¿Qué es una ACL (lista de control de acceso)?

Cómo funcionan las ACL

Una ACL es una lista de entradas, cada una de las cuales asocia un criterio de coincidencia con una acción de permitir o denegar. El sistema que aplica la lista compara una solicitud con las entradas y aplica el resultado de la primera coincidencia.

1. Llega una solicitud: un cliente o dispositivo intenta realizar una acción, como enviar una consulta DNS, solicitar una transferencia de zona o reenviar un paquete a través de un router.
2. Criterios extraídos: El sistema encargado de aplicar las reglas lee los atributos que utiliza la lista para la coincidencia, normalmente la dirección IP de origen y, en los dispositivos de red, también el destino, el protocolo o el puerto. Los servidores DNS también pueden realizar coincidencias basándose en una clave criptográfica.
3. Entradas evaluadas por orden: el sistema comprueba las entradas de arriba abajo. La mayoría de las implementaciones se detienen en la primera entrada que coincide y aplican su acción.
4. Acción aplicada: una entrada de permiso permite que la solicitud siga adelante. Una entrada de denegación la rechaza o la descarta. Muchos sistemas terminan la lista con una denegación implícita, por lo que se rechaza cualquier solicitud que no coincida con ninguna entrada.

Dado que el orden es importante, una regla de permiso amplia situada por encima de una regla de denegación restrictiva puede hacer que esta última resulte ineficaz. En los servidores DNS, suele haber listas independientes que regulan diferentes funciones, como las consultas, la recursividad, las transferencias y las actualizaciones, de modo que cada función puede tener su propio público. La coincidencia basada en direcciones puede ser falsificada, por lo que las operaciones sensibles, como las actualizaciones dinámicas, están mejor protegidas si se exige además una autenticación, como TSIG.