Access Control List
Una Lista de Control de Acceso o ACL (del inglés, Access Control List) es un concepto de seguridad informática usado para fomentar la separación de privilegios. Es una forma de determinar los permisos de acceso apropiados a un determinado objeto, dependiendo de ciertos aspectos del proceso que hace el pedido.
Las ACLs permiten controlar el flujo del tráfico en equipos de redes, tales como routers y switches. Su principal objetivo es filtrar tráfico, permitiendo o denegando el tráfico de red de acuerdo a alguna condición. Sin embargo, también tienen usos adicionales, como por ejemplo, distinguir “tráfico interesante” (tráfico suficientemente importante como para activar o mantener una conexión) en ISDN.
Desarrollo de la práctica
Maqueta a desarrollar
Se crearon las Ip de pc y routers y aplicamos el protocolo de routeo para que se pueda acceder a todos los routers
interface FastEthernet0/0
ip address 200.210.222.3 255.255.255.128
ip access-group 10 in
speed auto
!
interface Serial0/0
ip address 200.210.222.134 255.255.255.252
no fair-queue
!
interface Serial1/0
no ip address
shutdown
!
router rip
version 2
network 200.210.222.0
ip address 200.210.222.3 255.255.255.128
ip access-group 10 in
speed auto
!
interface Serial0/0
ip address 200.210.222.134 255.255.255.252
no fair-queue
!
interface Serial1/0
no ip address
shutdown
!
router rip
version 2
network 200.210.222.0
Verificamos con ping que haya conectividad hacia routers y pc.
Habilitamos el acceso por terminal virtual (VTY)
access-list 10 permit 200.210.222.4
access-list 10 permit 200.210.220.4
access-list 10 permit 200.210.221.9
access-list 10 permit 200.210.220.4
access-list 10 permit 200.210.221.9
interface fastethernet 0/0
ip access-group 10 in
Ponemos password a nuestro router
line con 0
password cisco
password cisco
Password:
Password:
Password:
Router>enable
Password:
Password:
Router>enable
Verificamos que todos las PC puedan administrar remotamente los routers validando que si se puede
Aplicamos lista de acceso para que en las interfaces las pc no puedan acceder a la administración remota.
access-list 10 deny 200.210.222.4
access-list 10 deny 200.210.220.4
access-list 10 deny 200.210.221.9
access-list 10 permit any
access-list 10 deny 200.210.220.4
access-list 10 deny 200.210.221.9
access-list 10 permit any
Validando que no se puede acceder a la administración remota.
—————PuTTy—————-
Router con0 is now available
Press RETURN to get started.
User Access Verification
Password:
Password:
Password:
Router>enable
Router#show running-config
Building configuration…
Password:
Password:
Router>enable
Router#show running-config
Building configuration…
Current configuration : 952 bytes
!
version 12.2
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
!
username admin secret 5 $1$I2im$cGJFUZDGBC96Xs/j26zH6.
username pepe password 0 class
memory-size iomem 15
ip subnet-zero
!
!
ip domain-name cisco
!
!
!
!
!
–More– !
!
!
!
!
!
interface FastEthernet0/0
ip address 200.210.222.3 255.255.255.128
ip access-group 10 in
speed auto
!
interface Serial0/0
ip address 200.210.222.134 255.255.255.252
no fair-queue
!
interface Serial1/0
no ip address
shutdown
!
router rip
version 2
network 200.210.222.0
!
–More– ip classless
no ip http server
ip pim bidir-enable
!
!
access-list 10 deny 200.210.222.4
access-list 10 deny 200.210.220.4
access-list 10 deny 200.210.221.9
access-list 10 permit any
!
call rsvp-sync
!
voice-port 2/0
!
voice-port 2/1
!
dial-peer cor custom
!
!
!
!
line con 0
password cisco
–More– login
line aux 0
line vty 0 4
login local
transport input telnet
!
end
!
version 12.2
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
!
username admin secret 5 $1$I2im$cGJFUZDGBC96Xs/j26zH6.
username pepe password 0 class
memory-size iomem 15
ip subnet-zero
!
!
ip domain-name cisco
!
!
!
!
!
–More– !
!
!
!
!
!
interface FastEthernet0/0
ip address 200.210.222.3 255.255.255.128
ip access-group 10 in
speed auto
!
interface Serial0/0
ip address 200.210.222.134 255.255.255.252
no fair-queue
!
interface Serial1/0
no ip address
shutdown
!
router rip
version 2
network 200.210.222.0
!
–More– ip classless
no ip http server
ip pim bidir-enable
!
!
access-list 10 deny 200.210.222.4
access-list 10 deny 200.210.220.4
access-list 10 deny 200.210.221.9
access-list 10 permit any
!
call rsvp-sync
!
voice-port 2/0
!
voice-port 2/1
!
dial-peer cor custom
!
!
!
!
line con 0
password cisco
–More– login
line aux 0
line vty 0 4
login local
transport input telnet
!
end
Router#iproute show ip route
Codes: C – connected, S – static, I – IGRP, R – RIP, M – mobile, B – BGP
D – EIGRP, EX – EIGRP external, O – OSPF, IA – OSPF inter area
N1 – OSPF NSSA external type 1, N2 – OSPF NSSA external type 2
E1 – OSPF external type 1, E2 – OSPF external type 2, E – EGP
i – IS-IS, L1 – IS-IS level-1, L2 – IS-IS level-2, ia – IS-IS inter area
* – candidate default, U – per-user static route, o – ODR
P – periodic downloaded static route
Codes: C – connected, S – static, I – IGRP, R – RIP, M – mobile, B – BGP
D – EIGRP, EX – EIGRP external, O – OSPF, IA – OSPF inter area
N1 – OSPF NSSA external type 1, N2 – OSPF NSSA external type 2
E1 – OSPF external type 1, E2 – OSPF external type 2, E – EGP
i – IS-IS, L1 – IS-IS level-1, L2 – IS-IS level-2, ia – IS-IS inter area
* – candidate default, U – per-user static route, o – ODR
P – periodic downloaded static route
Gateway of last resort is not set
R 200.210.221.0/24 [120/1] via 200.210.222.133, 00:00:12, Serial0/0
R 200.210.220.0/24 [120/2] via 200.210.222.133, 00:00:12, Serial0/0
200.210.222.0/24 is variably subnetted, 3 subnets, 2 masks
C 200.210.222.132/30 is directly connected, Serial0/0
R 200.210.222.128/30 [120/1] via 200.210.222.133, 00:00:12, Serial0/0
C 200.210.222.0/25 is directly connected, FastEthernet0/0
Router#exit
R 200.210.220.0/24 [120/2] via 200.210.222.133, 00:00:12, Serial0/0
200.210.222.0/24 is variably subnetted, 3 subnets, 2 masks
C 200.210.222.132/30 is directly connected, Serial0/0
R 200.210.222.128/30 [120/1] via 200.210.222.133, 00:00:12, Serial0/0
C 200.210.222.0/25 is directly connected, FastEthernet0/0
Router#exit
Conclusiones:
El protocolo ACL limita el tráfico de red, así mejorando el rendimiento, por tanto nos brinda un control de flujo de tráfico. Como hicimos en esta práctica las ACL pueden permitir que un host tenga acceso a una parte de la red. Tal vez sería en el caso de una empresa que requiera que ciertos host no puedan entrar remotamente a otra parte de la red.
