Criando uma ACL named

Quando a sua rede é pequena, uma ACL nomeada 113, 225, 10 pode não ser um grande problema. Porém, e quando você gerencia mais de 500 ACLs em roteadores diferentes? Aí a coisa complica bastante, né? Para descobrir o quê uma ACL faz você vai ter que sair correndo atrás de uma documentação (e também torcer para que alguém tenha documentado a ACL!). Seria muito mais fácil se você pudesse simplesmente se referir às ACLs por nomes, como por exemplo permit_rh_internet ou deny_dmz_rede_interna.

Apenas por estes nomes você já tem uma ideia do que essas ACLs vão fazer.
Além disso, ACLs standard e extended apresentam algumas dificuldades quando você as está editando. Elas não permitem a você remover uma linha ou adicionar uma ACE antes de outra já existente. Isso pode ser bastante inconveniente.
Neste tópico você vai ver que uma ACL nomeada pode ser tanto do tipo standard quanto extended: é você quem vai escolher isso.

O processo de criação de uma ACL nomeada é um pouco diferente. Quando você cria uma nova, você vai entrar num modo específico para edição de ACL como se fosse um editor de textos. Como um primeiro exemplo, vamos criar uma lista nomeada standard e adicionar algumas regras:

Osiris(config)# ip access-list standard permite_estacao_chefe

Osiris(config-std-nacl)# permit host 192.168.1.10

Como você pode perceber, você não precisa da parte do comando “access-list 1″ já que tudo isso foi dito quando você entrou no modo de edição da ACL nomeada. E também, perceba que você define se será standard ou extended logo no comando ip access-list. Quando terminar, basta digitar “exit” e a sua ACL será salva.
NOTA: Aplicar uma ACL nomeada à uma interface não diferencia em nada do processo utilizado para as outras ACLs.
Agora vamos criar uma ACL nomeada extended. Vamos chamá-la de nega_http:

Osiris(config)# ip access-list extended nega_http

Osiris(config-ext-nacl)# deny tcp host 192.168.0.6 host 192.168.0.254 eq 80

Mais uma vez note que você não precisa digitar o comando inteiro como em uma lista numerada: basta digitar apenas a “parte que importa” do comando.
Ok, agora já entendemos como criar a ACL nomeada. Mas e para editá-las? Ok, digamos que nós criamos a lista nega_http há alguns meses e agora queremos adicionar um novo item no topo da lista, na posição 1. Como fazemos? Primeiro, vamos abrir a lista para edição:

Osiris(config)# ip access-list extended nega_http

Osiris(config-ext-nacl)#

Pronto, entramos no modo de edição. Agora, basta executarmos o seguinte comando para adicionar a nova regra no topo:

Osiris(config-ext-nacl)# 1 permit tcp host 192.168.0.6 host 192.168.0.10 eq 80

Pronto, agora esta nova regra está no topo da ACL como desejado. Para conferir a ordem, vá para o modo EXEC do roteador e execute o comando:

Osiris# show access-list nega_http

Extended IP access list nega_http

1 permit tcp host 192.168.0.6 host 192.168.0.10 eq www

10 deny tcp host 192.168.0.6 host 192.168.0.254 eq www

Ok, mas e para adicionar uma regra entre estas duas? Simples, basta informar um número de ordem qualquer entre 1 e 10:
Osiris(config-ext-nacl)# 2 permit tcp host 192.168.0.4 eq 80 any
Veja:

Osiris# show access-list nega_http
1 permit tcp host 192.168.0.6 host 192.168.0.10 eq www
2 permit tcp host 192.168.0.4 eq www any
10 deny tcp host 192.168.0.6 host 192.168.0.254 eq www

Regra adicionada entre as já existentes. Agora, vamos remover a regra número 2:

Osiris(config-ext-nacl)# no 2

Pronto, regra removida:

Osiris# show access-list nega_http
Extended IP access list nega_http
1 permit tcp host 192.168.0.6 host 192.168.0.10 eq www
10 deny tcp host 192.168.0.6 host 192.168.0.254 eq www

Acredito que eu tenha conseguido deixar claras as vantagens de se usar listas nomeadas ao invés de listas numeradas. Lembrando que o posicionamento ideal da ACL nomeada vai depender se ela é standard ou extended. Ela irá seguir as mesmas regras destes tipos que já foram vistos anteriormente.

Agradecimentos: Pedro Ferreira & Google