Catalyst 6500 シリーズ スイッチ ソフトウェア コンフィギュレーション ガイド
IP許可リストの設定
IP許可リストの設定
発行日;2012/02/07 | ドキュメントご利用ガイド | ダウンロード ; この章pdf | フィードバック

目次

IP許可リストの設定

IP許可リストの機能

IP許可リストのデフォルト設定

スイッチにおけるIP許可リストの設定

IP許可リストへのIPアドレスの追加

IP許可リストのイネーブル化

IP許可リストのディセーブル化

IP許可リスト エントリの削除

IP許可リストの設定

この章では、Catalyst 6500シリーズ スイッチにIP許可リストを設定する方法について説明します。


) IP許可リストの機能は、VLAN Access Control List(VACL;VLANアクセス制御リスト)を使用して実行することもできます。VACLはハードウェア(Policy Feature Card[PFC;ポリシー フィーチャ カード])によって処理されるので、VACLのほうがIP許可リストに比べて、はるかに高速に処理されます。



) この章で使用しているコマンドの構文および使用方法の詳細については、『Catalyst 6500 Series Switch Command Reference』を参照してください。


この章で説明する内容は、次のとおりです。

「IP許可リストの機能」

「IP許可リストのデフォルト設定」

「スイッチにおけるIP許可リストの設定」

IP許可リストの機能

IP許可リストは、許可されていない送信元IPアドレスによるスイッチへの着信TelnetおよびSNMP(簡易ネットワーク管理プロトコル)アクセスを防止します。他のすべてのTCP/IPサービス(IP traceroute、IP pingなど)は、IP許可リストをイネーブルにしても、そのまま正常に動作します。発信Telnet、Trivial File Transfer Protocol(TFTP;簡易ファイル転送プロトコル)、およびその他のIPベース サービスは、IP許可リストの影響を受けません。

許可されていない送信元IPアドレスによるTelnetアクセスでは、接続が拒否されます。許可されていないIPアドレスからのSNMP要求には応答が戻されず、要求はタイムアウトになります。コンソールまたはSyslogサーバに対する無許可アクセスのロギングを希望する場合は、「IP許可リストのイネーブル化」の説明に従ってIPのロギング重大度を変更する必要があります。無許可アクセスの試行時にSNMPトラップが生成されるようにするには、「IP許可リストのイネーブル化」の説明に従ってIP許可リスト(ippermit)SNMPトラップをイネーブルにする必要があります。同じ無許可ホストから複数のアクセスが試みられた場合は、10分ごとに通知が生成されるだけです。

許可リストには最大100のエントリを設定できます。各エントリには、IPアドレスとサブネット マスクのペアをドット付き10進表記で指定すると共に、そのIPアドレスをSNMP許可リスト、Telnet許可リスト、または両方のリストのどれに入れるかを指定します。マスクで1に設定したビットは、着信パケットの送信元IPアドレスと一致するかどうかがチェックされます。ゼロに設定したビットはチェックされません。このプロセスでワイルドカード アドレスを指定できます。

IP許可リストのエントリにマスクを指定しなかった場合、またはIPアドレスの代わりにホスト名を指定した場合には、そのホストのIPアドレスだけと一致するように、マスクのすべてのビットが1(255.255.255.255または0xffffffff)であると仮定されます。

IPアドレスの許可リストの種類としてSNMPまたはTelnetを指定しない場合、そのIPアドレスは、SNMP許可リストおよびTelnet許可リストの両方に追加されます。

マスクが異なっていれば、許可リストの複数エントリに同じIPアドレスを指定することができます。アドレスは、マスクが適用されてからNVRAM(不揮発性RAM)に保管されるので、(たとえアドレスが違っていても)同じ結果となるエントリは保管されません。IP許可リストにこのようなアドレスを追加すると、マスクが適用されたアドレスが表示されます。

IP許可リストのデフォルト設定

表 34-1 に、IP許可リストのデフォルト設定を示します。

 

表 34-1 IP許可リストのデフォルト設定

機能
デフォルト値

IP許可リストのイネーブル ステート

ディセーブル

許可リストのエントリ

設定なし

IP Syslogメッセージの重大度

2

SNMP IP許可トラップ(ippermit)

ディセーブル

スイッチにおけるIP許可リストの設定

ここでは、IP許可リストを設定する方法について説明します。

「IP許可リストへのIPアドレスの追加」

「IP許可リストのイネーブル化」

「IP許可リストのディセーブル化」

「IP許可リスト エントリの削除」

IP許可リストへのIPアドレスの追加

SNMP許可リスト、Telnet許可リスト、または両方のリストに特定のIPアドレスを追加できます。

IP許可リストにIPアドレスを追加するには、イネーブル モードで次の作業を行います。

 

作業
コマンド

ステップ 1

IP許可リストに追加するIPアドレスを指定します。

set ip permit ip_address [ mask ] [telnet | snmp | ssh ]

ステップ 2

IP許可リストの設定を確認します。

show ip permit

IP許可リストにIPアドレスを追加し、設定を確認する例を示します。

Console> (enable) set ip permit 172.16.0.0 255.255.0.0 telnet
172.16.0.0 with mask 255.255.0.0 added to telnet permit list.
Console> (enable) set ip permit 172.20.52.32 255.255.255.224 snmp
172.20.52.32 with mask 255.255.255.224 added to snmp permit list.
Console> (enable) set ip permit 172.20.52.3 all
172.20.52.3 added to IP permit list.
Console> (enable) show ip permit
Telnet permit list feature enabled.
Snmp permit list feature enabled.
Permit List Mask Access Type
---------------- ---------------- -------------
172.16.0.0 255.255.0.0 telnet
172.20.52.3 snmp telnet
172.20.52.32 255.255.255.224 snmp
Denied IP Address Last Accessed Time Type Telnet Count SNMP Count
----------------- ------------------ ------ ------------ ----------
172.100.101.104 01/20/97,07:45:20 SNMP 14 1430
172.187.206.222 01/21/97,14:23:05 Telnet 7 236
 
Console> (enable)
 

IP許可リストのイネーブル化

SNMP許可リスト、Telnet許可リスト、または両方のリストをイネーブルに設定できます。許可リストを指定しない場合は、SNMP許可リストおよびTelnet許可リストの両方がイネーブルに設定されます。


注意 特にSNMPを使用して設定する場合には、IP許可リストをイネーブルにする前に、使用するワークステーションまたはネットワーク管理システムのIPアドレスがIP許可リストに追加されていることを確認してください。IPアドレスが追加されていないと、スイッチにより接続が切断されます。IP許可リストのエントリまたはホスト アドレスを削除する前に、IP許可リストをディセーブルにしてください。

スイッチのIP許可リストをイネーブルにするには、イネーブル モードで次の作業を行います。

 

作業
コマンド

ステップ 1

IP許可リストをイネーブルにします。

set ip permit enable [ telnet | snmp | ssh ]

ステップ 2

必要な場合、IP許可トラップをイネーブルにし、無許可アクセスの試行についてトラップを生成します。

set snmp trap enable ippermit

ステップ 3

必要な場合、無許可アクセスのSyslogメッセージが表示されるよう、ロギング レベルを設定します。

set logging level ip 4 default

ステップ 4

IP許可リストの設定を確認します。

show ip permit
show snmp

IP許可リストをイネーブルにし、設定を確認する例を示します。

Console> (enable) set ip permit enable
IP permit list enabled.
Console> (enable) set snmp trap enable ippermit
SNMP IP Permit traps enabled.
Console> (enable) set logging level ip 4 default
System logging facility <ip> set to severity 4(warnings)
Console> (enable) show ip permit
Telnet permit list feature enabled.
Snmp permit list feature disabled.
 
Permit List Mask Access-Type
---------------- --------------- ---------------
172.16.0.0 255.255.0.0 telnet
172.20.52.3 snmp telnet
172.20.52.32 255.255.255.224 snmp
 
Denied IP Address Last Accessed Time Type Telnet Count SNMP Count
----------------- ------------------ ------ ------------ ----------
172.100.101.104 01/20/97,07:45:20 SNMP 14 1430
172.187.206.222 01/21/97,14:23:05 Telnet 7 236
 
Console> (enable) show snmp
RMON: Disabled
Extended Rmon: Extended RMON module is not present
Traps Enabled:
ippermit
Port Traps Enabled: None
 
Community-Access Community-String
---------------- --------------------
read-only public
read-write private
read-write-all secret
 
Trap-Rec-Address Trap-Rec-Community
---------------------------------------- --------------------
Console> (enable)
 

IP許可リストのディセーブル化

スイッチのIP許可リストをディセーブルにするには、イネーブル モードで次の作業を行います。

 

作業
コマンド

ステップ 1

IP許可リストをディセーブルにします。

set ip permit disable [ telnet | snmp | ssh ]

ステップ 2

IP許可リストの設定を確認します。

show ip permit

IP許可リストをディセーブルにする例を示します。

Console> (enable) set ip permit disable
IP permit list disabled.
Console> (enable)
 

IP許可リスト エントリの削除

SNMP許可リスト、Telnet許可リスト、または両方のリストから特定のIPアドレスを削除できます。どの許可リストからIPアドレスを削除するかを指定しない場合は、両方の許可リストからIPアドレスが削除されます。


注意 IP許可リストのエントリまたはホスト アドレスを削除する前に、必ずIP許可リストをディセーブルにしてください。現在使用中のIPアドレスを削除した場合に、設定対象のスイッチによって接続が切断されるのを防ぐためです。

IP許可リストのエントリを削除するには、イネーブル モードで次の作業を行います。

 

作業
コマンド

ステップ 1

IP許可リストをディセーブルにします。

set ip permit disable [ telnet | snmp | ssh ]

ステップ 2

IP許可リストから削除するIPアドレスを指定します。

clear ip permit { ip_address [ mask ] | all } [ telnet | snmp | ssh ]

ステップ 3

IP許可リストの設定を確認します。

show ip permit

IP許可リストからエントリを削除する例を示します。

Console> (enable) set ip permit disable all
Console> (enable) clear ip permit 172.100.101.102
172.100.101.102 cleared from IP permit list.
Console> (enable) clear ip permit 172.160.161.0 255.255.192.0 snmp
172.160.128.0 with mask 255.255.192.0 cleared from snmp permit list.
Console> (enable) clear ip permit 172.100.101.102 telnet
172.100.101.102 cleared from telnet permit list.
Console> (enable) clear ip permit all
IP permit list cleared.
Console> (enable)