Access Control Lists (ACLs)

Presentación del tema: "Access Control Lists (ACLs)"— Transcripción de la presentación:

1

2 Access Control Lists (ACLs)
CCNA 2 v3.0

3 Conceptos Básicos de ACL

4 Configuración de Laboratorio: Topología y Scripts
La Topología mostrada abajo es usada en esta presentación. RTA es un 2514; RTB, RTC, e ISP son 2501’s Todos los routers están corriendo imágenes IOS C2500-JS-L, Ver. 12.2(13b) E0’s y S0’s tienen la 1a dirección IP; E1 y S1’s, tienen la 2a S0’s son los DCE de los enlaces ! !COPY THE CONFIGS DIRECTLY INTO ROUTER ! !RTA(2514): C2500-JS-L, Ver. 12.2(13b) enable config t hostname RTA enable secret class no ip domain-lookup ip host RTC ip host RTB ip host ISP !--DHCP CONFIGURATION FOR RTA'S LAN ip dhcp excluded-address ip dhcp pool RTA_LAN network default-router interface Ethernet0 ip address no shutdown interface Ethernet1 ip address interface Serial0 ip address clockrate 56000 interface Serial1 ip address router rip network network network line con 0 exec-timeout 0 0 password cisco logging synchronous login line aux 0 line vty 0 4 line vty 5 6 end copy run start !RTB(2501): C2500-JS-L, Ver. 12.2(13b) hostname RTB ip host RTC ip host RTA ip dhcp excluded-address ip dhcp pool RTB_LAN network default-router ip address ip address ip address network network !RTC(2501): C2500-JS-L, Ver. 12.2(13b) hostname RTC ip host RTB ip host RTA ip dhcp excluded-address ip dhcp pool RTC_LAN network default-router ip address ip address ip address network !ISP(2501): C2500-JS-L, Ver. 12.2(13b) hostname ISP ip host RTA interface Loopback0 description Simulated Web Server ip address ip address ip route

5 Conceptos Básicos de ACL
ACLs pueden ser configuradas en un router pare permitir o negar un paquete basado en una lista de condiciones. Esta lista de condiciones es leída secuencialmente, de arriba hacia abajo, por el router hasta que una coincidencia suceda. La última condición es siempre una negación implícita “deny any” Usted puede permitir o negar paquetes basados en algo como: Dirección Origen Dirección Destino Puertos TCP & UDP La operación default de un router es reenviar todos los paquetes tan lejos como exista una ruta para el paquete y el enlacé esté activo. Las ACLs pueden ser usadas para implementar un nivel de seguridad básico. Sin embargo, no son la única solución de seguridad que una organización grande desearía implementar. De hecho, las ACLs incrementan la latencia de los routers. Así si la organización es muy grande con routers administrando el tráfico de cientos o miles de usuarios, más que eso probablemente utilizará una combinación de otras implementaciones de seguridad tales como un firewall Cisco PIX y servicios de autenticación. Para determinar si un paquete es permitido o negado, este es probado contra las sentencias de la ACL en orden secuencial. Cuando una sentencia “coincide”, no más sentencias son evaluadas. El paquete es permitido o negado. Hay una sentencia de negación implícita “deny any” al final de la ACL. Si un paquete no coincide con ninguna sentencia en la ACL, éste es tirado. Las ACLs son creadas en tiempo real. Esto significa que no puede regresar y actualizar una ACL. Esta deberá ser completamente re-escrita. Es buena idea el uso de un editor de texto para escribir una ACL en lugar de configurarla directamente en el router. De este modo, cambios y correcciones pueden ser hechos antes de que “Pegue en el Host” en HyperTerminal.

6 Cómo usa un Router una ACL (salida)
Verifica para ver si el paquete es ruteable. Si es así, busca una ruta en la tabla de enrutamiento. Verifica si hay una ACL de salida para la interface Si no hay ACL, conmuta el paquete a la interface destino para su salida Si existe una ACL, verifica el paquete contra las sentencias de la ACL en forma secuencial– negando o permitiendo basado en una condición coincidente. Si ninguna sentencia coincide, ¿qué sucede? Las ACLs pueden ser escritas para todos los protocolos enrutados. Por ejemplo: IP, IPX y AppleTalk. ¡Regla Importante! Una ACL, por interface, por dirección, por protocolo.

7 Cómo usa un Router una ACL (entrada)
Si una ACL es configurada para filtrar tráfico de entrada, la búsqueda en la tabla de enrutamiento es realizada solo si el paquete es permitido.

8 Procesando una ACL de Entrada y Salida

9 Reglas Básicas para una ACL
Una ACL por protocolo, por interface, por dirección. Escriba sus ACL’s cuidadosamente, ya que tiene que incluir todo el tráfico que deberá ser filtrado de entrada o salida en una simple ACL! ACL’s Estándar deberán ser aplicadas más cerca del destino. ACL’s Extendidas deberán ser aplicadas más cerca del origen. Las sentencias son procesadas secuencialmente hasta que una coincidencia es encontrada, si ninguna coincidencia es encontrada entonces el paquete es negado (“deny any” implícito). Hosts específicos deberán ser filtrados primero, y grupos o filtros en general deberán ir al último.

10 Reglas Básicas para una ACL
Nunca trabaje con una lista de acceso que esté activamente aplicada. Use un editor de texto primero. Líneas nuevas siempre son agregadas al final de la lista de acceso. No es posible seleccionar dónde agregar y remover líneas. Una lista de acceso de IP envía un mensaje ICMP de host inalcanzable al que envía sobre el paquete rechazado. Filtros de salida no afectan al tráfico originado por el router local.

11 Configurando ACLs Estándar

12 Dos Tipos de IP ACLs ACLs Estándar ACLs Extendidas
Filtra el tráfico basado en la dirección origen solamente ACLs Extendidas Pueden filtrar tráfico basado en: Dirección Origen Dirección Destino Puertos TCP y UDP

13 Creando ACLs: Dos Tareas Básicas
Escriba las sentencias de la ACL en forma secuencial en modo de configuración global. Aplique la ACL a una o más interfaces en el modo de configuración de interface Paso 1: Las sentencias de ACL Estándar y Extenedida no pueden ser editadas una vez que se configuraron en el router. Por lo tanto, cuando escriba ACLs con múltiples sentencias y una política compleja de implementación, se sugiere que escriba la ACL en un notepad. Cuando la ACL esté lista, cópiela y péguela en el router. Una ACL puede tener una o más sentencias, pero todas las sentencias comparte el mismo número de ACL o nombre (cubriremos las ACLs nombradas posteriormente en la presentación). Paso 2: Ningún tráfico será filtrado por las condiciones de una ACL hasta que sea aplicada a una interface. La verificación de la configuración de la ACL y la ubicación pueden ser realizados con el uso de tres comandos: show [ip] access-list [number|name] show ip interface show running-config

14 Sintaxis para Escribir una ACL Estándar
router(config)#access-list access-list-number {permit|deny} source-prefix source-wildcard El argumento access-list-number especifica el tipo de ACL. El argumento {permit|deny} especifica la acción a tomar sobre un paquete El argumento source-prefix especifica la red, subred, rango de host, o simple dirección de host. El argumento source-wildcard especifica qué bits son “verificados” y qué bits son “ignorados” en el prefijo-origen (source-prefix). Dado que no hay especificación para que la ACL sea para IP, IPX, AppleTalk u otros protocolos enrutados, el “access-list-number” especifica el protocolo enrutado. Veremos después que, con ACLs nombradas, usted tiene que especificar “ip” en el inicio de la sentencia. El “access-list-number” es también usado por el router para tener múltiples ACLs configuradas en e l mismo router. Cuando un router lee en una sentencia ACL, si primero verifica por una coincidencia con el “source-prefix” y “source-wildcard”. Si hay una coincidencia, entonces el router ejectua el filtro especificado – “permit o deny”

15 El argumento access-list-number
router(config)#access-list access-list-number {permit|deny} source-prefix source-wildcard El access-list-number especifica qué protocolo se filtrará y si es una ACL estándar o extendida. Este argumento puede ser reemplazado con el argumento nombre. ACLs Nombradas serán vistas después. ACLs pueden ser escritas para muchas situaciones diferentes. En la tabla, las entradas resaltadas en color rojo son enfatizadas en el currículum. Nos concentraremos solamente en ACLs estándar y extendidas en esta presentación. Note que el IOS ahora incluye un rango expandido para ACLs estándar y extendidas.

16 El argumento {permit|deny}
router(config)#access-list access-list-number {permit|deny} source-prefix source-wildcard Después que haya escrito access-list y seleccionado el número correcto de la lista de acceso, escriba permit o deny dependiendo de la acción que desea tomar. La acción de permitir o negar son referidas como “filtrado” (“filtering”) Cuando se escribe una ACL, es importante recordar que el IOS lee las sentencias SECUENCIALMENTE. Una vez que una coincidencia es realizada (si se “permite” o “niega”), el paquete sale de la ACL y la acción es tomada. Por ejemplo, si la primera sentencia fue “permit any” permite cualquier tráfico, entonces la ACL no afectaría excepto para alentar el tráfico para el router leer la primera sentencia de la ACL. Por el contrario, si la primera sentencia fue “deny any” negar cualquier tráfico, entonces ningún tráfico será permitido.

17 El argumento source-prefix
router(config)#access-list access-list-number {permit|deny} source-prefix source-wildcard El argumento source-prefix puede ser una dirección de subred, un rango de direcciones, o una simple dirección de host. Aquí, el término “prefix” es usado en lugar de “address”. El término “address” puede ser engañoso. Al decir “prefix”, estamos diciendo que los bits principales son los que el router necesita observar. Para una subred, el número de bits en el “prefix” son los mismos que el número de bits prendidos en la máscara de subred. Por ejemplo, el host /27 pertenece a ala subre Sabemos esto porque los primeros 27 bits en la dirección de host son la porción de red o prefijo de la dirección. Si queremos filstrar un simple host, entonces los 32 bits están en el argumento “source-prefix”.

18 Ejemplo de source-prefix
En nuestro ejemplo, queremos permitir a todos los hosts en las tres redes LAN el acceso a Internet. Por lo tanto tenemos escritas tres sentencias, una para cada subred. El argumento source-prefix en este caso es cada dirección de subred de las LAN’s El argumento “source-prefix” puede ser cualquier dirección en el rango que deseamos filtrar. Sin embargo, si no ingresamos la primera dirección en el rango, el router la cambiará para ser la primera dirección. Esto puede ser verificado escribiendo el comando “show access-list” o “show run”. El router conoce la primera dirección en un rango buscando en el argumento “source-wildcard”.

19 El argumento source_wildcard
router(config)#access-list access-list-number {permit|deny} source-prefix source-wildcard El argumento source-wildcard especifica cuáles bits deberán ser verificados en el prefijo-origen (source-prefix). Comúnmente llamada “wildcard mask”, es un número de 32-bit representado en formato decimal-punteado. Un “0” significa “verifica” esta posición de bit. Un “1” significa “ignora” esta posición de bit. Entendiendo el rol del argumento “source-wildcard” en una ACL es un concepto retador para su comprensión. Similar a la dificultad e importancia de subredes a direccionamiento IP, entender “wildcard masks” es un concepto principal para todas las implementaciones de listas de control de acceso, si están en un router Cisco u otro dispositivo de seguridad. Por ejemplo, las máscaras wildcard son también comunes en servidores UNIX para controlar el acceso. La metodología es la misma.

20 Explicación de la “Wildcard Mask”
La “máscara wildcard” (“Wildcard Mask”) no tiene relación funcional con la máscara de subred. Sin embargo, en muchos casos la máscara de subred puede ser usada para derivar la máscara wildcard. Por ejemplo, usted quiere filtrar tráfico de todos los hosts en la subred /24. La máscara de subred es Para encontrar la máscara wildcard, tome lo inverso de la máscara de subred. La máscara wildcard es Otra forma que ayuda a los estudiantes a encontrar la máscara wildcard para una subred entera o dirección de red es restar la máscara de subre a : =

21 Ejemplo de source-wildcard
En este ejemplo, usaremos todos los “1’s” en el último octeto de la máscara wildcard para cada prefijo-origen. La máscara de subred para cada LAN tiene todos los “0’s” en el último octeto. Un “1” significa ignorar esta posición de bit en la dirección IP origen del paquete. Para filtrar una red o subred completa, simplemente use la máscara de subred inversa como el argumento de “source-wildcard”

22 La “Máscara Wildcard” a Nivel de Bit
El router lee la dirección IP origen de un paquete. Para cada posición de bit, el router verifica la máscara wildcard. Si hay un “0”, el router compara el valor del bit de la dirección IP Origen contra el valor del bit del Prefijo Origen para una “Coincidencia”. Si hay un “1”, el router ignora aquella posición de bit. Antes de que el router ejecute la condición de la sentencia (permit o deny), todas las posiciones de bit que forman con un “0” en la wildcard deberán coincidir. Si cualquier posición no coincide, el router entonces lo mueve a la siguiente sentencia en la ACL. Si no hay sentencias adicionales, el paquete es negado.

23 La Última Sentencia de la ACL: “Deny Any”
La última sentencia en todas las ACLs es un “deny any” implícito. Si un paquete no coincide con ninguna sentencia en la ACL, éste es negado. Aunque no tenga que configurar una sentencia “deny any”, esto puede ser recomandable por dos razones: Documentación de la última sentencia Contar el número de paquetes que son negados Contando el número de paquetes negados, usted puede monitorear el tráfico que intenta acceder a áreas sensibles de su red. También, puede necesitar ajustar su configuración de ACL para permitir ciertos tipos de tráfico como mensajes ICMP. Tales políticas requerirían las capacidades de ACLs extendidas –un tema que será cubierto posteriormente.

24 Aplicar la ACL Una ACL no puede filtrar tráfico hasta que haya sido aplicada a una interface. Esta es una característica de seguridad del IOS. Usted puede escribir las sentencias de la ACL de forma segura sin que las sentencias afecten inmediatamente en el tráfico. La sintaxis del comando es la misma para las ACL de IP Estándar y Extendidas. Aunque pueda escribir ACLs en forma segura directamente en el router mientras no haya sido aplicada a una interface, se recomienda que escriba completamente la ACL en un notepad primero, así fácilmente puede editar las sentencias. Después pegue el contenido en el router.

25 Sintaxis para Aplicar ACLs de IP
router(config-if)#ip access-group {access-list-number|name} {in|out} Las ACLs son aplicadas a una interface El argumento access-list-number se refiere a la ACL escrita en configuración global. Use el argumento name para aplicar una ACL nombrada. El argumento {in|out} especifica en qué dirección la ACL deberá ser aplicada. Especificar in significa “filtra paquetes de entrada”. Especificar out significa “filtra paquetes de salida”. El argumento “access-list-number” o “name” pueden ser usados, dependiendo de si la ACL es numerada o nombrada. Los estudiantes algunas veces tienen dificultad de entender los argumentos “in” y “out”. Usted puede tender en pensar en el envío de paquetes “en la red”. Este concepto deberá ser eliminado de su pensamiento. Piense usted mismo como si estuviese dentro del router, de hecho realizando permisos y negaciones de paquetes. ¿Cómo supone aplicar la ACL a paquetes que vienen como “in” en la interface? ¿O a paquetes que dejan “out” la interface? Nota: En versiones de software anteriores, “out” era el argumento default cuando una parámetro “out” o “in” no era especificado. La dirección deberá ser especificada en software releases posteriores.

26 No olvide la Parte ip del Comando!
Un error común es olvidar la porción ip del comando ip access-group. Recuerde: los routers son capaces de enrutar múltiples protocolos ruteables. Los estudiantes tienden a olvidar la parte “ip” de “ip access-group”. Después de todo, ¿el número de la ACL no le dice al router a cuál protocolo enrutado pertenece? Sin embargo, el IOS deberá conocer a cuál protocolo pertenece las ACLs nombradas. El comando “access-group” puede ser usado con todos los protocolos enrutados comunes, como se muestra en la gráfica.

27 Ubicación Incorrecta de una ACL Estándar
ACLs Estándar no tienen un argumento destino. Por lo tanto, ubique ACLs estándar tan cerca del destino como sea posible. Para ver el porqué, puede preguntarse a sí mismo ¿qué le pasaría a todo el tráfico de IP de la LAN de RTA si la ACL fuera aplicada como se muestra? Todo el tráfico desde la LAN hacia afuera de RTA se le negará el acceso en el e0 de RTA. Por lo tanto, los hosts en esta LAN solamente podrán comunicarse con ellso mismos. Ellos no podrán hacer ping a su default gateway u obtener acceso a servidores DHCP y DNS remotos.

28 Ubicación Correcta de una ACL Estándar
En nuestro ejemplo, nosotros queremos permitir a todas las LANs acceso a Internet. Por lo tanto, aplicaremos la ACL a la interface E1 de RTA y se especificará “out” como la dirección. Aquí, permitimos que todo el tráfico interior acceda a Internet vía el enlace al ISP de RTA. Note la máscara wildcard usada. El argumento “ ” filtrará todas las redes desde hasta Para observar cómo trabaja, abajo están listadas estas 8 redes en binario: | | | | | | | | | El límite de bit es definido en la posición de bit donde el patrón de bit empieza a cambiar. Arriba, podemos ver que los bits empiezan a cambiar en la posición de bit 6a. En el 3er. octeto. El prefijo origen es el valor decimal de todos los bits a la izquierda del límite de bit. La máscara wildcard origen apaga todos los bits de la izquierda del límite (verifica estos bits) y enciende todos los bits del límite derecho (ingora estos bits). Note que, aunque y no están configuradas en esta topología, la máscara wildcard “ ” filtrará también este tráfico si estas redes son agregadas en el futuro. Para negar estas redes específicas, sentencias adicionales tendrían que ser escritas y ubicadas ANTES de la sentencia permit.

29 Primordial el “Deny Any” Implícito
Recuerde: La última sentencia que el router aplicará es un implícito “deny any”. ¿Qué haría si usted quiere escribir una ACL que niegue específicos tipos de tráfico y permita todo lo demás? Ejemplo: Niegue las LANs de RTB y RTC para acceder a la LAN de RTA, pero permita todo el otro tráfico.

30 Escriba una Sentencia “permit any”
Primero, niegue tráfico de las dos LANs. Segundo, permita todo el otro tráfico. significa “cualquier dirección origen”. significa “ignora todas las posiciones de bit”. Tercero, aplique la ACL para filtar el tráfico de “salida” de E0. Recuerde: si la sentencia “permit ” no es usada, un deny any implícito negaría todo el tráfico. El efecto sería negar TODO el tráfico de salida en e0.

31 Sustituyendo 0.0.0.0 255.255.255.255 En lugar de escribir… Escriba…
permit Escriba… permit any

32 Filtrando Tráfico Desde un Simple Host
¿Qué haría si un usuario en particular está abusando de los privilegios de Internet? ¿Cómo negaría aquella dirección IP del host, sin embargo, permitiendo a todos los demás? Recuerde: Una máscara wildcard le dice al router qué bits verifique.

33 Escribiendo una Sentencia “host”
Ejemplo: Deny Source prefix es el origen de la dirección IP. La máscara Wildcard es “todos 0s”, significa que verifique cada posición de bit. ¿Porqué la sentencia deny es listada primero? Dado que un router lee las sentencias de la ACL secuencialmente, empieza con la primera sentencia, la sentencia “deny ” deberá ser listada antes de la sentencia “permit ”. Si no, el host sería permitido junto con todos los otros hosts en la misma LAN.

34 Sustituyendo la Wildcard de Host, 0.0.0.0
En lugar de escribir… deny Escriba… deny host Note que la palabra clave host viene antes del prefijo origen.

35 Configurando ACLs Extendidas

36 Resumen de ACL Extendidas
ACLs Extendidas controlan el tráfico comparando las direcciones origen y destino de los paquetes IP contra las direcciones configuradas en la ACL. Usted puede controlar también tráfico basado en: Protocolos IP de Capa 3 Números de puerto TCP y UDP de Capa 4

37 Sintaxis para Escribir una ACL Extendida
router(config)#access-list access-list-number {permit|deny} protocol source-prefix source-wildcard dest-prefix dest-wildcard [operator [port]] [established] El argumento access-list-number puede ser un número entre 100 y 199 El argumento protocol pueden ser varios como ip, tcp, icmp, y rip. Los argumentos destino tienen el mismo propósito que los argumentos origen. Opciones adicionales mostradas serán discutidas. Los argumentos mostrados en esta diapositiva no son detallados. Muchas opciones pueden ser configuradas, pero están detrás del alcance de nuestra discusión. El argumento “name”, que reemplazaría al argumento “access-list-number” no es mostrado, pero será discutido posteriormente. En Cisco IOS Software Release , ACLs extendidas empiezan a usar un rango de números expandido (2000 a 2699)

38 El argumento protocol El argumento protocol puede ser un número de opciones. Nos concentraremos en ip, tcp, udp e icmp.

39 Los Argumentos Destino
Los argumentos dest-prefix y dest-wildcard trabajan como los argumentos para el origen. ACLs Extendidas permiten filtrar basándose en la información de destino. Dado que la información destino es incluida, usted puede ubicar la ACL tan cerca del origen como sea posible.

40 La opción operator La opción operator puede ser usada cuando el argumento protocol es tcp o udp.

41 La opción puerto La opción puerto es usada cuando la opción operador es una de lo siguiente: eq (equal to); gt (greater than); lt (less than); neg (not equal to); or range Usted puede filtrar tráfico de cualquier puerto TCP o UDP escribiendo el número de puerto o su correspondiente nombre. Note en la gráfica que usamos el argumento “any” para ambos origen y destino.

42 La opción established Agregando la palabra clave established a la sentencia de la ACL, usted está solicitando que la sesión TCP o UDP deberá ser establecida. Por ejemplo, permitir a los hosts detrás de su firewall establecer conexiones con host externos. Host externos pueden enviar paquetes de regreso al origen solo si el origen inició la sesión.

43 Ubicación Correcta de las ACLs Extendidas
Dado que una ACL extendida tiene información destino, deberá ubicarla tan cerca del origen como sea posible. Esto reduce tráfico de red innecesario cuando un paquete será negado cuando alcance el destino. Ubicar una ACL extendida en la primera interface del router a la cual el paquete entre y especificarla como de entrada en el comando access-group.

44 Ejemplo de Ubicación de una ACL Extendida
Negar acceso de la LAN de RTA a la LAN de RTB. Podemos hacer esto con una ACL estándar, pero entonces la ACL tendría que ser ubicada en RTB. Una ACL estándar causaría que tráfico innecesario cruce un enlace WAN costoso. Note que el “permit IP any any” permite todo el otro tráfico en la interface.

45 ACLs Nombradas Una característica importante en las versiones de IOS 11.2 y posteriores es la habilidad de nombrar a las ACLs. Las ventajas incluyen: Nombres intuitivos que puedan posiblemente identificar el propósito de la ACL. ACLs no limitadas; las ACLs numeradas tienen un rango limitado. La habilidad de eliminar entradas sin tener que rescribir la ACL completa; nuevas líneas son agregadas al final de la lista, tal y como en las ACLs numeradas. Reduce la cantidad de escritura; no neceista escribir access-list y access-list-number para cada sentencia.

46 Sintaxis para Nombrar una ACL
Router(config)#ip access-list standard| extended} name El prompt del Router cambia a modo de configuración de ACL. Ahora puede simplemente empezar cada sentencia con el argumento permit o deny . Note en la gráfica que el “nombre” usado está en TODAS MAYÚSCULAS. Esto no es obligatorio, pero se sugiere. Configuraciones de router más complicadas y avanzadas tendrán muchos argumentos “name” para varios comandos (DHCP pools, NAT pools, routing maps, etc.). Usando TODAS MAYÚSCULAS cada vez que nombre algo, es más fácil reconocer el nombre cuando busque en las configuraciones, de tal modo que evita confusión con los comandos, que siempre están en minúsculas. Tambien, porque el “guión” o “diagonal” es regularmente usada en la sintaxis de comando, nosotros hemos usado un guión bajo (_) para representar un espacio.

47 Verificando las ACLs show access-lists
muestra todas las access-lists configuradas en el router show [protocol] access-lists {name|number} muestra la lista de acceso identificada show ip interface muestra las access-lists aplicadas a la interface—entrada y salida. show running-config muestra todas las listas de acceso y en cuáles interfaces están aplicadas

48 Agregando Comentarios a las ACLs
Router(config)#access-list access-list number remark remarks Router(config-std-nacl)#remark remarks Router(config-ext-nacl)#remark remarks El comando remark le permite hacer comentarios dentro de la configuración de la ACL para documentar la configuración activa. Los comentarios son desplegados cuando escriba el comando show run. Sin embargo, no verá los comentarios mostrados con el comando show access-list.

49 Ejemplo del Uso del Comando remark

50