Documente Academic
Documente Profesional
Documente Cultură
Cada instruccin permite o rechaza trfico, usando uno o ms de los siguientes criterios: el origen del trfico; el destino del trfico; el protocolo usado. El router analiza cada paquete, comparndolo con la ACL correspondiente.
El router compara la ACL lnea por lnea. Si encuentra una coincidencia, toma la accin correspondiente (aceptar o rechazar), y ya no revisa los restantes renglones. Es por eso que hay que listar los comandos desde los casos ms especficos, hasta los ms generales. Las excepciones tienen que estar antes de la regla general!
Si no encuentra una coincidencia en ninguno de los renglones, rechaza automticamente el trfico. Consideren que hay un "deny any" implcito, al final de cada ACL. Cualquier lnea agregada a una ACL se agrega al final. Para cualquier otro tipo de modificacin, se tiene que borrar toda la lista y escribirla de nuevo. Se recomienda copiar al Bloc de Notas y editar all.
Las ACL estndar (1-99) slo permiten controlar en base a la direccin de origen. Las ACL extendidas (100-199) permiten controlar el trfico en base a la direccin de origen; la direccin de destino; y el protocolo utilizado.
Wildcards
Tanto en la direccin de origen, como (en el caso de las ACL extendidas) en la direccin de destino, se especifican las direcciones como dos grupos de nmeros: un nmero IP, y una mscara wildcard. Si se traduce a binario, los "1" en la mscara wildcard significan que en la direccin IP correspondiente puede ir cualquier valor. Para permitir o denegar una red o subred, la mscara wildcard es igual a la mscara de subred, cambiando los "0" por "1" y los "1" por "0" (en binario). Sin embargo, las mscaras wildcard tambin permiten ms; por ejemplo, se pueden denegar todas las mquinas con nmeros IP impares, o permitir el rango de IP 1-31, en varias subredes a la vez. Ejemplos: Permitir o denegar un IP especfico: 172.16.0.1 0.0.0.0. Se puede abreviar como host 172.16.0.1. Permitir o denegar una subred: 172.16.0.0 0.0.0.255. (El ejemplo corresponde a una subred /24, es decir, mscara de subred = 255.255.255.0.) Permitir o denegar a todos: 0.0.0.0 255.255.255.255. Se puede abreviar como any.
El tema "in" vs. "out" suele causar confusiones, por eso es conveniente la siguiente explicacin.
La direccin in o out (entrada o salida) se refiere al router que estn configurando en ese momento. Por ejemplo, con la siguiente configuracin de routers (A, B, C son routers; X, Y son hosts (o redes)):
X ------ A ------ B ------ C ------- Y Se puede controlar el trfico de X a Y en el router A, B o C.
Por ejemplo, el en router A, se puede controlar el trfico entrante (in), en la interface que est a su izquierda. En el mismo router, tambin es posible controlar el trfico saliente (out), en la interface que est a su derecha. De la misma manera, se puede controlar el trfico en el router B: entrante, a la izquierda; o saliente, por la derecha; o de igual manera en el router C.
(Lo ms recomendable en este caso es usar una lista extendida, en el router A, y aplicarla a la interface a su izquieda, direccin "in" entrante.)
ACL extendidas
ACL estndar Sintaxis para un rengln (se escribe en el modo de configuracin global):
ACL extendidas
Sintaxis para cada rengln: access-list (nmero) (deny | permit) (protocolo) (IP origen) (wildcard origen) (IP destino) (wildcard destino) [(operador) (operando)]
El "protocolo" puede ser (entre otros) IP (todo trfico de tipo TCP/IP), TCP, UDP, ICMP.
El "operando" puede ser un nmero de puerto (por ejemplo 21), o una sigla conocida, por ejemplo, "ftp". Ejemplo 1: Repetir el ejemplo de la ACL estndar, pero se especifica que se quiere permitir o denegar el trfico con destino al servidor, que est en 172.16.0.1:
access-list 101 permit ip host 172.17.3.10 host 172.16.0.1 access-list 101 deny ip 172.17.3.0 0.0.0.255 host 172.16.0.1 access-list 101 permit ip any any
Ejemplo 2: Permitir trfico HTTP y "ping" (ICMP) al servidor 172.16.0.1, para todos. Denegar todo lo dems. access-list 102 permit icmp any host 172.16.0.1 access-list 102 permit tcp any host 172.16.0.1 eq www
Sintaxis