Listas de Control de Acceso

Introducción

Una lista de control de acceso o ACL es un concepto de seguridad informática usado para fomentar la separación de privilegios. Es una forma de determinar los permisos de acceso apropiados a un determinado objeto, dependiendo de ciertos aspectos del proceso que hace el pedido.

Las ACL permiten controlar el flujo del tráfico en equipos de redes, tales como enrutadores y conmutadores. Su principal objetivo es filtrar tráfico, permitiendo o denegando el tráfico de red de acuerdo a alguna condición. Sin embargo, también tienen usos adicionales, como por ejemplo, distinguir "tráfico interesante" (tráfico suficientemente importante como para activar o mantener una conexión) en RDSI.

Se refiere a una lista de reglas que detallan puertos de servicio o nombres de dominios (de redes) que están disponibles en una terminal u otro dispositivo de capa de red, cada uno de ellos con una lista de terminales y/o redes que tienen permiso para usar el servicio. Tantos servidores individuales como routers pueden tener ACLs de redes. Las listas de acceso de control pueden configurarse generalmente para controlar tráfico entrante y saliente y en este contexto son similares a unos cortafuegos.

Configuración inicial

Configuración de interfaces






Configuración del protocolo RIP


Probando ping




Habilitando VTY´s




Lista de control de acceso, redes permitidas

Protocolo OSPF

Introducción

En esta practica implementamos el protocolo OSPF, que es otro protocolo de enrutamiento dinámico.

El protocolo OSPF es un protocolo de enrutamiento jerárquico de pasarela interior, de envestidura dinamica IGP (Interior Gateway Protocol), que usa algoritmo SmothWall Dijkstra enlace-estado (LSE - Link State Algorithm) para calcular la ruta mas corta posible, utilizando la métrica de menor costo, por ejemplo una métrica podría ser en menor costo de RTT (Round Trip Time).

OSPF tiene dos características principales:

- La primera es que es un protocolo abierto, lo cual significa es de dominio público, las especificaciones OSPF son publicadas en el RFC 1247. 

- La segunda característica es que este protocolo está basado en el algoritmo SPF, el cual algunas veces es llamado Dijkstra, el cual coge el nombre de su creador. 

Como protocolo que mantiene un control del estado de los enlaces de la red, OSPF contrasta con otros protocolos (como el protocolo RIP), es que los existentes son de vector de distancia. Los routers que funcionan con algoritmos de distancia de vector envían toda o parte de sus tablas de rutas en mensajes de actualización a sus vecinos.

WILCARD
“Wildcard” es un “comodín”. Tanto en la dirección de origen, como (en el caso de las ACL extendidas) en la dirección de destino, se especifican las direcciones como dos grupos de números: un número IP, y una máscara wildcard.
Si se traduce a binario, los “1” en la máscara wildcard significan que en la dirección IP correspondiente puede ir cualquier valor.
Para permitir o denegar una red o subred, la máscara wildcard es igual a la máscara de subred, cambiando los “0” por “1” y los “1” por “0” (en binario).
Sin embargo, las máscaras wildcard también permiten más; por ejemplo, se pueden denegar todas las máquinas con números IP impares, o permitir el rango de IP 1-31, en varias subredes a la vez.

Desarrollo de la practica

Primero se configuran las interfaces de los routers

Router 1
Router>enable
Router#conf t
Router(config)#int g0/0
Router(config-if)#ip add 200.210.220.1 255.255.255.0
Router(config-if)#no sh
Router(config)#int s0/0/0
Router(config-if)#ip add 200.210.222.129 255.255.255.252
Router(config-if)#clock rate 64000
Router(config-if)#no sh
Router(config-if)#exi


Router 2
Router>enable
Router#conf t
Router(config)#int g0/0
Router(config-if)#ip add 200.210.221.3 255.255.255.0
Router(config-if)#no sh
Router(config)#int s0/0/0
Router(config-if)#ip add 200.210.222.130 255.255.255.252
Router(config-if)#no sh
Router(config)#int s0/0/1
Router(config-if)#ip add 200.210.222.133 255.255.255.252
Router(config-if)#clock rate 64000
Router(config-if)#no sh
Router(config-if)#exi


Router 3
Router>enable
Router#conf t
Router(config)#int g0/0
Router(config-if)#ip add 200.210.220.29 255.255.255.128
Router(config-if)#no sh
Router(config)#int s0/0/0
Router(config-if)#ip add 200.210.222.134 255.255.255.252
Router(config-if)#no sh
Router(config-if)#exi

Ahora se configura OSPF en los routers

Router 1
Router(config)#router ospf 1
Router(config-router)#net 200.210.222.128 0.0.0.3 area 0
Router(config-router)#net 200.210.222.0 0.0.0.255 area 0

Router(config-router)#exi

Router 2
Router(config)#router ospf 1
Router(config-router)#net 200.210.222.128 0.0.0.3 area 0
Router(config-router)#net 200.210.222.132 0.0.0.3 area 0
Router(config-router)#net 200.210.221.0 0.0.0.255 area 0
Router(config-router)#exi

Router 3
Router(config)#router ospf 1
Router(config-router)#net 200.210.222.132 0.0.0.3 area 0
Router(config-router)#net 200.210.222.0 0.0.0.127 area 0
Router(config-router)#exi


Después de anunciar las redes, se logra tener comunicacion entre los equipos conectados.
Por ultimo usamos los comandos siguientes para que nos muestre información especifica sobre la comunicación entre los equipos

show ip ospf neighbor
show ip ospf interface

show op ospf database router

Router on a Stick

Introducción

El enrutamiento inter-VLAN ROUTER ON A STICK, es más eficiente que el enrutamiento inter-VlAN tradicional. Consiste en crear subinterfaces (1 hasta 65535) en una sola interfaz física de un Router, entonces tenemos con esta configuración la posibilidad de usar una sola interfaz para enrutar los paquetes de varias VLAN que viajan a través del puerto trunk de un switch conectado a esa interfaz.

Podemos entonces configurar varias IP de diferentes redes a varias interfaces virtuales (subinterfaces) alojadas en una sola interfaz física.

Ventajas

Fácil de implementar solo se requiere crear una subinterfaz por cada VLAN en el Router.
Mucho más económica que tener un Router por VLAN.
Mucha mejor latencia que tener un Router por VLAN.

Desventajas 

Los Routers son más lentos que los switches para ruteo inter-VLAN, lo ideal es tener un switch multicapa.
Si se necesita incrementar el número de puertos, entre más puertos requiera un Router más costoso resulta.
Estamos expuestos al buen funcionamiento de una sola interfaz física en el Router, esto es un único punto de fallo.

Instrucciones

1- Configurar las VLANs en el Switch

2- Habilitar password cisco

3- Proteger las VTYs:

·           - SSH only

       - Username: operador
       - Password: class

4- Deshabilitar los puertos no usados

5- Configurar Router on a Stick

6- Verificar mediante ping entre PC-A y PC-B

Diseño de la red

Desarrollo de la práctica

Configuración de las VLANs

Habilitar Password y Proteger las VTYs

Deshabilitar los puertos no usados

Configurar Router on a Stick

Configurar el Router

Configuración de Dot1Q e interfaces

Ping exitoso entre PC-A y PC-B