Tipos de ACLs

por Leopiri Ter 21 Fev - 16:57

Existem três “tipos” diferentes de ACLs no IOS:
• ACLs standard: Esta é a lista mais básica, com menos funcionalidades. Filtram apenas através do endereço IP de origem. Os números de identificação deste tipo de ACL vão de 1 a 99 e de 1300 a 1999. Este tipo de ACL deve ser posicionada o mais próximo possível do destino do tráfego.
• ACLs extended: Além de filtrarem através dos endereços de IP de origem e destino, também permitem que se filtre o tráfego através de portas e protocolos. Os números de identificação deste tipo de ACL vão de 100 a 199 e de 2000 a 2699. Este tipo de ACL deve ser posicionada o mais próximo possível da origem.
• ACLs named: ACLs named (ou nomeadas) têm as mesmas características que ACLs extended, e permitem que você use um nome mais intuitivo para a ACL como allow_rh_out, deny_dmz_out, etc. Além disso, este tipo de ACL também oferece modos de edição mais avançados facilitando a vida do administrador. Os nomes utilizados para identificar este tipo de ACL não podem conter espaços ou pontuação e devem começar com uma letra.

Embora as ACLs tenham alguns detalhes diferentes, todas compartilham o mesmo método de análise: cada pacote é comparado com cada uma das regras presentes na ACL *EM ORDEM* e a ação descrita na primeira regra que “casar” com o pacote será tomada. Ou seja, a ordem das regras aqui pode fazer a diferença entre uma rede que funciona 100% ou você tendo que fazer hora extra pra descobrir o quê está bloqueando a troca de rotas OSPF entre os seus roteadores Smile

.

Outra coisa importantíssima que é verdade em todos os tipos de ACL: sempre há uma regra “deny all” implícita no final de todas as ACLs. Ou seja, uma ACL sem nenhuma regra irá bloquear absolutamente todos os pacotes que são comparados com ela. Portanto muito cuidado quando for aplicar uma ACL em uma interface.

Um outro detalhe que pode salvar sua vida: por padrão, ACLs não são stateful. Existe uma maneira de se modificar este comportamento, como veremos mais para frente.

NOTA: Lembre-se sempre que a ordem das regras faz toda a diferença quando o IOS está tentando descobrir o que fazer com um determinado pacote. Também não se esqueça de que há uma regra DENY ALL oculto no final de TODAS as ACLs. Portanto uma ACL vazia irá bloquear todo o conteúdo onde for aplicada.

Agradecimentos: Pedro Pereira & Google