(electricidad crepitando sobre tonos pulsantes)
- En este video me gustaría hablar sobre una clasificación
característica de Cisco IOS llamada Listas de acceso.
Ahora te estarás preguntando,
¿Qué quiere decir con característica de clasificación?
De eso es de lo que voy a hablar.
Así que hay muchas características dentro de Cisco IOS
que te permiten buscar ciertas cosas.
Busque ciertas cosas en los datos que están pasando
su interruptor o a través de su enrutador.
Porque quieres identificar algo y luego en base a
si lo que buscas coincide,
quieres hacer algo con ese marco o ese paquete
que coincida con lo que buscas.
Entonces, muchas veces en Cisco IOS, las características están divididas
en dos secciones separadas.
Tienes una función que configuras
decir esto es lo que estoy buscando.
Como si estuviera buscando esta dirección IP de destino en particular,
o estoy buscando esta dirección MAC en particular,
o estoy buscando un paquete que sea de cierto tamaño,
o toda una variedad de cosas.
Así que hay características que dicen esto es lo que estoy buscando,
y los programa, los escribe.
Y luego hay otras características que se refieren a
aquellas características de identificación o de clasificación.
Y esas otras características dicen bien, si encuentra un paquete
que coincida con lo que buscas,
dime y le haré algo.
Y tal vez una función dirá que voy a cifrar
ese paquete y tomaremos los datos y los distorsionaremos
de modo que si alguien lo ve mientras está en tránsito
no podrán saber qué hay en la carga útil,
lo que hay en los datos.
Hay otras características que dicen:
vale, soy una característica de seguridad, si un paquete coincide contigo
herramienta de clasificación, dímelo y luego me aseguraré
se descarta o me aseguraré de que se reenvíe
y hay muchas otras cosas así también.
Así que muchas veces en Cisco IOS tenemos esta separación
entre varias herramientas que puede usar para identificar o clasificar
cosas y luego puedes asociar esas herramientas
con otras herramientas que realmente hacen algo,
que toman alguna acción sobre lo que se ha identificado.
Y una lista de acceso es un ejemplo de esas herramientas
que son para clasificación.
Por lo tanto, las listas de acceso están diseñadas específicamente para verse
para información de Capa 3 y Capa 4.
En realidad, hay listas de acceso MAC
que también puedes configurar para buscar información de Capa 2
pero realmente no entramos en esos en absoluto en el nivel CCNA.
Entonces, cuando cree una lista de acceso, piense en una lista de acceso
como si fuera un contenedor de varias declaraciones diferentes.
Tal vez una declaración es Estoy buscando un paquete
con este destino específico.
Tal vez otra declaración es, Estoy buscando un paquete
con esta fuente en particular y luego esa agrupación
de entradas, le damos algún tipo de identificador.
Entonces, con Access-List, ese identificador podría ser un número.
Por ejemplo, podría decir Tengo Access-List 101
y Access-List 101 tiene 15 o 20 entradas.
Lo que llamamos Entradas de Control de Acceso.
Así que Access-List 101, busque la dirección de origen,
Access-List 101 la siguiente línea hacia abajo,
busca este destino
Access-List 101 la tercera línea hacia abajo, mira esto
combinación de origen y destino.
Entonces, todo eso junto se consideraría Lista de acceso 101.
Lo identifico por ese número 101, cada línea
tiene ese 101, pero cada entrada es única y diferente.
O otra opción que tiene disponible para usted es nombrar
su lista de acceso y lo veremos un poco más tarde,
sobre tal vez es más, tal vez si estás mirando
su configuración en ejecución es más significativa para usted
si el nombre está ahí.
Por ejemplo Access-List: negar ingeniería a nómina
o Access-List: permitir la comercialización, o algo por el estilo.
Y luego, una vez más, tendrías un montón de entradas
debajo de esa agrupación.
Así que una lista de acceso va a tener
una o más entradas de control de acceso en él.
¿Cuántas entradas de control de acceso hay realmente?
depende completamente de ti.
Qué tan específico quieres ser, cuántas cosas diferentes
quieres emparejar.
Ahora, una cosa clave para recordar es que, ya sea que configure
una lista de acceso con solo una entrada de control de acceso
o 500 entradas de control de acceso en la parte inferior
en realidad va a poner una entrada que ni siquiera puedes ver
en la configuración en ejecución.
Es algo invisible y con frecuencia lo llamo el
denegar todas las entradas, o la entrada de denegación implícita.
Ahora lo que hacen estas entradas es solo buscar algo,
simplemente coincidiendo con algo.
No sabes, si te muestro una lista de acceso que dice
permite esto, niega esto, no puedes decirme qué es
va a pasar con un paquete si coincide
esta declaración de permiso o si coincide con esta declaración de denegación.
Realmente depende de cuál es la característica
que está usando esta lista de acceso.
Quizás ese paquete, si dice denegar en la lista de acceso,
se eliminará porque estamos haciendo referencia
una función relacionada con la seguridad.
O tal vez ese paquete, si dice denegar en la lista de acceso,
significará dejarlo pasar, simplemente no lo cifres
porque la función de cifrado dice que está bien, solo voy a
cifrar cosas que dicen permiso en la lista de acceso.
O tal vez dice, si es una negación significa,
no lo cambies de alguna manera.
Así que con solo mirar ACL no sabes lo que cada línea
en última instancia, si coincide con un paquete o no.
Entonces, cuando miras la configuración en ejecución
y ve una o más líneas de una lista de acceso,
estarán en algún tipo de orden
y la forma en que lo ves en la configuración en ejecución
es en realidad la forma en que se procesará.
Entonces, cuando llega un paquete y alguna característica dice:
- Ope- espera, tengo que hacer que la lista de acceso te revise
y luego dime si debería hacerte algo.
Luego, comenzará mirando la línea superior
de la lista de acceso y luego proceda en orden secuencial.
¿Hago coincidir la primera línea? No.
¿Hago coincidir la segunda línea? No.
¿Hago coincidir la tercera línea? Sí.
hemos terminado
Ahora que es un punto importante, mira
ese último punto allí.
Las ACE se procesan en orden secuencial
hasta que se encuentre una coincidencia.
Entonces, si le mostrara una Lista de acceso que tiene diez entradas
y te di un paquete y dije aquí está la fuente
y destino de un paquete.
Y miraste estas diez entradas y dijiste:
bueno, ese paquete coincidiría con la entrada número tres,
asiento número siete y asiento número diez.
Las entradas siete y diez son irrelevantes.
El hecho de que coincidiera con la entrada número tres, ya está hecho.
Lo que sea que la entrada número tres diga hacer, permitir o denegar,
eso será lo que suceda con ese paquete.
Ahora bien, si llega un paquete y va línea por línea
dice que no hay coincidencia, no hay coincidencia, no hay coincidencia
y llega hasta el final y no encuentra ninguna coincidencia.
Siempre coincidirá con ese invisible
negar cualquier afirmación al final.
Ahora, una vez más, ¿qué significa eso?
No sabemos a menos que sabemos qué es la lista de acceso
se refiere a qué función lo está usando.
Ahora, desde el nivel CCNA, usa listas de acceso
por un par de cosas diferentes.
Lo primero que vamos a aprender sobre Access-List
lo está emparejando con una característica de seguridad
llamada función de grupo de acceso.
La función de grupo de acceso es algo así como
un cortafuegos básico real.
Dice tampoco, dice dejar que el paquete
pasar o soltar el paquete.
Entonces, en ese contexto, cuando estás mirando una lista de acceso,
dice permitir algo, si entra un paquete
y coincide con esa declaración de permiso
y estamos haciendo referencia a una función de seguridad de grupo de acceso,
eso significa permitir que el paquete atraviese, dejar que se reenvíe.
Si entra un paquete y coincide
una declaración de denegación en una lista de acceso,
pero coincide con una función de seguridad de grupo de acceso ,
eso significa negar el paquete, descartarlo.
Y luego, veremos algunos otros videos
sobre un tipo diferente de característica llamada NAT,
Traducción de dirección de red que dice
si entra un paquete y coincide
un permiso, vamos a cambiar la dirección IP
de alguna manera y luego dejarlo pasar.
Si entra un paquete y coincide con una lista de acceso
eso dice negar, eso significa no vamos a cambiarlo
de cualquier manera que sea.
NAT no se involucrará, simplemente
déjalo pasar sin cambios.
Entonces, ¿qué se puede comparar con las listas de acceso?
Bueno, realmente depende de qué tipo de lista de acceso
está usando y hablaremos de eso.
Pero teóricamente dentro de tu Capa 3
o sus encabezados de capa 4, estas son todas las cosas
que se podría combinar.
Algunos campos deben coincidir por completo.
Por ejemplo, si su lista de acceso está buscando números de puerto
o banderas TCP o dentro del encabezado IP si coincide
en el byte TOS o el campo Protocolo , debe coincidir
todo el campo poco a poco.
Algo así como la forma en que los interruptores tienen que coincidir
una dirección MAC completa, es
una coincidencia completa de 48 bits o no es nada.
Otros campos, tiene la opción de hacer coincidir parcialmente
esos campos y ahí es cuando estamos mirando la dirección,
la dirección IP de origen y destino.
Tienes una opción, puedes decir Quiero emparejar
esa dirección de origen completa, todos los 32 bits.
Quiero hacer coincidir una publicación específica.
O podrías decir, bueno, solo quiero emparejar
una cierta, unas pocas partes dentro de eso.
Tal vez solo quiera una coincidencia en los paquetes que vienen
de una red en particular.
Entonces, cualquier host dentro de la red diez, solo me importa
sobre la coincidencia en ese primer byte, el número diez.
No me importa cuál sea su identificador de host.
Para que pueda hacer eso, se admite una coincidencia parcial.
Así que cuando miramos estos campos
de la dirección específicamente y estamos buscando
en el potencial de hacer coincidir todo
o haciendo coincidir solo una parte de , bueno, entonces eso significa
tenemos que tener algo que vaya junto con
ese campo que dice exactamente cuánto voy a igualar.
Esto suena un poco familiar, ¿no?
Cuando coloca una dirección IP en una interfaz,
algo más va con esa dirección IP, ¿no es así?
Una máscara de subred.
¿Y qué hace una máscara de subred?
En el contexto de una dirección IP y una máscara de subred,
le dice al sistema dónde está esa dirección IP.
Proporciona la línea divisoria entre
estos son los bits de red , si está buscando
para la red estos son los bits
que son importantes para ti.
Así que 10.10.10.10/8 dice si está buscando la red,
solo importan los primeros ocho bits.
El resto son bits de host.
(tos) Disculpe.
Entonces, cuando hablamos de una lista de acceso,
se aplicará lo mismo.
Habrá una parte de Lista de acceso donde podemos
introduzca nuestra fuente o nuestra dirección de destino o ambas
y luego vamos a aplicar algo en contra que dice:
de acuerdo con esta fuente de 32 bits, o con este destino de 32 bits,
he aquí cuántos de los bits me interesan.
Ahora podrías estar pensando: Oh, está bien, bueno, entonces pones
una máscara de subred allí, ¿verdad?
No, en realidad con Access-List es algo
que llamamos una máscara Wildcard.
Una manera fácil de pensar en una máscara Wildcard es pensar en ella
como algo así como lo contrario de una máscara de subred.
¿Es un qué?
De acuerdo, permítanme pizarra esto para ustedes, por un momento.
Digamos que te diera solo un byte.
Así que no una dirección IP completa, solo un byte.
Digamos 00110001, está bien.
Ahora, si dijera, quiero que use una máscara de subred
y usando esa máscara de subred , quiero que le diga
Cualquiera que sea la función estará mirando este byte
para que coincida con los primeros cinco bits.
Bueno, con una máscara de subred, unos son importantes,
los ceros significan que no nos importa.
Entonces dirías: 11111000.
Entonces, si este número se emparejó con una máscara de subred,
los que están aquí en la máscara de subred dirían que solo quiero
para que coincida con este patrón de cinco bits: 00110
y no me importa nada más.
Bueno, una máscara Wildcard es justo lo contrario de eso.
Así que pondré la máscara Wildcard debajo.
En una máscara comodín, los ceros significan coincidir con ese bit,
uno dos tres CUATRO CINCO
y unos significan que no me importa.
Así que esta es una máscara Wildcard.
Donde dices que los ceros tienen que coincidir
y eso es lo que me interesa
y los unos, no me importa.
Así que esto puede ser bastante fácil, ya que ya estás acostumbrado
para crear máscaras de subred.
Si puede crear una Máscara de subred en su cabeza,
si puede imaginar cómo se ve esa máscara de subred
en binario y luego dale la vuelta, obtienes una máscara comodín.
Así que hagámoslo un par de veces.
Digamos, por ejemplo, que yo tenía
una dirección IP de 10.10.10.cualquier cosa.
Así que todo lo que me importa hacer coincidir son los primeros tres bytes
y eso es.
Bueno, si estuviéramos hablando de una máscara de subred,
sería 255.255.255.0, ¿verdad?
Y en binario uno, dos, tres, cuatro, cinco, seis, siete, ocho
uno, dos, tres, cuatro, cinco, seis, siete, ocho,
uno, dos, tres, cuatro, cinco, seis, siete, ocho.
Así es como se vería nuestra máscara de subred .
Bueno.
Bueno, si una máscara comodín es justo lo contrario de eso,
imagina convertir todos estos unos en ceros
y todos estos ceros a unos.
Y entonces, si volvemos a convertir eso
en un punto decimal, qué tenemos: 0.0.0.255
Entonces, si la característica que estoy usando necesita una lista de acceso
como su mecanismo de clasificación,
una lista de acceso coincide con los bits en función de
Máscaras comodín, no máscaras de subred.
Hagamos otro de estos.
Si te di esta dirección:
10.40.32.0 y dije:
use una máscara comodín para que coincida...
solo los primeros 19 bits.
De acuerdo, bueno, hay un par de maneras de abordar esto.
Podríamos imaginarlo binario:
uno, dos, tres, cuatro, cinco, seis, siete, ocho,
uno, dos, tres, bien esos son los primeros 19 bits.
Uno dos tres CUATRO CINCO,
uno, dos, tres, cuatro, cinco, seis, siete, ocho, está bien.
Así que podríamos hacer eso, que termina siendo:
0.0. cual es ese numero
¿Recuerdas la forma rápida de hacer esto?
Si no quieres sumar todos esos,
pregúntese cuál es el valor de ese derecho allí?
¿No es ese el de 32 bits?
Entonces, si ese es el de 32 bits, este es uno menos que eso.
Eso es 31.255.
Entonces, si estoy creando una lista de acceso diciendo
de este número de 32 bits aquí, solo quiero que hagas coincidir
en los primeros 19 bits, si encuentra un paquete que coincida
los primeros 19 bits que se ven así,
eso es un golpe, eso es un partido.
Entonces mi máscara comodín sería 0.0.31.255.
Aquí hay otra forma de hacerlo.
Este es un atajo.
Para aquellos de ustedes que son realmente buenos para idear
Máscaras de subred porque tienes mucha práctica
con eso ahora, ¿cuál sería la máscara de subred
en este caso en particular?
La máscara de subred sería 255.255.224.0.
Esta es una forma en la que se te puede ocurrir,
si esto te resulta mas facil no lo se
pero esta es una forma en que podría, algunas personas usan,
para llegar a una máscara comodín.
Una vez que sepa cuál es la máscara de subred,
pon 255 encima de cada número...
y luego restarle el número más bajo.
Entonces 255 menos 255 es cero,
255 menos 255 es cero,
dos cinco, 255 menos 224 es 31
y 255 menos cero es 255.
Es tu elección, sin embargo quieres abordarlo.
Algunas personas encuentran este método más fácil
porque están acostumbrados a producir máscaras de subred
y luego de una máscara de subred puede simplemente restar
la máscara de subred de 255, 255, 255, 255 y lo que sea
lo que te queda es tu Máscara Wildcard.
¿Y si tuviera esto?
Cuando llega un paquete, debemos hacer algo,
no sabemos cuál es la función, solo para ella
si el paquete coincide exactamente...
5.5.5.5 todos los 32 bits.
Entonces, solo si coincide con ese host.
¿Qué Máscara Wildcard elegiríamos?
Bueno, si los ceros en binario significan que coinciden con ese bit,
y decimos que quiero hacer coincidir todos los bits,
esa sería mi Máscara Comodín: todo ceros.
En realidad, cuando creamos una lista de acceso
y en la siguiente sección, en el próximo video comenzaremos
mostrando los comandos para hacer eso.
En este caso, puede realmente acortar eso a esto.
Entonces, en la lista de acceso, le mostraré una vista previa rápida aquí
de una simple lista de acceso.
Podría decir: access-list 1 permiso y luego qué
estoy buscando?
Podría decir eso o ya que estoy emparejando todos los 32 bits.
Por lo general, cuando hace coincidir todos los 32 bits es porque
estás haciendo coincidir una dirección de host , estás haciendo coincidir
en el paquete que viene o va a un host en particular.
Entonces, una forma abreviada de hacerlo es así:
host de permisos de la lista de acceso 1.
Supongo que se trata de un host, así que haga coincidir todos los 32 bits de esto.
Esa es una palabra clave que verá mucho en la lista de acceso
y observe que cuando usa la forma abreviada de host
en lugar de Wildcard Mask, en realidad va
delante de lo que estás emparejando, no detrás.
Entonces, si está usando una máscara Wildcard , que es posible que deba usar,
la máscara comodín va detrás del valor, al igual que
en una dirección IP, ¿verdad?
En una dirección IP, la máscara de subred está detrás de la dirección IP.
Pero en este caso particular, si usa la palabra clave host,
que va delante.
Y hay otro atajo que quiero mostrarte,
que verá mucho en las listas de acceso.
Coincidir con cualquier paquete,
No me importa qué secuencia de bits tiene.
Bien, entonces, ¿cuál sería mi máscara comodín,
¿Qué máscara Wildcard usarías?
Bueno, en una máscara comodín en binario, qué bits binarios
indicar que no me importa?
Esto podría ser cualquier cosa para mí.
¿No es el un poco?
Así que la Máscara Wildcard aplicada contra cualquier cosa significa
ni siquiera se moleste en hacer coincidir esta secuencia de bits.
Tuve que poner un poco secuencia aquí porque
Me veo obligado, tuve que poner algo en este campo
pero la máscara comodín de 255.255.255.255 dice ignorar
ese campo, ni siquiera tiene que coincidir en absoluto.
Así que podría hacerlo así así: lista de acceso 1 permiso
y podría poner cualquier cosa aquí mismo si introduzco esto.
Realmente no importa, Podría poner 7.7.7.7.
Podría poner 1.2.3.4, podría poner 10.3.3.3
porque esta máscara comodín está diciendo este patrón
no significa nada
No, no tiene que hacer coincidir ninguna de las partes aquí.
Por lo general, la manera abreviada que la gente hace
para esto, ¿hay algún permiso de lista de acceso 1?
Ahora no tienes que hacerlo, ahora todo lo que tienes que hacer
es la palabra cualquiera.
Porque eso es exactamente lo que significa esta máscara comodín,
No me importa cuál sea el patrón de bit , todo coincide.
No hay nada que estoy excluyendo.
Entonces, con la versión cuatro de IP Listas de acceso, puede tener
una lista de acceso estándar, puede tener
una lista de acceso extendida y ambos
se consideran Listas de Acceso numeradas.
Entonces, por ejemplo, mi pizarra aquí donde
Estaba poniendo un número.
Y luego muchas veces en mis explicaciones verbales,
Estaba diciendo Lista de acceso 101.
Esas son listas de acceso numeradas y una lista de acceso numerada
puede adoptar la forma de una ACL estándar o una ACL extendida.
Y entraremos en cuáles son las diferencias
entre los que vienen.
O como dije, si quieres crear
una lista de acceso con nombre.
Ahora una lista de acceso con nombre es algo
entraremos un poco más tarde, pero una lista de acceso con nombre,
todavía tienes que identificar si
es estándar o extendido.
Estándar o extendido le dice a Cisco IOS qué
mis limitaciones son hasta donde puedo igualar.
Con una lista de acceso estándar no hay muchas cosas
Puedo igualar, pero tal vez esté bien.
Tal vez no necesito hacer coincidir mucho.
Pero si necesito hacer coincidir muchos de esos otros campos,
como los números de puerto TCP o las banderas TCP,
entonces necesito más opciones y ahí es donde
una lista de acceso extendida me ayudaría.
Así concluye este video en particular.
y en el próximo video comenzaremos a ver el estándar
Listas de acceso, con qué se pueden comparar
y cómo los configuramos.