Video 21 - ACL Estese in Packet Tracer
Filtraggio granulare L3/L4: sorgente, destinazione, porta TCP/UDP, posizionamento vicino alla sorgente e controllo servizi HTTP, FTP, ICMP.
2. Di cosa parla questo video
In questo tutorial ti guiderò nella realizzazione di una rete in cui implementeremo le liste di controllo accessi: ACL Estese per filtrare in modo granulare il traffico in base a IP sorgente, IP destinazione, protocollo e porta TCP/UDP, controllando servizi specifici.
Le ACL Estese (100-199 e 2000-2699) sono il firewall L3/L4 Cisco: filtrano source + destination + protocol + port. Costruiamo una rete con 2 LAN 192.168.1.0/26 e 192.168.1.64/26 + server 192.168.1.10 con HTTP 80, FTP 21, DNS 53, ICMP. Obiettivo: LAN1 può fare tutto tranne FTP verso server, LAN guest 192.168.1.128/26 può solo navigare HTTP ma non ping. Configuriamo access-list 100 deny tcp 192.168.1.0 0.0.0.63 host 192.168.1.10 eq 21, deny icmp any any, permit tcp any host 192.168.1.10 eq 80, permit ip any any, applichiamo ip access-group 100 in vicino alla sorgente su G0/0, verifichiamo con show access-lists hit count, show ip interface e test browser/ftp/ping.
Le Estese sono dove si vede chi ha capito le ACL. Nel video al minuto 13 mostro l'errore che fa fallire tutti: mettete deny tcp any any eq 80 per bloccare web, ma bloccate anche il traffico di ritorno perché non considerate established. In realtà per bloccare HTTP verso server dovete filtrare in ingresso sulla sorgente con destination eq 80. Al minuto 19 mostro il trucco: ordine delle ACE top-down, se mettete permit ip any any prima di deny tcp, la deny non sarà mai valutata. E al minuto 24 mostro established e log per vedere hit count in tempo reale.
3. Obiettivi di apprendimento
- ✅ Realizzare una rete con accessi controllati tramite ACL Estese
- ✅ Simulare la rete in Packet Tracer con filtraggio per servizio
- ✅ Implementare le ACL Estese numerate e named con eq, gt, log
Alla fine configurerai ACL 100 con deny tcp per porta 21 FTP, deny icmp per ping, permit tcp eq 80 per HTTP, permit ip any any finale, applicherai vicino alla sorgente in ingresso, verificherai con show access-lists con match incrementali, testerai browser OK / ftp KO / ping KO per guest, e capirai differenza Standard vs Estesa.
4. Perché le Estese - Dallo Standard al granulare
ACL Standard del Video 20 blocca tutto da una sorgente. Le Estese bloccano solo un servizio:
| ACL Standard (Video 20) | ACL Estesa (questo video) |
|---|---|
| Blocca tutta la sorgente verso destinazione | Blocca solo FTP, permette HTTP e ping |
| deny host 192.168.1.2 → niente raggiunge server | deny tcp host 192.168.1.2 host 192.168.1.10 eq 21 → solo FTP bloccato |
| No controllo porta | eq 80 http, eq 21 ftp, eq 53 dns, icmp |
| Vicino alla destinazione | Vicino alla sorgente per efficienza |
| 1-99 filtra solo source | 100-199 filtra source + dest + protocol + port |
| Filtro grossolano | Firewall L4 granulare |
Se vi chiedono "Blocca FTP ma permetti HTTP verso server 192.168.1.10", rispondete: "access-list 100 deny tcp 192.168.1.0 0.0.0.63 host 192.168.1.10 eq 21, permit tcp any host 192.168.1.10 eq 80, permit ip any any, applicata in su interfaccia G0/0 LAN vicino alla sorgente. Verifico con show access-lists e test ftp fallito e browser OK". È la risposta che dimostra controllo L4.
5. Concetti chiave - 100-199, TCP/UDP, eq, gt, log
Cuore del video, minuto 7-20:
6. Lab in Packet Tracer - Rete con ACL Estese
Nel video (minuto 4-28):
- Topologia: R1 192.168.1.1/26 G0/0 LAN1 192.168.1.0/26 + S0/0/0 10.0.0.1/30 verso R2, R2 10.0.0.2/30 + G0/0 192.168.1.65/26 LAN2 + server 192.168.1.70 con HTTP, FTP, DNS. LAN guest 192.168.1.128/26 su R1 G0/1 192.168.1.129/26
- Obiettivo 1: LAN1 .0/26 non può fare FTP verso server 192.168.1.70 ma può HTTP e ping. ACL 100 su R1 G0/0 in: deny tcp 192.168.1.0 0.0.0.63 host 192.168.1.70 eq 21 + permit ip any any
- Obiettivo 2: Guest 192.168.1.128/26 può solo HTTP verso 192.168.1.70, no ping, no FTP. ACL 110 su R1 G0/1 in: permit tcp 192.168.1.128 0.0.0.63 host 192.168.1.70 eq 80 + permit udp any host 192.168.1.70 eq 53 (DNS) + deny ip any any
- Named: ip access-list extended BLOCK-FTP → deny tcp 192.168.1.0 0.0.0.63 host 192.168.1.70 eq 21 log → permit ip any any → ip access-group BLOCK-FTP in
- Verifica: PC1 browser http://192.168.1.70 OK, ftp 192.168.1.70 KO (530), ping OK. Guest browser OK, ftp KO, ping KO (Request timed out). show access-lists con hit su deny, show ip interface g0/0 in con ACL 100
Porte: 80 http, 443 https, 21 ftp control, 20 ftp data, 22 ssh, 23 telnet, 53 dns, 25 smtp, 110 pop3, icmp = ping. Estesa vicino alla sorgente in (G0/0 in LAN1) per bloccare subito senza attraversare rete. Ordine: deny specifici (eq 21) prima, permit http poi, permit ip any any ultimo. Sempre permit DNS eq 53 se permetti http per nome altrimenti nslookup fallisce. Nel video al minuto 22 mostro log e hit count incrementale.
7. Errori comuni da evitare
- Posizionamento sbagliato: ACL Estesa vicino alla destinazione (R2 G0/0 out) invece di sorgente → traffico attraversa tutta la rete prima di essere scartato, spreco banda. Estese sempre vicino alla sorgente in.
- Ordine ACE errato: permit ip any any prima di deny tcp eq 21 → deny mai hit, FTP passa. Top-down: deny specifici in alto, permit generici in basso.
- Dimenticare DNS: permit tcp eq 80 ma non permit udp eq 53 → browser con nome fallisce perché DNS query bloccata. Sempre permettere DNS se permetti HTTP per nome.
- eq 80 vs eq www: su IOS eq www = eq 80, ma eq 80 più leggibile. Attenzione a ftp-data 20 oltre a ftp 21, altrimenti listing fallisce.
- Bloccare ritorno: deny tcp any host 192.168.1.70 eq 80 su interfaccia sbagliata blocca anche risposte 80→PC. Applica in su sorgente, non out su destinazione per traffico originato da LAN.
- Mancanza permit ip any any: senza finale, implicit deny blocca tutto compreso OSPF e DHCP. Sempre permit ip any any o almeno permit ospf any any se OSPF su stessa interfaccia.
- Wildcard /26 errata: deny tcp 192.168.1.0 0.0.0.255 host X eq 21 → blocchi /24 intera invece di /26 .0-.63. Usa 0.0.0.63 per /26.
ACL Estesa senza permit ip any any e ordine sbagliato. Sintomo: dopo access-list 100 deny tcp any any eq 21, ping fallisce, OSPF neighbor DOWN, DHCP non funziona, show access-lists mostra 0 hit su permit. Soluzione: aggiungi permit ip any any ultimo, o permit icmp any any per ping, permit udp any any eq 53 per DNS, e metti deny specifici in alto. Verifica con show access-lists e clear counters. Nel video al minuto 26 mostro rete isolata per mancanza di permit any any.
8. Approfondimento: casi d'uso reali
Dopo Video 20 e 21, ACL in produzione:
| Caso d'uso | ACL Estesa esempio |
|---|---|
| Blocca FTP ma permetti HTTP | deny tcp LAN host SERVER eq 21, permit tcp any host SERVER eq 80 |
| Guest solo web | permit tcp guest host server eq 80, permit udp guest host server eq 53, deny ip any any |
| Blocca ping ma permetti servizi | deny icmp any any echo, permit ip any any (blocca ping, permette resto) |
| DMZ - Esterno solo 80/443 | permit tcp any host DMZ eq 80, permit tcp any host DMZ eq 443, deny ip any any |
| Proteggi VTY SSH | access-list 10 permit host admin, line vty 0 4 → access-class 10 in |
| Log tentativi | deny tcp any host SERVER eq 22 log → syslog tentativi SSH |
Prossimo video: DMZ con ACL su router/firewall - zona demilitarizzata.
📚 Compito per casa
Crea rete: R1 192.168.1.1/26 G0/0 LAN1 .0/26 + 10.0.0.1/30, R2 10.0.0.2/30 + G0/0 192.168.1.65/26 server 192.168.1.70 HTTP/FTP, G0/1 192.168.1.129/26 guest .128/26. Configura ACL 100 su R1 G0/0 in: deny tcp 192.168.1.0 0.0.0.63 host 192.168.1.70 eq 21 + permit ip any any. ACL 110 su R1 G0/1 in: permit tcp 192.168.1.128 0.0.0.63 host 192.168.1.70 eq 80 + permit udp 192.168.1.128 0.0.0.63 host 192.168.1.70 eq 53 + deny ip any any. Verifica show access-lists con hit, browser HTTP OK, ftp KO da LAN1, guest ping KO ma HTTP OK. Prova named WEB-ONLY con log. Screenshot access-lists + test. Mandamelo prima della DMZ.