LISTAS DE ACCESO

Las listas de acceso son conjuntos de reglas que indican al router como seleccionar
paquetes. Una vez seleccionados los paquetes pueden ser tratados de diversas formas.

LISTAS DE ACCESO. ESTRUCTURA BASICA

Las reglas que componen las listas de acceso tienen tres partes: un nmero que
identifica la lista, una instruccin deny o permit y una condicin
access-list nmero_identificador

[permit|deny]

condicin

El nmero utilizado para identificar una lista concreta debe ser seleccionado de un
rango numrico acorde con el uso concreto de la list
TIPO
Estndar
Extendidas

RANGO
1-99
100-199

FILTRA POR
el origen
el origen, destino, protocolo, puerto...

SINTAXIS DE LAS LISTAS DE ACCESO EXTENDIDAS

access-list access-list-number {deny | permit} protocolo ip_origen wildcard
ip_destino wildcard operador servicio
ESPECIFICACION DE CONDICIONES
PROTOCOLO: ip, tcp, udp, icmp
OPERADOR: eq
SERVICIO: http o www, telnet, tftp, dns

Las condiciones de las listas de acceso permiten identificar las direcciones de

origen y destino de los paquetes. Junto con las direcciones se especifican
mscaras que permiten identificar la parte de la direccin que debe coincidir
exactamente y la parte que puede ser ignorada
Concretamente los ceros de las mscaras significan que el bit
correspondiente de la direccin es relevante, mientras que los unos
Significan que el bit correspondiente de la direccin no ha de ser tenido en
cuenta a la hora de decidir si la condicin se cumple.

Ejemplo
Si tenemos, por ejemplo, la condicin 10.20.30.0 0.0.0.255, al pasar a binario la
direccin y la mscara podemos ver qu parte de la direccin ser tenida en
cuenta a la hora de determinar si un paquete concreto cumple la condicin

Decimal

Binario

Direccin

10.20.30.0

00001010.00010100.00011110.00000000

Mscara

0.0.0.255

00000000.00000000.00000000.11111111

la direccin 10.20.25.7 no cumple la condicin

la direccin 10.20.30.254 si que cumplira las condiciones especificadas

Las mscara inversa de las listas de acceso tambin puede ser determinada
sustrayendo la mscara normal de la mscara 255.255.255.255.

El uso adecuado de las mscaras puede ayudarnos a seleccionar subconjuntos

de direcciones. En el siguiente ejemplo queremos crear una lista de acceso
capaz de seleccionar las redes
10.1.32.0/24

00001010.00000001.00100000.00000000 / 11111111.11111111.11111111.00000000

10.1.33.0/24

00001010.00000001.00100001.00000000 / 11111111.11111111.11111111.00000000

10.1.34.0/24

00001010.00000001.00100010.00000000 / 11111111.11111111.11111111.00000000

10.1.35.0/24

00001010.00000001.00100011.00000000 / 11111111.11111111.11111111.00000000

10.1.36.0/24

00001010.00000001.00100100.00000000 / 11111111.11111111.11111111.00000000

10.1.37.0/24

00001010.00000001.00100101.00000000 / 11111111.11111111.11111111.00000000

10.1.38.0/24

00001010.00000001.00100110.00000000 / 11111111.11111111.11111111.00000000

10.1.39.0/24

00001010.00000001.00100111.00000000 / 11111111.11111111.11111111.00000000

Si examinamos la columna correspondiente al mismo en su forma binaria,

separando las partes variables de las fijas
32

00100 000

33

00100 001

34

00100 010

35

00100 011

36

00100 100

37

00100 101

38

00100 110

39

00100 111
00000 111

00001010.00000001.00100000.00000000
00000000.00000000.00000111.11111111
El valor del tercer octeto de la mscara es en este caso 00000111, y pasado a
decimal es 7. Para el conjunto de redes de nuestro ejemplo la mscara 0.0.7.255
es capaz de seleccionar todas las subredes.

Para Bloquear una Red/Subred

Para sacar la wildcard para una red o subred

Ip: 20.0.0.0

mascara: 255.0.0.0

255 . 255 .255 . 255

255 .
0

0 .

. 255 . 255 . 255 (wildcard)

Para bloquear un rango

Rango ( ip inicial , ip final )

ip-final
ip-inicial
wildcard

Ejemplo:
Ip inicial: 20.0.0.0

20 . 0 . 0 . 127
20 . 0 . 0 . 0
0 . 0 . 0 . 127

ip final: 20.0.0.127

Rango a bloquear:
20.0.0.0 0.0.0.127

host y any
Dos palabras clave bastante tiles a la hora de especificar ciertas mscaras de
uso muy corriente, host

y any.

La palabra clave host se usa como atajo para especificar una direccin nica (la
de una mquina especfica). Por ejemplo
access-list permit host 192.168.5.10
en lugar de
access-list permit 192.168.5.10 0.0.0.0

La palabra clave any se usa como atajo para especificar cualquier direccin o
permite verificar todos los host:
access-list 10 deny any
any = 255.255.255.255