Ejemplo Prácticos ACLs

Facilitador: Giovana Garrido

Departamento de Arquitectura y
Redes de Computadoras
 ACL ESTANDAR
 consideremos que la PC-1 es la fuente del tráfico y la PC-2 es el destino. Por lo
tanto, ACL debe colocarse en la dirección de salida de la interfaz G-0 del enrutador
R-2.

Access-list 5 permit host 192.168.1.10

Interfaces g0/0
Group 101 out
ACL ESTANDAR
 Si queremos permitir o denegar un solo tráfico, una lista de acceso estándar
será así:
ACL ESTANDAR

 Si queremos permitir o denegar una subred, una lista de acceso estándar será
así:
ACL ESTANDAR
 Si queremos filtrar cualquier tráfico (todo el tráfico), la lista de acceso será
así.
Ejemplo
 Imagine que
desea filtrar
Procesamiento Interno en R1
los paquetes en relación a dónde R1
que Bob envía puede filtrar paquetes
a Server1

Access-list 100 permit ip host 172.16.3.10 host 172.16.1.100

r1#interfaces e/0
Access-group 100 in
ACL EXTENDIDA
 Supongamos que queremos filtrar el tráfico desde la IP de origen 192.168.1.10 a la
ip de destino 192.168.2.10.
 Queremos deshabilitar telnet pero permitir el tráfico http y https para el escenario
mencionado anteriormente.
Access-list 101 deny tcp host 192.168.1.10
host 192.168.2.10 eq 23
Access-list 101 permit tcp host 192.168.1.10
host 168.2.10 eq 80
Access-list 101 permit tcp host 192.168.1.10
host 168.2.10 eq 443

Dir. Fuente Tráfico Dest. Router Inter Observación

faz
192.168.1.10 192.168.2.10 R2 G0 IN
192.168.1.10 192.168.3.10 R2 G1 OUT http, https
Deny telnet
ACL EXTENDIDA
 Supongamos que queremos permitir el tráfico basado en IP. El tráfico IP
significa todos los protocolos y puertos
ACL EXTENDIDA
 Queremos denegar el tráfico tcp destinado al servicio telnet.
ACL EXTENDIDA
 Ejemplo para bloquear o permitir el tráfico (IP o TCP) de una sola IP
(HOST) a cualquier otro tráfico y viceversa
ACL EXTENDIDA
ACL EXTENDIDA
ACL EXTENDIDA

 Filtrado de tráfico desde cualquier fuente a cualquier destino.

Práctica
 Para permitir que los paquetes de la computadora de Juan lleguen a la computadora
de Jan, en qué interfaz del router usted colocaría la lista de acceso estándar
_____________
Resp. FA1
Práctica
 Lisa ha estado enviando información innecesaria a Paul. Dónde ¿colocaría la ACL
estándar para negar todo el tráfico de Lisa a Paul?
Nombre del Router_____B_________ Interfaz _____E1_________
 ¿Dónde colocaría la ACL estándar para negar el tráfico de Paul a Lisa?
Nombre del Router______A________ Interfaz ______E0________
Práctica
 Escriba una lista de acceso estándar para impedir que las direcciones
192.168.15.1 a 192.168.15.31 envíen información a la red 210.140.15.0. No
permita que ningún tráfico de 198.32.10.25 llegue a la red 210.140.15.0.
Permitir todo el resto del tráfico.
Práctica
 Lisa ha estado enviando información innecesaria a Paul. Donde haría coloca la
ACL extendida para negar todo el tráfico de Lisa a Paul?
Nombre del Router_____A_________ Interfaz __S0____________
 ¿Dónde colocaría la ACL extendida para negar el tráfico de Paul a Lisa?
Nombre del Router_____B_________ Interfaz __S1____________
Práctica
 Escriba una lista de acceso extendida para denegar el tráfico HTTP destinado
al servidor web 192.168.207.27, pero permitirá que todo el resto del tráfico
HTTP llegar a la única red 192.168.207.0. Denegar el resto del tráfico IP.
Tenga en cuenta que puede haber múltiples formas en que muchas de las se
pueden escribir declaraciones individuales en una ACL.
Práctica
 ¿Cuál de las siguientes máscaras wildcard es la más útil para hacer corresponder
todos los paquetes IP en la subred 10.1.128.0, máscara 255.255.255.0?
a. 0.0.0.0
b. 0.0.0.31
c. 0.0.0.240
d. 0.0.0.255 d. 0.0.0.255
e. 0.0.15.0
f. 0.0.248.255
 ¿Cuál de las siguientes máscaras wildcard es la más útil para hacer corresponder
todos los paquetes IP en la subred 10.1.128.0, máscara 255.255.240.0?
a. 0.0.0.0
b. 0.0.0.31
c. 0.0.0.240
d. 0.0.0.255
e. 0.0.15.255 e. 0.0.15.255
f. 0.0.248.255
Práctica
 Cree un wilcard para que coincida con este host 195.190.10.35 con mascara
255.255.255.0
 Resp. 0.0.0.0
 Cree un wilcard para que coincida con un rango de direcciones 172.16.0.0 con
mascara de subred 255.255.0.0
 Resp. 0.0.255.255
 Cree un wildcard para que coincide para un rango de direcciones
171.50.75.128 con mascara de subred 255.255.255.192
 Resp. 0.0.0.63
 Cree un wildcard para que coincide para un rango de direcciones 172.18.0.0
con mascara de subred 255.255.224.0
 Resp. 0.0.31.255
Práctica

Qué hacen las siguientes listas de control de acceso:

 access-list 101 deny ip any host 10.1.1.1
Deniega todo tráfico hacia el host 10.1.1.1
 access-list 101 deny tcp any host 10.1.1.1 eq 23

 access-list 101 deny udp any 1.0.0.0 0.255.255.255 lt 1023

Deniega todo tráfico udp del puerto 1023 hacia la red 1.0.0.0
 Access-list 25 deny 192.168.50.0 0.0.0.255
FIN DE LA PRACTICA