neq (non equal)
port Acrónimo o número del puerto que identifica el servicio
 ACCESS-LIST

Ejemplos:
Router(config)# access-list 101 deny tcp host 192.168.20.56 any eq www
Router(config)# access-list 101 permit udp 192.168.20.0 0.0.0.255 any eq 654
Router(config)# access-list 101 permit icmp any 216.239.39.147 0.0.0.0
!(Nota: cualquier otro acceso está implícitamente denegado)
Router(config)# access-list 101 deny ip any any

Router(config-if)#{protocol} access-group num_ACL {in | out}

protocol Protocolo que se esta trabajando

access-
Comando para vincular la ACL con la interfaz
group
num_ACL Número que identifica de manera única la ACL [1-99]
Modificador, establece la ACL para el tráfico que ingresa o
{in | out}
sale de la interfaz

Ejemplos: Router(config)# ip http access-class 4 in

Router(config-line)# ip access-class 4 in/out
Router(config-if)# ip access-group 1 in