Configuración de la lista de control de acceso MAC, IPv4 e IPv6 en un punto de acceso inalámbrico

Objetivo

Una lista de control de acceso (ACL) es una lista de filtros de tráfico de red y acciones correlacionadas utilizadas para mejorar la seguridad. Bloquea a usuarios no autorizados y permite a los usuarios autorizados acceder a recursos específicos. Una ACL contiene los hosts a los que se permite o se niega el acceso al dispositivo de red. Las ACL se pueden definir de una de dos maneras: por dirección IPv4 o por dirección IPv6.

En este artículo se explica cómo crear correctamente una ACL y configurar las ACL basadas en IPv4, IPv6 y control de acceso a medios (MAC) en el punto de acceso inalámbrico (WAP) para mejorar la seguridad de la red.

Dispositivos aplicables

• Serie WAP100
• Serie WAP300
• Serie WAP500

Versión del software

• 1.0.6.2 - WAP121, WAP321
• 1.2.0.2 - WAP371, WAP551, WAP561
• 1.0.1.4 - WAP131, WAP351
• 1.0.0.16 - WAP150, WAP361

Crear ACL

Nota: Las imágenes usadas para esta configuración son de WAP150.

Paso 1. Inicie sesión en la utilidad basada en web del punto de acceso y elija ACL > ACL Rule.

Nota: Para WAP121, WAP321, WAP371, WAP551 y WAP561: Inicie sesión en la utilidad basada en web del punto de acceso y elija Client QoS > ACL.

Paso 2. Una vez que se abra la página ACL Configuration, ingrese el nombre ACL en el campo ACL Name.

Paso 3. Elija un tipo de ACL en la lista desplegable Tipo de ACL.

• IPv4: dirección de 32 bits (4 bytes).
• IPv6: un sucesor de IPv4, consta de una dirección de 128 bits (8 bytes).
• MAC: la dirección MAC es la dirección única asignada a una interfaz de red.

Paso 4. Haga clic en el botón Agregar ACL.

Si selecciona MAC, vaya directamente a Configurar ACL basada en MAC.

Si elige IPv4, vaya directamente a Configurar ACL basada en IPv4.

Si elige IPv6, vaya directamente a Configurar ACL basada en IPv6.

Ahora debería haber creado correctamente una ACL.

Configuración de ACL basada en MAC

Paso 1. Elija la ACL de la lista desplegable Nombre de ACL - Tipo de ACL a la que desea agregar reglas.

Nota: En la siguiente imagen, se eligió ACL1 MAC como ejemplo.

Paso 2. Si se debe configurar una nueva regla para la ACL elegida, elija Nueva regla en la lista desplegable Regla. De lo contrario, elija una de las reglas actuales de la lista desplegable Regla.

Nota: Se puede crear un máximo de 10 reglas para una única ACL.

Paso 3. Elija la acción para la regla ACL en la lista desplegable Acción.

Nota: En este ejemplo, se crea una instrucción Deny.

• Denegar: bloquea todo el tráfico que cumple los criterios de regla para entrar o salir del WAP. Debido a que hay una regla de denegación de todo implícita al final de cada ACL, se descarta el tráfico que no está permitido explícitamente.
• Permiso: permite que todo el tráfico que cumple los criterios de regla ingrese o salga del WAP. Se descarta el tráfico que no cumple los criterios.

Nota: Los pasos 4 a 11 son opcionales. Los filtros marcados están habilitados. Desactive la casilla de verificación del filtro que no desea que se aplique a esta regla específica.

Paso 4. Marque la casilla de verificación Coincidir con todos los paquetes para que coincida con la regla para cada trama o paquete, independientemente de su contenido. Desactive la casilla para configurar cualquiera de los criterios coincidentes adicionales.

Sugerencia: Si Coincide con Todos los Paquetes ya está marcado, vaya directamente al Paso 12.

Paso 5. En el área EtherType, elija un botón de opción para comparar los criterios coincidentes con el valor del encabezado de una trama Ethernet. Puede elegir una de estas opciones o elegir Any:

• Seleccionar de la lista: elija un protocolo de la lista desplegable. La lista tiene las siguientes opciones: appletalk, arp, IPv4, IPv6, ipx, netbios, pppoe.
• Match to Value: para el identificador de protocolo personalizado, introduzca el identificador que va desde 0600 a FFFF.

Paso 6. En el área Clase de servicio, elija un botón de opción para introducir la prioridad de usuario 802.1p para comparar con una trama Ethernet. Puede elegir Any (Cualquiera) o User Defined priority (Prioridad definida por el usuario). Introduzca la prioridad que va de 0 a 7 en el campo Definido por el usuario.

Paso 7. En el área MAC de origen, elija un botón de opción para comparar la dirección MAC de origen con una trama Ethernet. Puede elegir Any o User Defined e introducir la dirección MAC de origen en el campo proporcionado.

Paso 8. Ingrese la máscara de dirección MAC de origen en el campo Máscara MAC de Origen que especifica qué bits en la MAC de origen comparar con una trama Ethernet.

Nota: Si la máscara MAC utiliza un bit 0, se acepta la dirección y, si utiliza 1 bit, se omite la dirección.

Paso 9. En el área MAC de destino, elija un botón de opción para comparar la dirección MAC de destino con una trama Ethernet. Puede elegir Anyor elija User Defined e introducir la dirección MAC de destino en el campo proporcionado.

Paso 10. Ingrese la máscara de dirección MAC de destino en el campo Máscara MAC de Destino que especifica qué bits en la MAC de destino comparar con una trama Ethernet.

Nota: Si la máscara MAC utiliza un bit 0, se acepta la dirección y, si utiliza un bit 1, se omite la dirección.

Paso 11. En el área VLAN ID, elija un botón de opción para comparar el ID de VLAN con una trama Ethernet. Introduzca el ID de VLAN que va de 0 a 4095 en el campo proporcionado.

Paso 12. Click Save.

Paso 13. (Opcional) Para eliminar la ACL configurada, marque la casilla de verificación Eliminar ACL y luego haga clic en Guardar.

Ahora debería haber configurado correctamente la ACL MAC en su WAP.

Configuración de ACL basada en IPv4

Paso 1. En el área ACL Rule Configuration , configure estos parámetros de regla:

ACL Name (Nombre de ACL) - ACL Type (Tipo de ACL)Elija la ACL que desea configurar con la nueva regla.

Nota: En la siguiente imagen, se eligió como ejemplo IPv4_ACL-IPv4.

Paso 2. Si se debe configurar una nueva regla para la ACL elegida, elija Nueva regla en la lista desplegable Regla. De lo contrario, elija una de las reglas actuales de la lista desplegable Regla.

Nota: Se puede crear un máximo de 10 reglas para una única ACL.

Paso 3. Elija la acción para la regla ACL en la lista desplegable Acción.

Nota: En este ejemplo, se crea una instrucción Permit.

• Denegar: bloquea todo el tráfico que cumple los criterios de regla para entrar o salir del WAP. Debido a que hay una regla de denegación de todo implícita al final de cada ACL, se descarta el tráfico que no está permitido explícitamente.
• Permiso: permite que todo el tráfico que cumple los criterios de regla ingrese o salga del WAP. Se descarta el tráfico que no cumple los criterios.

Nota: Los pasos 4 a 9 son opcionales. Los filtros marcados están habilitados. Desactive la casilla de verificación del filtro si no desea que se aplique a esta regla específica.

Paso 4. Marque la casilla de verificación Coincidir con todos los paquetes para que coincida con la regla para cada trama o paquete, independientemente de su contenido. Desactive la casilla para configurar cualquiera de los criterios de coincidencia adicionales.

Sugerencia: Coincidir con todos los paquetes está habilitado de forma predeterminada. Si desea mantener esta configuración, vaya directamente al Paso 11.

Paso 5. En el área Protocol , elija un botón de opción para comparar los criterios coincidentes con el valor en el encabezado de una trama Ethernet. Puede elegir Any (Cualquiera) o seleccionar en la lista desplegable

• Seleccionar de la lista: elija uno de estos protocolos:

Paso 6. En el área IP de origen, elija un botón de opción para incluir la dirección IP del origen en la condición de coincidencia. Puede elegir Any (Cualquiera) o User Defined (Definido por el usuario) e introducir la dirección IP y la máscara comodín del origen en los campos correspondientes.

• Dirección IP de Origen: introduzca una dirección IP para aplicar estos criterios.
• Máscara de tarjeta comodín: introduzca la máscara comodín de la dirección IP de destino. La máscara comodín determina qué bits se utilizan y qué bits se ignoran. Una máscara comodín de 255.255.255.255 indica que ningún bit es importante. Un comodín de 0.0.0.0 indica que todos los bits son importantes. Este campo es obligatorio cuando se selecciona Dirección IP de origen.

Nota: Una máscara comodín es básicamente el inverso de una máscara de subred. Por ejemplo, para hacer coincidir los criterios con una única dirección de host, utilice una máscara comodín de 0.0.0.0. Para hacer coincidir los criterios con una subred de 24 bits (por ejemplo, 192.168.10.0/24), utilice una máscara comodín de 0.0.0.255.

Paso 7. En el área Puerto de Origen, elija un botón de opción para incluir un puerto de origen en la condición de coincidencia. Puede elegir Anypara que coincida con cualquier puerto de origen o puede elegir lo siguiente:

• Seleccionar de la lista: elija un puerto de origen en la lista desplegable Seleccionar de la lista. Las opciones son las siguientes:

• Coincidir con puerto: introduzca el número de puerto que no se muestra en la lista. Los números de puerto van de 0 a 65535 en el campo Match to Port para los puertos de origen no enumerados. El rango incluye tres tipos diferentes de puertos. Los intervalos se describen de la siguiente manera

• Mask (Máscara): introduzca la máscara de puerto. La máscara determina qué bits se utilizan y qué bits se ignoran. Sólo se permite el dígito hexadecimal (0 — 0xFFFF). 0 significa que el bit importa y 1 significa que debe ignorar este bit.

Paso 8. En el área IP de destino, elija un botón de opción para incluir la dirección IP del destino en la condición de coincidencia. Puede elegir Any (Cualquiera) o User Defined (Definido por el usuario) e introducir la dirección IP y la máscara comodín del destino en los campos correspondientes.

• Dirección IP de destino: introduzca una dirección IP para aplicar estos criterios.
• Máscara de tarjeta comodín: introduzca la máscara comodín de la dirección IP de destino. La máscara comodín determina qué bits se utilizan y qué bits se ignoran. Una máscara comodín de 255.255.255.255 indica que ningún bit es importante. Un comodín de 0.0.0.0 indica que todos los bits son importantes. Este campo es obligatorio cuando se selecciona la dirección IP de destino.

Nota: Una máscara comodín es básicamente el inverso de una máscara de subred. Por ejemplo, para hacer coincidir los criterios con una única dirección de host, utilice una máscara comodín de 0.0.0.0. Para hacer coincidir los criterios con una subred de 24 bits (por ejemplo, 192.168.10.0/24), utilice una máscara comodín de 0.0.0.255.

Paso 9. En el área Puerto de destino, elija un botón de opción para incluir un puerto de destino en la condición de coincidencia. Puede elegir Any para que coincida con cualquier puerto de destino o puede elegir lo siguiente:

• Seleccionar de la lista: elija un puerto de destino de la lista desplegable. Las opciones son las siguientes

• Coincidir con puerto: introduzca el número de puerto que no se muestra en la lista. Los números de puerto van de 0 a 65535 en el campo Match to Port para los puertos de origen no enumerados. El rango incluye tres tipos diferentes de puertos. Los intervalos se describen de la siguiente manera:

• Mask (Máscara): introduzca la máscara de puerto. La máscara determina qué bits se utilizan y qué bits se ignoran. Sólo se permite el dígito hexadecimal (0-0xFFFF). 0 significa que el bit importa y 1 significa que debe ignorar este bit.

• IP DSCP Select From List: coincide con los paquetes según sus valores de punto de código de servicios diferenciados (DSCP) Assured Forwarding (AS), clase de servicio (CS) o reenvío acelerado (EF).
• IP DSCP Match to Value: Coincide con los paquetes según un valor DSCP personalizado. Si se selecciona, introduzca un valor entre 0 y 63 en este campo.
• Precedencia IP: Coincide con los paquetes según su valor de precedencia IP. Si se selecciona, introduzca un valor de precedencia IP de 0 a 7.
• Bits de TOS IP: especifica un valor para utilizar los bits TOS de los paquetes en el encabezado IP como criterios de coincidencia.
• El campo TOS IP de un paquete se define como los ocho bits del octeto Tipo de servicio en el encabezado IP. El valor de Bits TOS IP es un número hexadecimal de dos dígitos entre 00 y ff. Los tres bits de orden superior representan el valor de precedencia IP. Los seis bits de orden superior representan el valor DSCP IP.
• Máscara IP TOS: introduzca un valor de Máscara IP TOS TOS para identificar las posiciones de bit en el valor de Bits IP TOS que se utilizan para la comparación con el campo IP TOS en un paquete.
• El valor de Máscara IP TOS es un número hexadecimal de dos dígitos entre 00 y FF, que representa una máscara invertida (es decir, comodín). Los bits con valor cero en la máscara IP TOS denotan las posiciones de bits en el valor de bits IP TOS que se utilizan para la comparación con el campo IP TOS de un paquete. Por ejemplo, para verificar si un valor de TOS IP tiene los bits 7 y 5 establecidos y el bit 1 despejado, donde el bit 7 es más significativo, utilice un valor de Bits TOS IP de 0 y una Máscara IP TOS de 00.

Configuración de ACL basada en IPv6

• Denegar: bloquea todo el tráfico que cumple los criterios de regla para entrar o salir del WAP. Debido a que hay una regla de denegación de todo implícita al final de cada ACL, se descarta el tráfico que no está permitido explícitamente.
• Permiso: permite que todo el tráfico que cumple los criterios de regla ingrese o salga del WAP. Se descarta el tráfico que no cumple los criterios.

• Seleccionar de la lista: elija uno de estos protocolos:

• Match to Value: introduzca un ID de protocolo asignado por IANA estándar de 0 a 255. Elija este método para identificar un protocolo que no aparece por nombre en la lista Seleccionar de.

• Dirección IPv6 de origen: introduzca una dirección IPv6 para aplicar estos criterios.
• Longitud del prefijo IPv6 de origen: introduzca la longitud del prefijo de la dirección IPv6 de origen.

• Seleccionar de la lista: elija un puerto de origen en la lista desplegable Seleccionar de la lista. Las opciones son las siguientes:

• Coincidir con puerto: introduzca el número de puerto que no se muestra en la lista. Los números de puerto van de 0 a 65535 en el campo Match to Port para los puertos de origen no enumerados. El rango incluye tres tipos diferentes de puertos. Los intervalos se describen de la siguiente manera:

• Mask (Máscara): introduzca la máscara de puerto. La máscara determina qué bits se utilizan y qué bits se ignoran. Sólo se permite el dígito hexadecimal (0 ⠀ 0xFFFF). 0 significa que el bit importa y 1 significa que debe ignorar este bit.

• Destination IPv6 Address (Dirección IPv6 de destino): introduzca una dirección IPv6 para aplicar estos criterios.
• Longitud del prefijo IPv6 de destino: introduzca la longitud del prefijo de la dirección IPv6 de destino.

• Seleccionar de la lista: elija un puerto de destino en la lista desplegable Seleccionar de la lista. Las opciones son FTP, datos FTP, HTTP, SNMP, SMTP, TFTP, Telnet, WWW.
• Coincidir con puerto: introduzca el número de puerto que no se muestra en la lista. Los números de puerto van de 0 a 65535 en el campo Match to Port para los puertos de origen no enumerados. El rango incluye tres tipos diferentes de puertos. Los intervalos se describen de la siguiente manera:

• Mask (Máscara): introduzca la máscara de puerto. La máscara determina qué bits se utilizan y qué bits se ignoran. Sólo se permite el dígito hexadecimal (0-0xFFFF). 0 significa que el bit importa y 1 significa que debe ignorar este bit.

• Seleccionar de la lista — Elija uno de estos valores: Reenvío garantizado (AF) DSCP, Clase de servicio (CS) o Reenvío acelerado (EF).
• Coincidir con valor: introduzca un valor DSCP personalizado que oscile entre 0 y 63.