Page 356 - Untitled
P. 356
REDES CISCO: Curso práctico de formación para la certificación CCNA
Sin embargo, el administrador de red decide agregar una nueva sentencia para
permitir también la IP 192.168.1.50, quedando definida de la siguiente manera:
1.- Dir. Origen: 192.168.1.50 -> Denegar
2.- Dir. Origen: 192.168.1.25 -> Permitir
3.- Dir. Origen: 192.168.1.110 -> Denegar
4.- Dir. Origen: 192.168.1.50 -> Permitir
Ahora existen 2 entradas para una misma dirección. ¿Cómo actuará el router? La
lógica consiste en aplicar la primera coincidencia, que en este caso define la
denegación, por lo tanto, aquellos paquetes con origen 192.168.1.50 continuarán
siendo descartados. Una vez aplicado un filtro sobre un paquete, el resto de
sentencias no son aplicables sobre el mismo.
En este caso, el modo de proceder correcto consiste en eliminar el filtro de
denegación y posteriormente crear uno nuevo que permita la comunicación.
Un detalle importante a tener en cuenta es que todas las ACL definen de manera
automática una denegación implícita (deny any) al final de la lista, de tal manera que
si un paquete no coincide con ninguno de los filtros configurados, automáticamente
será descartado.
La denegación implícita puede ser evitada configurando manualmente un permit
any como última entrada en la ACL, sin embargo, su aplicación resulta poco o nada
recomendable.
CÓMO DEFINIR UNA ACL ESTÁNDAR
Tanto definir una ACL estándar como agregar nuevos filtros sobre alguna ya
existente se lleva a cabo a través del comando access-list [1-99 | 1300-1999] [permit
| deny] [IP/red origen], ejecutado desde el modo de configuración global, donde:
- [1-99 | 1300-1999]: Define el ID de la ACL a la cual se agregará la sentencia en
cuestión. Su valor debe formar parte de alguno de los dos rangos, ya que son los
destinados por IOS para la creación de las ACL estándar.
- [permit | deny]: Identifica la acción a ejecutar.
- [IP/red origen]: Como su nombre indica, representa la dirección IP o red sobre la
cual se aplicará la acción de permitir o denegar. Esta puede identificar a un solo host,
un conjunto de ellos o cualquier dispositivo.
340
