LISTAS DE CONTROL DE ACCESO ACL Semestre 2 Capítulo 11 Carlos Bran cbran@udb.edu.sv

Contenido Aspectos fundamentales de una lista de control de acceso Tipos de ACLs Configuración de ACLs

Que son las ACL? Las ACLs son condiciones que se aplican al trafico que viaja a través de las interfaces del router. Las ACLs permiten la administración del trafico y aseguran el acceso hacia y desde una red. Se pueden crear ACLs para todos los posibles protocolos enrutados y aplicar esta para el trafico entrante y el trafico saliente. Por lo que cada interfaz acepta 2 ACLs por cada protocolo enrutado una para la entrada y otra para la salida.

Razones para crear ACLs Limitar el tráfico de red y mejorar el rendimiento de la red. Brindar control de flujo de tráfico, para preservar el ancho de banda. Proporcionar un nivel básico de seguridad para el acceso a la red. Decidir qué tipos de tráfico se envían o bloquean en las interfaces del router. Permitir que se enrute el tráfico de correo electrónico, pero bloquear todo el tráfico de telnet. Permitir que un administrador controle a cuáles áreas de la red puede acceder un cliente. Analizar ciertos hosts para permitir o denegar acceso a partes de una red. Otorgar o denegar permiso a los usuarios.

Funcionamiento de las ACLs Las ACLs se aplican en el mismo orden que fueron configuradas

Creación de las ACLs

Función de la mascara wildcard Las opciones ANY y HOST Una mascara wildcard es una cantidad de 32 bits que se divide en 4 octetos y se usa para definir que bits de la dirección de red del trafico entrante o saliente se deben comparar con el valor de comparación. Si el valor de cualquier bits del wildcard es cero lógico; el bits correspondiente del valor de comparación y de la dirección de red del trafico se deben de comparar, por el contrario si es uno lógico este bits se ignorara. No hay coincidencia Ignorar Comparación exitosa Aplicar la condición Comparación no exitosa Buscar la siguiente ACL

Verificación de las ACLs

ACL estándar Valores de código para mensajes de destino inalcanzable Las ACLs estándar solo verifican la dirección origen de los paquetes IP para permitir o rechazar el acceso a todo el conjunto de aplicaciones soportados por el protocolo. Los rangos de números que identifican a las ACLs estándar van desde 1 a 99 y para los IOS 12.1 o superiores del 1300 a 1999. Debido a que estas ACLs filtran basado en la dirección origen, en la mayoría de los casos funcionan mejor al colocarlas mas cerca del destino del trafico.

La sentencia es mas larga y por lo tanto mas engorrosa. ACL extendidas Las ACLs extendidas verifican las direcciones de origen y destino además de los protocolos y números de puerto de la aplicación a filtrar. Estas ACLs soportan además operadores lógicos para lograr ajustar de forma mas precisa los filtros que se desean configurar. Debido a que ofrecen mayor control se utilizan mas frecuentemente que las ACLs estándar. La sentencia es mas larga y por lo tanto mas engorrosa. eq: igual, gt: mayor que, lt: menor que y neq: no igual Protocolo de capa 4 o 3 Operador

ACL nombradas Fueron introducidas a partir del IOS version 11.2, para permitir que las ACLs tuvieran nombres en lugar de números. Identifican intuitivamente el filtro usando nombres. No tienen limitaciones de cantidad de ACLs que pueden crearse. Presentan mayores facilidades de modificación que las ACLs numeradas. En modo de configuración global

Ubicación de las ACLs La regla común es ubicar las lista de control de acceso extendidas mas cerca del origen del trafico; por otro lado las estandar al filtrar basado en la dirección origen debe ubicarse preferentemente mas cerca del destino. Destino del trafico Origen del trafico

Firewalls Un firewalls es una estructura arquitectónica lógica que existe entre el usuario y el mundo exterior, con el propósito de proteger la red interna de los intrusos. En esta arquitectura el router conectado a Internet o router exterior obliga a que todo el trafico entrante pase por el gateway de aplicación. El router interior acepta entonces solo los paquetes que vienen del gateway, generando con el firewalls un aislamiento de la red interna. Las ACLs se usan en los firewalls para crear el modelo de seguridad de la red interna.

Como restringir el acceso VTY hacia el router Las ACLs están diseñadas para aplicarse a paquetes que viajan a través del router y no para los paquetes que tienen su origen o destino en el router mismo. Por tanto si el propósito es permitir o bloquear el trafico que se origina por las sesiones de telnet, es necesario aplicar la lista a los puertos lógicos donde residen las sesiones. Las restricciones para sesiones telnet solo pueden aplicarse con ACLs numeradas.