Dominando las Máscaras Wildcard en Listas de Control de Acceso (ACL) de Red

Uso de Máscaras Wildcard en Listas de Control de Acceso (ACL)

Puede ser necesario probar condiciones para un grupo o rango de direcciones IP, o bien para una dirección IP individual. La comparación de direcciones tiene lugar usando máscaras que actúan a modo de comodines en las direcciones de la lista de acceso, para identificar los bits de la dirección IP que han de coincidir explícitamente y cuáles pueden ser ignorados. El enmascaramiento wildcard para los bits de direcciones IP utiliza los números 1 y 0 para referirse a los bits de la dirección.

Reglas Fundamentales de la Máscara Wildcard

• Un bit de máscara wildcard 0 significa “comprobar el valor correspondiente” (debe coincidir).
• Un bit de máscara wildcard 1 significa “No comprobar (ignorar) el valor del bit correspondiente”.

Abreviaturas Comunes para Wildcards

Para los casos más frecuentes de enmascaramiento wildcard se pueden utilizar abreviaturas:

• Host = Máscara comodín 0.0.0.0, utilizada para un host específico.
• Any = Máscara comodín 255.255.255.255, utilizada para definir a cualquier host, red o subred.

En el caso de permitir o denegar redes o subredes enteras se deben ignorar todos los hosts pertenecientes a dicha dirección de red o subred. Cualquier dirección de host será leída como dirección de red o subred.

Ejemplo de Conversión de Máscara de Red a Wildcard

A continuación, se muestra la relación entre una dirección IP, su máscara de red y la máscara wildcard correspondiente, enfocándose en el tercer octeto para identificar un rango específico:

Identificación de Rangos con Wildcards

Las Wildcards también permiten identificar rangos simplificando la cantidad de comandos a introducir. En este ejemplo, la wildcard debe identificar el rango de subredes entre la 172.16.16.0/24 y la 172.16.31.0/24.

Análisis del Tercer Octeto

Se debe trabajar con el rango entre 16 y 31:

16      000 1 0000
17      000 1 0001
18      000 1 0010
19      000 1 0011
20      000 1 0100
21      000 1 0101
22      000 1 0110
. . .   . . . . . . .
30      000 1 1110
31      000 1 1111

El bit común es el correspondiente al valor decimal 16 (los primeros 3 bits son idénticos: 0001).

Cálculo de la Máscara Wildcard para el Rango

Los bits a ignorar (los que serán 1 en la wildcard) junto con los del cuarto octeto serán los que varían en el rango:

Tercer octeto: 0001 (fijo) + 1111 (a ignorar) = 00011111 (Decimal 31, pero esto es la máscara de red, no la wildcard).

Para obtener la wildcard, necesitamos identificar qué bits deben coincidir (0) y cuáles ignorar (1).

Si queremos cubrir desde 16 hasta 31, la porción común es 0001 (los primeros 4 bits del tercer octeto). Los últimos 4 bits del tercer octeto y los 8 bits del cuarto octeto deben ser ignorados (1).

Bits a ignorar en el tercer octeto: 1111 (los últimos 4 bits). Bits a ignorar en el cuarto octeto: 11111111 (los 8 bits).

Esto resulta en: 0.0.15.255 (donde 15 es 1111 en binario).