¿Qué es un ligamento cruzado anterior (LCA)?

Una lista de control de acceso (ACL) es un conjunto ordenado y con nombre de reglas que comparan el tráfico de red con criterios de las capas 2 a 7 —direcciones, puertos y protocolos— y aplican una acción, como permitir, denegar o rechazar, a los paquetes que cumplen dichos criterios. Los routers, los conmutadores y los cortafuegos evalúan las reglas de forma secuencial, deteniéndose en la primera coincidencia.

Puntos clave

• Las ACL filtran el tráfico según criterios de las capas 2 a 7 y aplican las acciones de permitir, denegar o rechazar.
• Las reglas se evalúan por orden; la primera que coincida prevalece y la evaluación se detiene.
• Las ACL estándar filtran por dirección de origen; las ACL ampliadas añaden más criterios.
• Las ACL son sin estado: cada paquete se comprueba sin tener en cuenta la conexión.
• Versa Los dispositivos VOS aplican las ACL en las capas 2 y 3 mediante el hardware de la NPU.

En esta página: Por qué es importante · Cómo funciona · Tipos · ACL y Versa · Preguntas frecuentes

¿Por qué es importante el ligamento cruzado anterior (LCA)?

Una ACL sigue siendo fundamental para la seguridad de la red porque hace una cosa extremadamente bien: un router, un switch o un cortafuegos lee las cabeceras de los paquetes, las compara con una lista ordenada de reglas y permite o rechaza el paquete antes de que consuma más recursos de procesamiento. Esa evaluación se ejecuta en el hardware, por lo que las ACL alcanzan la velocidad de línea en chips que se verían saturados con la inspección con estado.

Las ACL también proporcionan a los administradores el nivel de control más general y explícito: reglas a nivel de interfaz que determinan qué tráfico puede siquiera entrar en un segmento, antes de que se ejecute cualquier política basada en aplicaciones. Esto las convierte en una primera línea de defensa —segmentando VLAN, bloqueando rangos de direcciones conocidos como maliciosos— y en un pilar fundamental sobre el que se asientan controles más sofisticados, ya que muchas funciones de los cortafuegos se traducen en reglas de tipo ACL.

¿Qué es un ligamento cruzado anterior (LCA)?

Una ACL es una lista de reglas, denominadas o numeradas, cada una de las cuales especifica unas condiciones de coincidencia y una acción. Las condiciones analizan los campos de la capa 2 (dirección MAC, VLAN), los de la capa 3 (direcciones IP de origen y destino) y los de la capa 4 (protocolo, puertos). La acción que se aplica en caso de coincidencia suele ser «permitir», «denegar» o «rechazar»; algunas plataformas añaden funciones de recuento, redirección del motor de servicios o limitación de velocidad mediante un regulador.

Las reglas se evalúan de arriba abajo, deteniéndose en la primera coincidencia: el orden determina el resultado, por lo que las reglas específicas tienen prioridad sobre las más generales. La mayoría de las implementaciones terminan con una denegación implícita: los paquetes que no coinciden se descartan por defecto, por lo que una ACL debe permitir explícitamente el tráfico que pretende admitir. Las ACL son sin estado: cada paquete se comprueba de forma independiente, sin tener en cuenta los paquetes anteriores, lo que diferencia a una ACL de una política de cortafuegos con estado.

Tipos de ACL

Las implementaciones varían según el proveedor, pero la mayoría se clasifican en unas pocas categorías. Las ACL estándar solo comparan la dirección de origen, lo que ofrece un control general: permiten o deniegan el acceso a toda una red en una sola regla. Las ACL extendidas añaden la comparación de la dirección de destino, el protocolo y el puerto, lo que permite que una regla autorice el tráfico HTTPS desde un host a un servidor concreto, en lugar de a toda una subred. Las ACL con nombre identifican la lista por su nombre en lugar de por un número, lo que facilita las modificaciones y las auditorías. Otro eje es el alcance: las ACL de capa 2 comparan campos de Ethernet como la dirección MAC y la VLAN, mientras que las ACL de capa 3/4 comparan direcciones IP, protocolos y puertos; el hardware NPU de Versaevalúa ambos aspectos conjuntamente.

LCA y Versa

Versa Implementa las ACL en dos planos de configuración. En los dispositivos VOS con hardware de conmutación NPU —las series CSG3000, CSX4000 y CSG5000—, las políticas de ACL de la NPU filtran el tráfico en el silicio de ruta rápida, antes de que llegue a la CPU. Cada inquilino configura una política de ACL de capa 2 y hasta dos políticas de IPv4 de capa 3 (de ancho simple y doble, que difieren en la memoria TCAM y en la coincidencia del rango de puertos), además de una política de IPv6 de capa 3. Las reglas coinciden con direcciones MAC e IP, DSCP y tipo de ICMP; la acción puede permitir, denegar, contar o redirigir el paquete a la CPU para su filtrado antivirus. Un perfil de calidad de servicio (QoS) puede asociar un regulador para limitar la velocidad del tráfico que cumpla los criterios de coincidencia.

En los conmutadores CSX de la serie « Versa », las políticas de ACL de SD-LAN se configuran mediante el asistente de flujos de trabajo de Director y se aplican a los puertos del conmutador a través de un perfil de puerto.

Preguntas frecuentes

¿Cuál es la diferencia entre las ACL estándar y las ampliadas?

Las ACL estándar solo comparan la dirección de origen, lo que permite un control general de «permitir/denegar» sobre toda una red en una sola regla. Las ACL ampliadas añaden la comparación de la dirección de destino, el protocolo y el puerto, lo que permite que una regla permita o deniegue un flujo específico de una aplicación entre dos hosts, y no toda una subred.

¿Cuál es la diferencia entre un ACL y un cortafuegos?

Una ACL evalúa cada paquete de forma independiente comparándolo con una lista de reglas estáticas; no guarda ningún registro de los paquetes anteriores. Un cortafuegos con seguimiento de estado realiza un seguimiento de las conexiones y permite automáticamente el tráfico de retorno de una sesión ya autorizada, por lo que necesita muchas menos reglas que una configuración equivalente basada únicamente en ACL.

¿Qué ocurre con el tráfico que no cumple ninguna regla de la lista de control de acceso (ACL)?

La mayoría de las implementaciones de ACL terminan con una denegación implícita: cualquier paquete que no se ajuste a ninguna de las reglas configuradas se descarta por defecto. Por eso, una ACL debe permitir explícitamente todos los patrones que se pretende autorizar, y no solo el tráfico que se pretende bloquear.

¿Importa el orden de las reglas en una ACL?

Sí. Las reglas se evalúan de arriba abajo y el procesamiento se detiene en cuanto se encuentra la primera coincidencia, por lo que una regla general situada por encima de una específica puede anularla sin que se note y dar lugar a un resultado erróneo. Los administradores ordenan las reglas de más específica a menos específica para evitar coincidencias no deseadas.

¿Puede una ACL limitar el tráfico en lugar de limitarse a permitirlo o denegarlo?

Sí, en las plataformas que lo admiten. Las reglas ACL de la NPU de Versapueden asociar un perfil de calidad de servicio (QoS) que aplique un regulador de tráfico, evaluando las velocidades de información comprometidas y máximas, de modo que el tráfico que supere la velocidad configurada se marque y se descarte, en lugar de simplemente pasar o bloquearse.

Más información sobre el ligamento cruzado anterior (LCA)

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre ACL, te conviene echar un vistazo a lo siguiente.