Criando uma ACL standard

Como dito anteriormente, as ACLs standard são o tipo mais básico de ACLs. Elas permitem apenas que você filtre o tráfego através dos endereços IP de origem, nada mais. Obviamente, esta falta de funcionalidades faz com que ACL’s standard sejam o tipo mais fácil de configurar.

Qualquer tipo de ACL é criada no modo de configuração global através do comando “access-list”. Para exemplificar o uso do comando, vamos começar criando uma ACL para negar qualquer coisa vinda do host 192.168.1.34:

Osiris(config)# access-list 1 deny 192.168.1.34 0.0.0.0

A linha acima é bem simples:

•1: Como dito anteriormente, ACLs standard têm que ser numeradas de 1 a 99 ou de 1300 a 1999. Aqui escolhi arbitrariamente o número 1;
•deny: Esta é a ação que será tomada com o pacote que casar com a regra da ACL. Neste caso, o pacote será negado pelo roteador. Você também poderia ter colocado “permit” para que o pacote passasse pelo firewall ou “remark”, que não é bem uma ação – ele permite a você adicionar um comentário na ACL (veremos com mais detalhes mais à frente);
•192.168.1.34 0.0.0.0: Este é o IP de origem e a wildcard mask, que neste caso casa apenas com este host específico.

Agora, vamos permitir todo o tráfego vindo do host 192.168.1.35, adicionar esta entrada na mesma ACL 1 utilizada anteriormente:

Osiris(config)# access-list 1 allow 192.168.1.35 0.0.0.0

Pronto! Agora a ACL 1 está parecida com o seguinte:
deny 192.168.1.34 0.0.0.0
allow 192.168.1.35 0.0.0.0

Lembre-se que nas ACLs os comandos vão sendo adicionados de acordo com a ordem em que você define e que a ordem faz muita diferença. Portanto, estude muito bem as suas possibilidades antes de sair adicionando as entradas.

E se você quisesse adicionar um comentário para facilitar o entendimento da ACL? Você consegue fazer isso utilizando a ação “remark”:

Osiris(config)# access-list 1 remark Permitindo o host do chefe

Você pode ver o comentário através do comando show running-config. O comentário que você vai digitar deve ter no máximo 100 caracteres.

Em alguns casos, pode ser interessante você logar quando um pacote casar com uma regra. A opção “log” permite a você fazer isso:

Osiris(config)# access-list 1 deny 192.168.1.2 0.0.0.0 log

Agora, sempre que alguma coisa casar com a regra acima uma mensagem informacional vai ser enviada para o console.
Antes de terminarmos a parte sobre ACLs standard, existem dois “atalhos” que você deveria conhecer: host e any.
O atalho host permite que você defina que o endereço que vem à seguir se refere à um host, sem precisar digitar a wildcard mask dele. Por exemplo, imagine a seguinte regra:

Osiris(config)# access-list 1 deny 192.168.1.1 0.0.0.0

Ela poderia ser reescrita da seguinte maneira:

Osiris(config)# access-list 1 deny host 192.168.1.1

E pronto, assim você não corre o risco de cometer um erro digitando a wildcard mask. O outro atalho é o “any”. Este atalho faz com que uma regra case com qualquer host, por exemplo:

Osiris(config)# access-list 1 allow any

Vai fazer com que o roteador permita que os pacotes de qualquer origem sejam enviados para o destino.
Essas são as opções de ACLs standard. Elas são bem simples pois não se pode definir protocolos e, como consequência, não se pode definir a porta. Por isso este tipo de ACL deve ser aplicada o mais próximo possível do destino, para garantir que os hosts negados neste tipo de ACL não sejam negados em redes às quais eles deveriam ter acesso.

NOTA: Lembre-se que ACLs standard devem sempre ser aplicadas próximo ao destino!