1. ¿Qué es una ACL (lista de control de acceso)?
Una lista de control de acceso (ACL) es un conjunto ordenado de reglas en un equipo de red (router, switch, punto de acceso) que permite o deniega el tráfico según atributos como la IP de origen, la IP de destino, el protocolo y el puerto.
El equipo evalúa las reglas en orden y la primera coincidencia es la que se aplica. Si no hay ninguna coincidencia, suele aplicarse una denegación implícita. Puntos clave:
Las ACL pueden aplicarse en entrada o en salida en interfaces o interfaces de VLAN.
Las ACL pueden registrar las coincidencias (según la plataforma) para ganar visibilidad.
Complementan a los firewalls: las ACL protegen el plano de gestión frente a las amenazas internas.
2. ¿Por qué usar ACL en switches, puntos de acceso y routers?
Proteger el plano de gestión
Las interfaces de gestión (SSH, HTTPS, SNMP) nunca deben ser accesibles desde las VLAN de usuarios. Las ACL limitan estos servicios a las redes de administración.
Defensa en profundidad
El firewall se encarga del perímetro, pero las ACL protegen el interior de su red. Si un atacante consigue entrar, no podrá saltar a sus equipos troncales.
Reducir los errores de configuración
Si solo la subred de administración puede conectarse, un ingeniero situado en la VLAN equivocada no podrá romper nada por accidente.
Auditoría y visibilidad
Las ACL con registro ayudan a detectar intentos de acceso o escaneos sospechosos.
3. Ejemplo de caso de uso
Escenario:
Red de gestión:
192.168.100.0/24Subred de administración:
172.16.10.0/28Servicios permitidos:
SSH (22),HTTPS (443)Objetivo: solo
172.16.10.0/28puede acceder a la gestión. Todo lo demás queda bloqueado.
4. Ejemplos de configuración
Cisco IOS: ACL extendida con nombre
! Create a named extended ACL
ip access-list extended MGMT_ONLY
remark Allow admin subnet to management services
permit tcp 172.16.10.0 0.0.0.15 any eq 22 ! SSH
permit tcp 172.16.10.0 0.0.0.15 any eq 443 ! HTTPS
deny ip any any ! Explicit deny
! Apply ACL inbound on the management interface
interface GigabitEthernet0/0
description Management Interface
ip access-group MGMT_ONLY in
Notas
Utilice una ACL con nombre para mayor claridad. 0.0.0.15 es la máscara wildcard de un /28. Termine siempre con una denegación explícita.
Aruba AOS-CX: ACL en la VRF
! Create an IPv4 ACL named mgmt_only
access-list ip mgmt_only
permit tcp 172.16.10.0/255.255.255.240 any eq ssh ! SSH
permit tcp 172.16.10.0/255.255.255.240 any eq ssh ! HTTPS
deny ip any any ! Deny all others
! Bind the ACL to the management VLAN
apply access-list ip mgmt_only control-plane vrf default
apply access-list ip mgmt_only control-plane vrf mgmt
Notas
Aruba AOS-CX utiliza números de regla para el orden. Aplique la ACL en las VRF default y mgmt. Puede ampliarla para SNMP.
HP Procurve: IP authorized-managers
! Create an authorized-managers
ip authorized-managers 172.16.10.0 255.255.255.240 access manager access-method ssh
ip authorized-managers 172.16.10.0 255.255.255.240 access manager access-method web
5. Buenas prácticas y errores habituales
El orden importa: en una ACL se aplica la primera coincidencia. Termine siempre con una denegación (deny ip any any). Pruebe antes de aplicarla en interfaces de producción. Registre los paquetes denegados cuando sea posible. Documéntelo todo: las ACL evolucionan y la claridad evita errores. Haga una copia de seguridad antes de cualquier cambio: una ACL incorrecta puede dejarle sin acceso.
6. Comandos show / debug útiles
show access-list mgmt_only
Qué comprobar
¿Está la ACL aplicada a la interfaz o VLAN correcta? ¿Aumentan los contadores de coincidencias como se espera? ¿Se están denegando conexiones legítimas?
7. Impacto en la seguridad: ¿qué pasa si prescinde de las ACL?
Sin ACL, cualquier usuario o atacante dentro de la red local corporativa puede: escanear las interfaces de gestión y acceder a ellas, intentar ataques de fuerza bruta contra SSH o HTTPS, cambiar configuraciones o cargar un firmware malicioso, y moverse lateralmente por la red. Las ACL lo impiden al permitir que solo las subredes de administración de confianza lleguen a los planos de gestión críticos.
8. Las ACL como parte de un todo: el cumplimiento con ConnectMyAssets
En los entornos de red modernos, las listas de control de acceso no son solo una capa de seguridad: son una pieza clave de su estrategia global de cumplimiento. Pero mantenerlas coherentes en decenas (o cientos) de switches puede convertirse rápidamente en una pesadilla.
Ahí entra en juego ConnectMyAssets. Nuestra plataforma no se limita a comprobar si existen ACL: valida que sean correctas, conformes y estén alineadas con las políticas de seguridad de su organización.
Con ConnectMyAssets, usted puede:
Auditar automáticamente sus switches en busca de errores de configuración de las ACL
Detectar entradas no autorizadas o ausentes en las VLAN de gestión
Comparar las configuraciones actuales con su referencia de cumplimiento
Generar informes que demuestren la alineación con las normas internas o regulatorias
Dicho de otro modo, las ACL son solo el principio. ConnectMyAssets le ofrece un marco completo de visibilidad y control para garantizar que lo configurado en sus switches refleja de verdad lo que espera su equipo de seguridad, cada día y en toda su red.
9. Conclusión
Una red sin ACL es como un castillo sin puertas. Son fáciles de configurar, no cuestan nada y mejoran drásticamente su postura de seguridad. Restrinja el acceso de gestión, regístrelo todo y duerma tranquilo sabiendo que sus switches y routers no están abiertos al mundo.
