Access-list extendidas

Hemos estado trabajando con redes a las cuales le aplicamos access-list standar y extendidas:

Ejemplo para negar el http a una maquina:

access-list 101 remark negar pc2 al http
access-list 101 deny TCP host 193.168.1.2 host 192.168.1.2 eq 80
access-list 101 permit ip any any
int fa0/0
ip access-group 101 in

Ejemplo 2: (en este ejemplo la instruccion es inversa al permitirle a solo una maquina lo demás queda automaticamente negado:

access-list 102 remark bloquear http
access-list 102 permit TCP host 193.168.1.2 host 192.168.1.3 eq www
int fa0/0
ip access-group 102 in



Al permitir al TCP automaticamente excluye IP






Notas:
- tcp: para bloquear los puertos.
-access-list deny? el signo de interrogacion hace que muestre opciones de lo que sigue u opciones que faltan por ejemplo ara este access-list deny? muestra la lista de lo que queremos bloquear.
-El origen de una maquina es el primer valor que ponemos.
-Poner 80 (puerto) es lo mismo que poner www.

ejemplo 3 access-list extendidas

El dia de hoy realizamos un ejercicio de Bloquear http con extended para ello seguimos las siguientes instrucciones:
enable
configure terminal
access-list 101 remark "negar la pc 2 del http"
access-list 101 deny tcp host 193.168.1.2 host 192.168.1.3 eq 80
access-list 101 permit ip any any
in fa0/0
ip access-group 101 in

El segundo ejercicio fue:

access-list 102 remark "Bloquear http"
access-list 102 permit tcp host 193.168.1.2 host 192.168.1.3 eq www
in fa0/0
ip access-group 102 in

Notas:
En lugar de 0.0.0.0 un host.
En lugar de 80 www.

Ejemplo 2 con access list

Una access -list  standar bloquea a una máquina, un grupo o una red A TODA LA RED, evita que salga del router y se coloca lo mas pegado al destino.

 

 Ejemplo:

 

access-list 1 deny host 192.168.1.20

access-list 1 permit any

int fa0/0

ip access-list group 1 out

 

 

Una access-list extendida bloquea una máquina, un grupo o una red A UNA MAQUINA, UN GRUPO O TODA LA RED, O PROTOCOLO ETC), va a bloquear específicamente al destino, evita que la maquina a bloquear entre al router y se coloca lo más cercano al origen.

 

Ejemplo:

 

access-list 100 deny ip host 192.168.1.20 193.168.1.2 0.0.0.0

access-list 100 permit ip any any

int fa0/0

ip access-group 100 in

 

 

Nota:

Los numeros 1-99 para access-list standar.

Los numeros 100-199 para access-list extendidas. 

ejemplo listas estandar

Hoy martes 12 de febrero vimos un nuevo video , ¿Que pasa si la sentencia se escribe en otro lugar?

Reglas en caso de las estandar:
1. (Bloqueo de una sola maquina)
access-list 10 deny 172.16.2.125 0.0.0.0
permit any

2.(Bloqueo de toda la red)
access-list 10 deny 172.16.0.0  0.0.1.255
permit any

Este ejemplo lo aplicamos en la red de estudiantes donde el amestro hizo el caso 1 del Pizarron y el caso 2 del pizarron.


Notas:
La wildcard inversa se refiere a los numeros que faltan para llegar a 255, o para 0... por ejemplo la submascara 255.255.254.0.. su inversa es 0.0.1.255

cuando se desmarca el access-group el access-list deja de funcionar.
Cuendo es el ACL es de tipo estandar se bloquea todo lo que esta del otro lado del router.

Reglas de un access-list

El día de hoy vimos que hay dos maneras de ver como se ejecutan las reglas de un access-list :Las mas especificas van  arriba
Las mas general van abajo abajo
 

En toda access-list siempre hay reglas generales y especificas.

 

Cuando es igualado el access-list se sale y ya no busca el resto, es decir ya no busca el resto de las condiciones, por lo tanto ya no se van a ejecutar las demas.

Ejemplo:

Access-list 1 deny 192.168.2.101 0.0.0.0
Access-list 1 permit any

Access-list 1 deny host 192.168.2.100

 

En el ejemplo anterior, el access-list NO se va a ejecutar, porque la regla especifica esta debajo de la regla general, y como ya se igualo en la instruccion anterior, ya no va a buscar más, por eso la importancia de colocar reglas especificas arriba, y generales abajo.

 

Notas:

 

• Deny any es una regla implicita , si no permitimos (permit any) el access list automaticamente niega todo lo demas.
• No access-list mas el numero de access-list, sirve para borrar la access list.
• No ip access-group mas el numero de access-list out sirve para borrar un grupo.
• Una interfaz, no permite tener 2 access-group.
• Si no borramos un access-group, se sobreescribe.

 

 

 

Access-list primer ejercicio

Bueno.. hoy hicimos el primer ejemplo con access- list cuyo objetivo es bloquear el acceso de la pc 2 de la red 193.168.1.0 a la red 192.168.1.0 , la configuración para esta  access list es la siguiente:


enable
conf term
access-list 1 remark bloqueo de la maquina 2 de 193 a la red 192
access-list 1 deny host 193.168.1.2 0.0.0.0
access-list 1 permit any
int fa0/0
ip access-group 1 out
exit

Podemos observar en la sección encerrada en un óvalo rojo, que no puede conectarse la pc 2 de la red 193, con la red 192. Con esto demostramos el funcionamiento de la access list.

Exameeeen!

HOOY ... tuvimos examen, consistio en configurar 2 redes con todos los conocimientos adquiridos durante el semestre, esperamos funcionen nuestras configuraciones! :)


Notita: Se fue mi internet..... por eso es un poquito tarde para la entrada :(

Preparandonos para el examen

El dia de hoy al igual que ayer solo repasamos dudas, surgio la misma de cuando se usa el router rip y el ip route.

Continuamos viendo el video de las clases anteriores y realizamos el ejemplo del video.

 

Resolver dudas para el examen

El dia de hoy aparte de aclarar algunas dudas que tenian nuestros compañeros con respecto a las redes
nos aclaro el maestro el caso cuando debemos de utilizar version 2:
Router Rip
version 2
net 172.16.0.0

En este caso se utiliza cuando se realiza con VLSM o cuando es la misma red.

Y cuando:

Router Rip
net 192.168.1.0
net 172.16.0.0

Este es el caso para cuando son diferentes las redes.

Al igual continuamos viendo el video de la clase pasada y la aplicacion de ACL. mañana que veamos el video completo, les explico de que trato.

 

Listas de control de acceso

El dia de hoy en clase entramos aun nuevo tema que es:

Listas de control de Acceso (ACL)

 

Bueno el profe empeso a explicar que es un mecanismo que proporciona seguridad que igual controla que nodos de la red tiene permisossobre el sistema que iplementa el ACL tambien e sgenerico ya que  clasifica el conjunto de direcciones o flujos de datos como tambien clasifica conjuntos de direcciones arbitrariamente se puede especificar lo que nosotros necesitamos ya sea bloquae o permitir.

El ACL es un conjunto de reglas identificadas con un numero o un nombre y cada regla epecifica una accion o modificcion.

 

Las acciones a aplicar son: permitir o denegar.

 

Todas las reglas que tengan el mismo numero/nombre forman parte de la ACL

Las ACL tienen distintas reglas que deben revisar si las sentencias se cumplen:

 

   *Regla general
   *Regla especifica

 

El funcionamiento del ACL es que una ves que se cumpla una condicion se aplica una accion correspondientes y no se examina
mas reglas del ACL.

Las reglas mas especifics deben de estar al principio del ACL y todas las ACL terminan implicitamente, como una regla.

No Permite Nada Mas.

Tipos de estandares:

 

 *Estandar
 *Estendida

Condiciones en un ACL estandar

Condicion = Valor de referencia  BitsComparar

BitsComparar= es una marcara witcard donde cada bit en cero en la wc hce comparar el bit correspondiente en la direccion IP

Estandar= 1 al 99