Video 20 - ACL Standard in Packet Tracer
Filtraggio per sorgente: wildcard mask, numerazione 1-99, posizionamento vicino alla destinazione e logica del deny implicito.
2. Di cosa parla questo video
In questo tutorial ti guiderò nella realizzazione di due reti in cui implementeremo le liste di controllo accessi: ACL Standard per filtrare il traffico basandosi esclusivamente sull'indirizzo IP sorgente e controllare l'accesso inter-VLAN e inter-LAN.
Le ACL Standard (1-99 e 1300-1999) sono il primo firewall Cisco: filtrano solo source IP con wildcard mask. Costruiamo due topologie: Rete A con 2 LAN 192.168.1.0/26 e 192.168.1.64/26 + server 192.168.1.10, Rete B con PC ospite 192.168.1.200 che vogliamo bloccare. Configuriamo access-list 10 deny 192.168.1.200 0.0.0.0 + permit any, applichiamo ip access-group 10 in/out su interfaccia G0/0 vicino alla destinazione, verifichiamo con show access-lists, show ip interface e ping filtrati. Vediamo anche ACL named standard.
Le ACL Standard sembrano banali ma bocciano all'esame. Nel video al minuto 11 mostro l'errore micidiale: mettete la ACL Standard vicino alla sorgente invece che vicino alla destinazione. Se bloccate 192.168.1.0/26 su R1 G0/0 vicino alla sorgente, bloccate anche l'accesso al server locale che dovrebbe rimanere aperto. Le Standard vanno sempre vicino alla destinazione perché filtrano solo sorgente. Al minuto 16 mostro il deny implicito invisibile che blocca tutto se dimenticate permit any. E al minuto 22 il wildcard 0.0.0.255 vs 0.0.0.63 per /26.
3. Obiettivi di apprendimento
- ✅ Realizzare una rete con accessi controllati tramite ACL Standard
- ✅ Simulare la rete in Packet Tracer con due topologie di filtraggio
- ✅ Implementare le ACL Standard numerate e named con verifica del filtraggio
Alla fine configurerai ACL Standard 10 con deny host e permit any, calcolerai wildcard per /24, /26, /30, applicherai ip access-group in e out sull'interfaccia corretta vicino alla destinazione, verificherai con show access-lists con hit count, show ip interface che mostra ACL applicata, ping che fallisce per host bloccato e riesce per altri, e comprenderai deny any implicito finale.
4. Perché le ACL - Controllo accessi L3
Senza ACL, OSPF e servizi lasciano tutto aperto:
| Senza ACL (Video 19) | Con ACL Standard (questo video) |
|---|---|
| Qualunque PC accede a server e LAN | Solo IP permessi accedono, altri bloccati |
| Ospite 192.168.1.200 raggiunge server aziendale | Ospite deny con ACL 10 su R2 |
| Nessun controllo sorgente | Filtro source IP con wildcard |
| Rete aperta, rischio sicurezza | Primo livello firewall L3 |
| Tutto permesso di default | Implicit deny any alla fine ACL |
| No tracciamento | show access-lists con hit count |
Se vi chiedono "Dove posizioni una ACL Standard?", rispondete: "Il più vicino possibile alla destinazione, perché filtra solo su IP sorgente e se la metto vicino alla sorgente potrei bloccare traffico verso destinazioni che dovrebbero rimanere raggiungibili. Le Estese invece vicino alla sorgente perché filtrano anche destinazione e porta. E sempre con permit any finale altrimenti deny implicito blocca tutto". Risposta da manuale.
5. Concetti chiave - Wildcard, numerate, named, posizionamento
Cuore del video, minuto 6-18:
6. Lab in Packet Tracer - Due reti con ACL Standard
Nel video (minuto 4-26):
- Topologia 1 - Blocco host: R1 192.168.1.1/26 G0/0 LAN1 .0/26 + S0/0/0 10.0.0.1/30 verso R2, R2 10.0.0.2/30 + G0/0 192.168.1.65/26 LAN2 con server 192.168.1.70. PC1 192.168.1.2 permesso, PC ospite 192.168.1.200 da bloccare verso LAN2
- Config ACL 10 su R2 vicino destinazione: access-list 10 deny host 192.168.1.200 → permit any → int g0/0 ip access-group 10 out (filtra uscente verso LAN2). Test: PC1 ping server OK, ospite ping KO
- Topologia 2 - Blocco rete: LAN ospiti 192.168.1.128/26 non deve accedere a server aziendale 192.168.1.10/26. ACL 20 deny 192.168.1.128 0.0.0.63 permit any su R1 G0/0 out vicino server
- Named ACL: ip access-list standard NO-OSPITI → deny 192.168.1.128 0.0.0.63 → permit any → ip access-group NO-OSPITI out su interfaccia server
- Verifica: show access-lists → (5 matches) su deny, show ip interface g0/0 → Outgoing ACL is 10, debug ip packet detail + access-list, ping e tracert filtrati
host = 0.0.0.0, any = 0.0.0.0 255.255.255.255. Per bloccare /26: 192.168.1.0 0.0.0.63, /24: 0.0.0.255. Standard sempre vicino alla destinazione: R2 G0/0 out verso LAN da proteggere. Se metti in su R1 vicino sorgente blocchi anche altro. Nel video al minuto 14 mostro con tracert il posizionamento corretto e hit count che incrementa.
7. Errori comuni da evitare
- Dimenticare permit any: access-list 10 deny host 192.168.1.200 senza permit any → implicit deny any finale blocca TUTTO, anche PC buoni. Sempre permit any alla fine.
- Posizionamento sbagliato: ACL Standard vicino alla sorgente (R1 G0/0 in) → blocca ospite verso tutte le destinazioni, anche internet. Va vicino alla destinazione (R2 G0/0 out) per filtrare solo LAN protetta.
- Wildcard errata per /26: deny 192.168.1.0 0.0.0.255 per bloccare /26 → blocchi /24 intera 192.168.1.0-255 invece di .0-.63. Usa 0.0.0.63 per /26, 0.0.0.3 per /30.
- Direzione in/out invertita: ip access-group 10 in invece di out su G0/0 → filtri traffico che entra da LAN2 verso router, non quello che esce verso LAN2. Testa con show ip interface.
- ACL su interfaccia sbagliata: applichi ACL 10 su S0/0/0 invece di G0/0 → filtri link WAN, blocchi OSPF Hello 224.0.0.5. Mai su seriale con OSPF senza permit ospf.
- Ordine ACE errato: permit any prima di deny host → deny mai valutato, ordine top-down. Sempre deny specifici prima, permit any ultimo.
- Non considerare return traffic: blocchi 192.168.1.200 out ma non in → risposta del server bloccata al ritorno se ACL su altra interfaccia. Verifica bidirezionale.
ACL senza permit any. Sintomo: dopo access-list 10 deny host 192.168.1.200, nessun PC pinga più server, show access-lists mostra permit any mancante e tutti i pacchetti in deny implicito. Soluzione: aggiungi sempre access-list 10 permit any alla fine, show access-lists verifica 2 linee, clear access-list counters e riprova ping. Nel video al minuto 16 mostro rete completamente isolata per questo errore.
8. Approfondimento: Standard vs Estesa
Dopo questo video, ACL Estese nel Video 21:
| ACL Standard (questo video) | ACL Estesa (prossimo) |
|---|---|
| Filtra solo source IP | Source + Destination + Porta TCP/UDP |
| Numeri 1-99, 1300-1999 | Numeri 100-199, 2000-2699 |
| Vicino alla destinazione | Vicino alla sorgente |
| Blocca host o rete intera | Blocca http ma permette ping, o viceversa |
| Config semplice: deny host X | Granulare: deny tcp any host Y eq 80 |
| Ideale primo filtro | Firewall L3/L4 completo |
Prossimo video: ACL Estese per filtrare servizi specifici.
📚 Compito per casa
Crea due reti: R1 192.168.1.1/26 + 10.0.0.1/30, R2 10.0.0.2/30 + 192.168.1.65/26 con server 192.168.1.70. PC1 192.168.1.2/26, PC ospite 192.168.1.200/26. Configura ACL Standard 10 su R2: deny host 192.168.1.200 permit any, applica ip access-group 10 out su G0/0 verso LAN2. Seconda topologia: LAN guest 192.168.1.128/26 (PC3 .130) non deve accedere a server 192.168.1.10, ACL 20 deny 192.168.1.128 0.0.0.63 permit any su R1 G0/0 out. Verifica show access-lists con hit, show ip interface, ping da PC1 OK, da ospite KO, da guest KO verso server ma OK verso internet. Prova anche named ACL BLOCCA-GUEST. Screenshot access-lists + interface + ping filtrati. Mandamelo prima delle ACL Estese.