Lab 6: ACLs (Access Lists) con IOS José Mª Barceló Ordinas

1. ACLs (Access Lists)
Las listas de acceso (ACL) se usan para el filtrado de paquetes en función de ciertos parámetros como pueden ser las direcciones de red origen o destino, los puertos origen o destino, el tipo de protocolo (ip, icmp, tcp, udp, etc). Una de las aplicaciones donde se usan más las listas de acceso es en la seguridad de la red. Con las ACLs se puede bloquear el tráfico no deseado en una interfaz ya sea de salida o de entrada. Sin embargo notad que las ACLs no solo se usan en temas de seguridad, sino que también se usan para filtrar en general paquetes en aplicaciones tan variadas como pueden ser NAT (Network Address Translation), en BGP para filtrar rutas al …ver más…

Eso significa que tenemos que comprobar todos los paquetes cuyos primeros 24 bits coincidan con los de la dirección de red. Luego la wildcard mask debería ser 0.0.0.255.

1.2. ACLs estándar
Las ACLs estándar solo usan las direcciones origen para hacer la comprobación. Las listas de acceso estándar tienen números (acl#) comprendidos entre el 1 y el 99. El comando tiene el siguiente formato: access-list acl# {deny|permit} {@IPsource WildcardMask | host @IPsource | any} ip access-group acl# {in |out}

El primer commando, access-list, crea la lista de acceso con número acl# y con condición deniego o permito sobre la dirección IP origen especificada con la correspondiente wildcard mask. Recordad que la última línea de una ACL nunca aparece pero siempre es “access-list acl# deny any”. El segundo comando, access-group, asigna la lista de acceso acl# sobre el protocolo IP sobre la interfaz de entrada o de salida donde se ejecuta dicho comando. Ejemplo: Queremos denegar en la interfaz s0 de salida cualquier paquete IP que provenga de la red 10.1.1.0/24.
Direcciones internas 10.1.1.0/24 e0 e1 10.1.2.0/24 R s0 Direcciones externas 198.3.4.0/24

R# configure terminal R(config)# access-list 1 deny 10.1.1.0 0.0.0.255 R(config)# access-list 1 permit any R(config)# interface s0 R(config-if)# ip access-group 1 out R(config-if)# exit R# show access-lists Primero creamos la lista de acceso con número