|
Alumno: Jesus Yair Gregório
Rodriguez Lira
|
Fecha:
09 / 12 / 2018
|
|
Carrera: Tecnologias De La Información Área
Desarrollo de Software Multiplataforma.
|
Grupo: TIDSM 21
|
|
Asignatura: Interconexión de Redes
|
Unidad
temática: VIII
|
|
Profesor:
MCE. Héctor Hugo Domínguez Jaime
|
|
|
|
Título: Proceso de desarrollo de ACL
I.-
Introducción
En este reporte veremos y
comprenderemos como desarrollar los procesos para el desarrollo de las ACL, el
dominio las ACL para un administrador de redes es sumamente importante ya que
es el dominio de las listas de control ya que tener conocimiento de este es
sumamente importante si te quieres dedicar a ser un administrador de redes.
II.
Objetivos:
El alumno deberá entender el proceso
de desarrollo de las ACL y comprender el
procedimiento de las listas de acceso estándares.
III.- Desarrollo:
En un
router Cisco, puede
configurar un firewall simple que proporcione capacidades básicas de filtrado
de tráfico mediante ACL. Los
administradores utilizan las ACL para detener el tráfico o para permitir
solamente tráfico específico en sus redes.
Una ACL es una serie de comandos del IOS que controlan si un router
reenvía o descarta paquetes según la información que se encuentra en el
encabezado del paquete. Las ACL son una de las características del
software IOS de Cisco más utilizadas.
TAREAS DE LAS ACL:
1-.Limitan el
tráfico de la red para aumentar su rendimiento. Por
ejemplo, si la política corporativa no permite el tráfico de video en la red,
se pueden configurar y aplicar ACL que bloqueen el tráfico de video.
2-.Proporcionan control del flujo de tráfico. Las ACL pueden
restringir la entrega de actualizaciones de routing para asegurar que las
actualizaciones provienen de un origen conocido.
3-.Filtran el tráfico según el tipo de tráfico. Por ejemplo,
una ACL puede permitir el tráfico de correo electrónico, pero bloquear todo el
tráfico de Telnet.
4-.Filtran a los hosts para permitirles o denegarles el acceso a
los servicios de red. Las ACL pueden permitirles o denegarles a los usuarios el
acceso a determinados tipos de archivos, como FTP o HTTP.
FILTRADO
DE PAQUETES
Una ACL
es una lista secuencial de instrucciones permit (permitir) o deny (denegar),
conocidas como “entradas
de control de acceso”
(ACE). Las ACE también se denominan comúnmente “instrucciones de ACL”. Cuando
el tráfico de la red atraviesa una interfaz configurada con una ACL, el router
compara la
información dentro del paquete con cada ACE, en orden secuencial, para
determinar si el paquete coincide con una de las ACE. Este proceso se
denomina filtrado
de paquetes.
Las ACL estándar filtran
sólo en la Capa 3. Las ACL extendidas filtran en las capas 3 y 4.
El criterio de filtrado
establecido en cada ACE de una ACL de IPv4 estándar es la dirección IPv4 de
origen. Un router configurado con una ACL de IPv4 estándar recupera la
dirección IPv4 de origen del encabezado del paquete. El router comienza en la
parte superior de la ACL y compara la dirección con cada ACE de manera
secuencial. Cuando encuentra una coincidencia, el router realiza la
instrucción, que puede ser permitir o denegar el paquete. Una vez que se halla
una coincidencia, las ACE restantes de la ACL, si las hubiera, no se analizan.
Si la dirección IPv4 de origen no coincide con ninguna ACE en la ACL, se
descarta el paquete.
La última instrucción de una ACL es siempre una denegación
implícita. Esta sentencia se inserta automáticamente al final de cada ACL,
aunque no esté presente físicamente. La denegación implícita bloquea todo el
tráfico. Debido a esta denegación implícita, una ACL que no tiene, por lo
menos, una instrucción permit bloqueará todo el tráfico.
FUNCIONAMIENTO DE LAS ACL
Las Listas de Control de
Acceso definen el conjunto de reglas que proporcionan un control adicional para
los paquetes que ingresan por las interfaces de entrada, para los que
retransmiten a través del router y para los que salen por las interfaces de
salida del router. Las ACL no operan sobre paquetes que se originan en el
router mismo.
§
ACL de entrada: los paquetes entrantes se procesan antes de enrutarse a la
interfaz de salida. Las ACL de entrada son eficaces, porque ahorran la
sobrecarga de enrutar búsquedas si el paquete se descarta. Si las ACL permiten
el paquete, este se procesa para el routing. Las ACL de entrada son ideales
para filtrar los paquetes cuando la red conectada a una interfaz de entrada es
el único origen de los paquetes que se deben examinar.
§
ACL de salida: los paquetes entrantes se enrutan a la interfaz de salida
y después se procesan mediante la ACL de salida. Las ACL de salida son ideales
cuando se aplica el mismo filtro a los paquetes que provienen de varias
interfaces de entrada antes de salir por la misma interfaz de salida.
MÁSCARAS
WILDCARD EN ACL
Las ACE de IPv4 incluyen el uso de máscaras wildcard. Una máscara
wildcard es una cadena de 32 dígitos binarios que el router utiliza para
determinar qué bits de la dirección debe examinar para obtener una coincidencia.
Como ocurre con las
máscaras de subred, los números 1 y 0 en la máscara wildcard identifican lo que
hay que hacer con los bits de dirección IPv4 correspondientes
REGLAS PARA APLICAR LAS ACL
Se puede configurar una ACL por
protocolo, por sentido y por interfaz: Una ACL por protocolo: para
controlar el flujo de tráfico en una interfaz, se debe definir una ACL para
cada protocolo habilitado en la interfaz. (p. ej., IPv4 o IPv6)
Una ACL por sentido: Las ACL
controlan el tráfico en una interfaz de a un sentido por vez. Se deben crear
dos ACL diferentes para controlar el tráfico entrante y saliente. (es
decir, de entrada o de salida)
Una ACL por interfaz: las ACL
controlan el tráfico para una interfaz, por ejemplo, GigabitEthernet 0/0.
DÓNDE UBICAR LAS ACL
Cada ACL se debe colocar
donde tenga más impacto en la eficiencia. Como se muestra en la Imagen 12, las
reglas básicas son las siguientes:
§
ACL extendidas: coloque las ACL extendidas lo más cerca posible del origen
del tráfico que se filtrará. De esta manera, el tráfico no deseado se deniega
cerca de la red de origen, sin que cruce la infraestructura de red.
§
ACL estándar: debido a que en las ACL estándar no se especifican las
direcciones de destino, colóquelas tan cerca del destino como sea posible. Si
coloca una ACL estándar en el origen del tráfico, evitará de forma eficaz que
ese tráfico llegue a cualquier otra red a través de la interfaz a la que se
aplica la ACL.
Nota: Aunque las ACL extendidas están
fuera del ámbito del examen de ICND1/CCENT, debe conocer las pautas generales
para colocar tanto la ACL estándar como la extendida.
Ubicación de las ACL
De acuerdo con las
pautas básicas de colocación de ACL estándar cerca del destino, en la
ilustración se muestran dos interfaces posibles del R3 a las que aplicar la ACL
estándar:
§
Interfaz S0/0/1 del R3: la aplicación de una ACL estándar
para impedir que el tráfico de 192.168.10.0/24 ingrese a la interfaz S0/0/1
evita que dicho tráfico llegue a 192.168.30.0/24 y al resto de las redes a las
que puede llegar el R3. Esto incluye la red 192.168.31.0/24. Dado que el
objetivo de la ACL es filtrar el tráfico destinado solo a 192.168.30.0/24, no
se debe aplicar una ACL estándar a esta interfaz.
§
Interfaz G0/0 del R3: al aplicar una ACL estándar al
tráfico que sale por la interfaz G0/0, se filtran los paquetes que van de
192.168.10.0/24 a 192.168.30.0/24. Esto no afecta a las otras redes a las que
puede llegar el R3. Los paquetes de 192.168.10.0/24 aún pueden llegar a
192.168.31.0/24.
El proceso de creación de una ACL se lleva a cabo
creando la lista y posteriormente asociándola a una interfaz entrante o
saliente.
Configuración de ACL estándar
Router(config)#access-list[1-99][permit|deny][dirección
de origen][mascara comodín]
§ Donde:
§ 1-99 Identifica
el rango y la lista.
§ Permit|deny indica
si esta entrada permitirá o bloqueará el tráfico a partir de la dirección
especificada.
§ Dirección de
origen identifica la dirección IP de origen.
§ Mascara comodín
o wildcard identifica los bits del campo de la dirección
que serán comprobados.
§ La mascara
predeterminada es 0.0.0.0 (coincidencia de todos los bits).
Asociación de la lista a una interfaz
§ Router(config-if)#ip
access-group[nº de lista de acceso][in|out]
§ Donde:
§ Número de lista
de acceso indica el número de lista de acceso que será
aplicada a esa interfaz.
§ In|out selecciona
si la lista de acceso se aplicará como filtro de entrada o de salida.
Ejemplo de una ACL estándar denegando una red:
§ Router#configure
terminal
Router(config)#access-list 10 deny 192.168.1.0 0.0.0.0
Router(config)#access-list 10 permit any
Router(config)#interface serial 0
Router(config-if)#ip access-group 10 in
§ Se ha
denegado al host 192.168.1.0 y luego se ha permitido a cualquier origen,
Posteriormente se asocio la ACL a la interfaz Serial 0.
Configuración de ACL extendida
§ El proceso de
configuración de una ACL IP extendida es el siguiente:
§ Router(config)#access-list[100-199][permit|deny][protocol][dirección
de origen][mascara comodín][dirección de destino][mascara de
destino][puerto][establisehed][log]
100-199 identifica el rango y número de lista
Permit|deny: indica si la entrada permitirá o bloqueara
la dirección especificada.
Protocolo: como por ejemplo IP, TCP, UDP, ICMP
§ Dirección
origen y destino: identifican direcciones IP de origen y destino.
§ Mascara
wildcard origen y mascara destino: Son las mascaras comodín.
Las 0 indican las posiciones que deben coincidir, y los 1 las “que no
importan”.
§ Puerto:(opcional)
puede ser por ejemplo: lt (menor que), gt (mayor que), eq (igual a), o neq
(distinto que) y un número de puerto de protocolo correspondiente.
§ Establisehed: (opcional) Se
usa solo para TCP de entrada. Esto permite que él rafico TCP pase si el paquete
utiliza una conexión ya establecida (por ejemplo posee un conjunto de bits ACK)
§ Log: (opcional)
Envía un mensaje de registro a la consola a un servidor syslog determinado.
§ Algunos de
los números de puertos más conocidos:
§ 20 Datos del
protocolo FTP
21 FTP
23 Telnet
25 SMTP
69 TFTP
53 DNS
§
§ Asociación de
la lista a una interfaz
§ Router(config-if)#ip
access-group[nº de lista de acceso][in|out]
§ Donde:
§ Número de lista
de acceso indica el número de lista de acceso que será
aplicada a esa interfaz.
§ In|out selecciona
si la lista de acceso se aplicará como filtro de entrada o de salida.
§
§ Ejemplo de
una ACL Extendida denegando un host hacia el puerto 80 de una red:
§ Router(config)#access-list
120 deny tcp host 204.204.10.1 any eq 80
Router(config)#access-list 120 permit ip any any
Router(config)#interface serial 1
Router(config-if)#ip access-group 120 in
§ Se ha
denegado al host 204.204.10.1, (identificándolo con la abreviatura “host”)
hacia el puerto 80 de cualquier red de destino (usando el termino any).
Posteriormente se permite todo trafico IP. Esta ACL se asocio a la interfaz
Serial 1 como entrante.
Aplicación de una ACL a la linea de telnet
§ Para evitar
intrusiones no deseadas en las conexiones de telnet se puede crear una
lista de acceso estándar y asociarla a la Line VTY. El proceso de creación se
lleva a cabo como una ACL estándar denegando o permitiendo un origen hacia esa
interfaz. El modo de asociar la ACL a la Línea de telnet es el siguiente:
§ router(config)#line
vty 0 4
router(config-line)#access-class[Nº de lista de acceso][in|out]
§
§ Como eliminar
las listas de acceso
§ Desde el modo
interfaz donde se aplico la lista:
§ Router(config-if)#no
ip access-group[Nº de lista de acceso]
§ Desde el modo
global elimine la ACL
§ router(config)#no
access-list[Nº de lista de acceso]
Conclusión:
En este resumen se ve que es una ACL cuáles son sus funciones donde se localiza
como es que se utiliza y lo más impórtate es como implementarla para que
funcione correctamente yo no tenía idea de que era una ACL pero ya al
investigar y al saber lo que es en realidad y como es que se compone entiendo
que es de gran importancia para que un administrador de red pueda desempeñar su
trabajo de una manera más eficaz también se mira cual es el comando o los
comandos para activar un ACL y también el comando para poder desactivarla en un
cierto momento que se necesite.
Bibliografía
Ariganello, E. (06 de noviembre de 2006). Aprende
Redes ccna. Recuperado el 30 de 03 de 2019, de Aprende Redes ccna:
http://aprenderedes.com/2006/11/proceso-de-configuracion-de-acl/
Network, C. A. (52 de febrero de 2010). Netacad.
Recuperado el 30 de 03 de 2019, de Netacad:
https://static-course-assets.s3.amazonaws.com/RSE6/es/index.html#7.1.1.1
