Las ACL de entrada opera asi
• Si hay una coincidencia entre la información en un encabezado de paquete y una instrucción de ACL, el resto de las
instrucciones de la lista se omiten y se permite o se deniega el paquete según lo especificado por la instrucción de la
coincidencia.
• Si no existe una coincidencia entre un encabezado de paquete y una instrucción de ACL, el paquete se prueba en
relación con la siguiente instrucción de la lista. Este proceso de búsqueda de coincidencias continúa hasta que se llega al
final de la lista.
• Al final de cada ACL hay una instrucción “deny any” implícita. Debido a esta instrucción, una ACL debe incluir, por lo
menos, una instrucción “permit”; de lo contrario, la ACL bloquea todo el tráfico.
Errores comunes de las ACL
En este ejemplo, el host 192.168.10.10 no tiene
conectividad de Telnet con 192.168.30.12.
El comando show access-lists muestra coincidencias
para la primera instrucción “deny”, lo que indica que el
tráfico coincidió con esta ACE.
Solución:
• El host 192.168.10.10 no tiene conectividad con
192.168.30.12 porque la instrucción 10 deniega el
host 192.168.10.10; por lo tanto, nunca se puede
establecer la coincidencia con la instrucción 20.
Las ACL de salida operan de la siguiente manera:
• El router revisa la tabla de routing para ver si el paquete es enrutable.
• El router revisa si la interfaz de salida está agrupada en una ACL.
• Si lo está, la ACL se prueba en relación con la combinación de las ACE asociadas a esa interfaz.
• Según las pruebas de ACL, el paquete se permite o se deniega
Errores comunes de las ACL
En este ejemplo, el host 192.168.30.12 puede conectarse
a 192.168.31.12 mediante Telnet, pero la política de la
empresa establece que esta conexión no debe permitirse.
Solución:
• El host 192.168.30.12 puede utilizar Telnet para conectarse a
192.168.31.12 porque no hay reglas que denieguen el host
192.168.30.12 o su red como origen.
• La instrucción 10 de la lista de acceso 140 deniega la interfaz
del router por la que el tráfico ingresa a este.
• La dirección host IPv4 en la instrucción 10 debería ser
192.168.30.12.
Wondershare EdrawMind
