Listas de control de acceso (ACL): tipos, aplicación y configuración

Resumen

El documento explica qué son las listas de control de acceso (ACL) y cómo evalúan el tráfico de red en orden secuencial, con una denegación implícita al final. Describe las diferencias entre ACL estándar y extendidas, sus rangos de numeración y cómo se vinculan a interfaces. También introduce las particularidades de las ACL de IPv6.

Puntos clave

Una ACL es una lista secuencial de declaraciones de permiso o denegación, con una denegación implícita al final que bloquea todo el tráfico.
La instrucción permiso ip any any evita que el tráfico no coincidente sea bloqueado por la denegación implícita.
Las ACL estándar filtran solo por dirección IPv4 de origen y se colocan cerca del destino.
Las ACL extendidas filtran por protocolo, direcciones y puertos, y se colocan lo más cerca posible de la fuente.
Las ACL estándar usan los números 1 a 99; las extendidas, 100 a 199 y 2000 a 2699.
Un dispositivo solo puede tener una ACL por protocolo, por dirección y por interfaz.
Las ACL de IPv6 se crean con ipv6 access-list nombre, no usan máscaras comodín y utilizan la longitud del prefijo.

Ponte a prueba

Una ACL es una lista secuencial de declaraciones de permiso o denegación. La última declaración de una ACL es siempre una declaración de denegación implícita que bloquea todo el tráfico. Para evitar que implique que cualquier instrucción al final de la ACL bloquee todo el tráfico, se puede agregar la instrucción permiso ip any any.

Cuando el tráfico de red pasa a través de una interfaz configurada con una ACL, el enrutador compara la información dentro del paquete con cada entrada, en orden secuencial, para determinar si el paquete coincide con una de las declaraciones. Si se encuentra una coincidencia, el paquete se procesa en consecuencia.

Aplicación de ACL

Las ACL están configuradas para aplicarse al tráfico entrante o para aplicar al tráfico saliente.

Las ACL estándar se pueden usar para permitir o denegar el tráfico solo desde una dirección IPv4 de origen. El destino del paquete y los puertos involucrados no se evalúan. La regla básica para colocar una ACL estándar es ubicarla cerca del destino.
Las ACL extendidas filtran paquetes basados en varios atributos: tipo de protocolo, dirección IPv4 de origen o destino y puertos de origen o destino. La regla básica para colocar una ACL extendida es ubicarla lo más cerca posible de la fuente.

Configuración de ACL

El comando de configuración global access-list define una ACL estándar con un número en el rango de 1 a 99 o una ACL extendida con números en el rango de 100 a 199 y de 2000 a 2699. Las ACL estándar y extendidas se pueden nombrar en lugar de numeradas.

Después de configurar una ACL, se vincula a una interfaz utilizando el comando ip access-group en el modo de configuración de la interfaz. Un dispositivo solo tiene una ACL por protocolo, por dirección, por interfaz.

El comando access-class configurado en el modo de configuración de línea restringe las conexiones entrantes y salientes entre un VTY particular y las direcciones en una lista de acceso.

ACL de IPv6

Al igual que las ACL denominadas IPv4, los nombres de IPv6 son alfanuméricos, distinguen entre mayúsculas y minúsculas, y deben ser únicos. A diferencia de IPv4, no hay necesidad de una opción estándar o extendida.

Desde el modo de configuración global, use el comando ipv6 access-list nombre para crear una ACL de IPv6. A diferencia de las ACL de IPv4, las ACL de IPv6 no usan máscaras comodín. En cambio, la longitud del prefijo se utiliza para indicar la cantidad de una dirección de origen o destino de IPv6 que debe coincidir.

Después de configurar una ACL de IPv6, se vincula a una interfaz utilizando el comando ipv6 traffic-filter

Preguntas frecuentes

¿Qué ocurre si un paquete no coincide con ninguna entrada de una ACL?

La última declaración de una ACL es una denegación implícita que bloquea todo el tráfico. Para evitarlo, se puede añadir la instrucción permiso ip any any al final.

¿Dónde conviene colocar una ACL estándar?

La regla básica es colocar la ACL estándar cerca del destino, ya que solo evalúa la dirección IPv4 de origen.

¿Qué rangos de números usan las ACL estándar y extendidas?

Las ACL estándar usan los números del 1 al 99, y las extendidas, los del 100 al 199 y del 2000 al 2699. También pueden nombrarse en lugar de numerarse.

¿Cómo se diferencian las ACL de IPv6 de las de IPv4?

Las ACL de IPv6 no usan máscaras comodín ni necesitan elegir entre estándar o extendida; en su lugar se emplea la longitud del prefijo para indicar cuántos bits de la dirección deben coincidir.