23.ACL

Una ACL (Access Control List, lista de control de acceso) es una lista de reglas que el router revisa para decidir si deja pasar o bloquea un paquete.

Funciona como la lista del guardia en la entrada de un evento: revisa a cada persona de arriba hacia abajo, y en cuanto encuentra su nombre aplica lo que dice («pasa» o «no pasa»). Si no aparece en la lista, no entra.

En términos técnicos

• Cada regla (ACE) es un permit o un deny con condiciones: dirección de origen, de destino, protocolo y puerto.
• Se revisan en orden y se aplica la primera que coincide; las demás ya no se leen.
• Al final de toda ACL hay un deny any implícito que no se ve, pero bloquea todo lo que no se permitió.
• Se aplican a una interfaz y en un sentido: de entrada (in) o de salida (out).
• Usan máscara wildcard (0 = debe coincidir, 1 = no importa), igual que OSPF.
• Además de filtrar, sirven para seleccionar tráfico en otras funciones: NAT, QoS, acceso a las líneas VTY.

¿Dónde lo vas a encontrar?

En los routers y switches de capa 3 de empresas y escuelas: para que la red de alumnos no llegue a la de administración, para que solo el área de sistemas pueda entrar por SSH a los equipos o para elegir qué redes se traducen con NAT.

Estándar y extendidas

Las dos pueden ser numeradas o nombradas. Las nombradas son más fáciles de leer y de editar.

La máscara wildcard

Cómo procesa el router un paquete

1. Llega el paquete a una interfaz con ACL de entrada (o va a salir por una con ACL de salida).
2. El router compara el paquete con la primera regla. Si coincide, aplica permit o deny y termina.
3. Si no coincide, pasa a la siguiente, y así sucesivamente.
4. Si no coincidió con ninguna, aplica el deny implícito.

La regla de las tres

Por cada interfaz puede haber una ACL por protocolo (IPv4, IPv6), por sentido (entrada, salida). Es decir, como máximo una ACL IPv4 de entrada y una de salida en cada interfaz.

Escenario: la red de alumnos 192.168.10.0/24 (en g0/0 de R1) solo debe llegar al servidor 192.168.20.10 por HTTPS y hacerle ping; el resto de la red de administración 192.168.20.0/24 queda bloqueado. Lo demás (p. ej. Internet) se permite.

ACL extendida nombrada, cerca del origen

R1(config)# ip access-list extended ALUMNOS-A-ADMIN
R1(config-ext-nacl)# 10 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 443
R1(config-ext-nacl)# 20 permit icmp 192.168.10.0 0.0.0.255 host 192.168.20.10 echo
R1(config-ext-nacl)# 30 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
R1(config-ext-nacl)# 40 permit ip 192.168.10.0 0.0.0.255 any
R1(config-ext-nacl)# exit
R1(config)# interface GigabitEthernet0/0
R1(config-if)# ip access-group ALUMNOS-A-ADMIN in

ACL estándar para limitar quién entra por SSH

R1(config)# ip access-list standard ADMIN-SSH
R1(config-std-nacl)# permit 192.168.99.0 0.0.0.255
R1(config-std-nacl)# exit
R1(config)# line vty 0 4
R1(config-line)# access-class ADMIN-SSH in

R1# show access-lists
Extended IP access list ALUMNOS-A-ADMIN
    10 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 443 (25 matches)
    20 permit icmp 192.168.10.0 0.0.0.255 host 192.168.20.10 echo (4 matches)
    30 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 (8 matches)
    40 permit ip 192.168.10.0 0.0.0.255 any (112 matches)

Editar sin borrar toda la ACL

R1(config)# ip access-list extended ALUMNOS-A-ADMIN
R1(config-ext-nacl)# no 20
R1(config-ext-nacl)# 15 permit udp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 53

• Escribe la ACL en un editor de texto antes de pegarla: es más fácil revisarla completa.
• Numera de 10 en 10 para poder insertar reglas en medio después.
• Documenta con remark: remark Alumnos solo HTTPS al servidor deja claro el propósito de cada bloque.
• Las ACL extendidas, cerca del origen: así el tráfico bloqueado no viaja por la red para nada.
• Las ACL estándar, cerca del destino: si las pones cerca del origen, bloquean a esa red hacia todas partes.
• Cuidado con ICMP: bloquearlo por completo complica el diagnóstico y el descubrimiento del MTU. Permite al menos lo necesario (echo, echo-reply, unreachable, time-exceeded).
• Una ACL no sustituye a un firewall con estado ni a la segmentación con VLAN, pero son la primera línea de control en el router.
• En IPv6 las ACL siempre son nombradas (ipv6 access-list) y tienen permisos implícitos para NDP antes del deny final.

• Cisco Systems. Security Configuration Guide: Access Control Lists (documentación oficial de Cisco IOS).
• Cisco Systems. Configuring Commonly Used IP ACLs (nota técnica de Cisco).
• Cisco Networking Academy. CCNA: Enterprise Networking, Security, and Automation — módulos de conceptos y configuración de ACL para IPv4.
• NIST. SP 800-41 Rev. 1 — Guidelines on Firewalls and Firewall Policy (2009), principios de filtrado de paquetes. https://csrc.nist.gov/pubs/sp/800/41/r1/final