Entonces, ¿cómo es que una ACL utiliza la información transferida durante una conversación TCP/IP para filtrar tráfico?

El filtrado de paquetes, a veces denominado “filtrado de paquetes estático”, controla el acceso a una red mediante el análisis de los paquetes entrantes y salientes y la transferencia o el descarte de estos según determinados criterios, como la dirección IP de origen, la dirección IP de destino y el protocolo incluido en el paquete.

Cuando reenvía o deniega los paquetes según las reglas de filtrado, un router funciona como filtro de paquetes. Cuando llega un paquete a un router que filtra paquetes, el router extrae cierta información del encabezado. Con esta información, el router decide si el paquete puede pasar o si se debe descartar, según las reglas de los filtros configurados. Como se muestra en la ilustración, el filtrado de paquetes puede operar en diversas capas del modelo OSI o en la capa de Internet de TCP/IP.

Un router que filtra paquetes utiliza reglas para determinar si permite o deniega el tráfico. Un router también puede realizar el filtrado de paquetes en la capa 4, la capa de transporte. El router puede filtrar paquetes según el puerto de origen y de destino del segmento TCP o UDP. Estas reglas se definen mediante el uso de ACL.

Una ACL es una lista secuencial de instrucciones permit (permitir) o deny (denegar), conocidas como “entradas de control de acceso” (ACE). Las ACE también se denominan comúnmente “instrucciones de ACL”. Las ACE se pueden crear para filtrar tráfico según ciertos criterios, como la dirección de origen, la dirección de destino, el protocolo y los números de puerto. Cuando el tráfico de la red atraviesa una interfaz configurada con una ACL, el router compara la información dentro del paquete con cada ACE, en orden secuencial, para determinar si el paquete coincide con una de las instrucciones. Si se encuentra una coincidencia, el paquete se procesa según corresponda. De esta manera, se pueden configurar ACL para controlar el acceso a una red o a una subred.

Para evaluar el tráfico de la red, la ACL extrae la siguiente información del encabezado de capa 3 del paquete:

La ACL también puede extraer información de capa superior del encabezado de capa 4, incluido lo siguiente: