Navbar-jp

Toolbar-jp

PDF GetAcro

ACL�ɂ��l�b�g���[�N �Z�L�����e�B�̐ݒ�

���̏͂ł́AAccess Control List�iACL;�A�N�Z�X���䃊�X�g�j���g�p���āACatalyst 3550�X�C�b�`�Ƀl�b�g���[�N �Z�L�����e�B��ݒ肷���@�ɂ‚��Đ������܂��BACL�́A�R�}���h��e�[�u���ł�access-list�i�A�N�Z�X ���X�g�j�ƕ\���܂��B

���̏͂Ő���������e�́A���̂Ƃ���ł��B

ACL�̊T�v

�p�P�b�g �t�B���^�����O���g�p����ƁA�l�b�g���[�N �g���t�B�b�N�𐧌�������A����̃��[�U��f�o�C�X�ɂ��l�b�g���[�N�̎g�p�𐧌����邱�Ƃ��ł��܂��BACL�̓��[�^��ʉ߂���g���t�B�b�N���t�B���^�����O���A����̃C���^�[�t�F�C�X�Ńp�P�b�g�����A�܂��́A���ۂ��܂��BACL�́A�p�P�b�g�ɓK�p����鋖�‚���ы��ۏ��������Ԃɕ��ׂ����̂ł��B�C���^�[�t�F�C�X�Ƀp�P�b�g�����M����ƁA�X�C�b�`�̓p�P�b�g�̃t�B�[���h���Y������ACL�Ɣ�r���AACL�Ŏw�肳��Ă�������Ɋ�Â��āA�p�P�b�g�ɑ΂��ē]�������‚���Ă��邩�ǂ��������؂��܂��B�p�P�b�g�́A�A�N�Z�X ���X�g���̏����ɑ΂���1�‚��ƒe�X�g����܂��B�ŏ��Ɍ��‚�������v�����ɂ���āA�p�P�b�g�����‚���邩�A�܂��͋��ۂ���邩�����܂�܂��B�X�C�b�`�́A�ŏ��̈�v�����‚���ƃe�X�g�‹����I������̂ŁA�A�N�Z�X ���X�g���̏����̏������d�v�ƂȂ�܂��B��v����������Ȃ��ꍇ�A�p�P�b�g�͋��ۂ���܂��B���񂪂Ȃ��ꍇ�A�X�C�b�`�̓p�P�b�g��]�����A���񂪂���ꍇ�̓p�P�b�g��p��܂��B

�]���A�X�C�b�`�̓��C��2�ł̂݉ғ����AVLAN�i���zLAN�j���Ńg���t�B�b�N���X�C�b�`���O���Ă��܂����B���A���[�^��VLAN�ԂŃg���t�B�b�N�����[�e�B���O���Ă��܂����BCatalyst 3550 �X�C�b�`�́A���C��3�X�C�b�`���O���g�p����VLAN�Ԃ̃p�P�b�g ���[�e�B���O�����������܂��B�X�C�b�`�Ńu���b�W���O���ꂽ�p�P�b�g�́A�O�����[�^�ɑ��M���ꂸ�ɓ������[�e�B���O����A�ēx�u���b�W���O����Ĉ���ɑ��M����܂��B�X�C�b�`�͂��̃v���Z�X���ɁAVLAN���Ńu���b�W���O�����p�P�b�g���܂߁A�X�C�b�`���O����邷�ׂẴp�P�b�g�̃A�N�Z�X�𐧌䂵�܂��B

�l�b�g���[�N�Ɋ�{�I�ȃZ�L�����e�B�𓱓��ꍇ�́A���[�^�܂��̓X�C�b�`�ɃA�N�Z�X ���X�g��ݒ肵�܂��BACL��ݒ肵�Ȃ��ƁA�X�C�b�`��ʉ߂��邷�ׂẴp�P�b�g���A�l�b�g���[�N���̂��ׂĂ̏ꏊ�ɓ]������邱�Ƃ�����܂��BACL���g�p����ƁA�l�b�g���[�N�̏ꏊ���ƂɃA�N�Z�X�”\�ȃz�X�g�𐧌䂵����A���[�^ �C���^�[�t�F�C�X�œ]���܂��̓u���b�N�����g���t�B�b�N�̎�ނ����肷�邱�Ƃ��ł��܂��B���Ƃ��΁A�d�q���[�� �g���t�B�b�N�̓]�������‚��āATelnet�g���t�B�b�N�̓]�����֎~���邱�Ƃ��”\�ł��BACL�����M�g���t�B�b�N�A���M�g���t�B�b�N�A�܂��͂��̗�����u���b�N����悤�ɐݒ肷�邱�Ƃ��ł��܂��B�������A���C��2�C���^�[�t�F�C�X�ł́AACL��K�p�ł���̂͒��M���ł��B

ACL�ɂ�ACE�����ԂɋL�q����Ă��܂��B�eACE�́A���i permit �j�܂��͋��ہi deny �j�A�����ACE�ƈ�v���邽�߂ɗv�������p�P�b�g�̕K�{�������w�肵�܂��B ���� �܂��� ���� �̈Ӗ��́AACL�̎g�p�󋵂ɉ����ĕς��܂��B

���̃X�C�b�`�ł͎���2�‚�ACL�^�C�v���T�|�[�g����܂��B

�T�|�[�g�����ACL

���̃X�C�b�`�́A�g���t�B�b�N���t�B���^�����O���邽�߁A���Ɏ���3��ނ�ACL���T�|�[�g���܂��B

�����X�C�b�`�Ń��[�^ACL��VLAN�}�b�v�𗼕�g�p���邱�Ƃ��ł��܂��B�������A��̓��[�^ACL�܂���VLAN�}�b�v���ݒ肳��Ă���X�C�b�`�Ń|�[�gACL���g�p���邱�Ƃ͂ł��܂���B

802.1Q�g���l�����O���C���^�[�t�F�C�X��ɐݒ肳��Ă���ꍇ�A���̃g���l�� �|�[�g�Ŏ�M���ꂽ802.1Q�J�v�Z����IP�p�P�b�g��MAC ACL�Ńt�B���^�����O���邱�Ƃ͉”\�ł����AIP ACL�ł̓t�B���^�����O�ł��܂���B�X�C�b�`��802.1Q�w�b�_�[���̃v���g�R����F���ł��Ȃ����߂ł��B���̐���́A���[�^ACL�A�|�[�gACL�AVLAN�}�b�v�ɓK�p����܂��B802.1Q�g���l�����O�̏ڍׂɂ‚��ẮA 802.1Q����у��C��2�v���g�R�� �g���l�����O�̐ݒ� ���Q�Ƃ��Ă��������B

���̃X�C�b�`�́AQuality of Service�iQoS;�T�[�r�X�i���j����ACL���T�|�[�g���Ă��܂��B�ڍׂɂ‚��ẮA QoS ACL�Ɋ�Â����� ���Q�Ƃ��Ă��������B

���[�^ACL

VLAN�ւ̃��C��3�C���^�[�t�F�C�X�ł���Switch Virtual Interface�iSVI�j�A�������C��3�C���^�[�t�F�C�X�A����у��C��3 EtherChannel�C���^�[�t�F�C�X�ɁA���[�^ACL��K�p���邱�Ƃ��ł��܂��B���[�^ACL�̓C���^�[�t�F�C�X�̓���̕��i���M�܂��͔��M�j�ɑ΂��ēK�p����܂��B�e����1�‚���IP�A�N�Z�X ���X�g��K�p�ł��܂��B

1�‚�ACL���������C���^�[�t�F�C�X�̕����̋@�\�Ɏg�p���邱�Ƃ��ł��܂��B�܂��A1�‚̋@�\�ɕ�����ACL���g�p���邱�Ƃ��ł��܂��B1�‚̃��[�^ACL�𕡐��̋@�\�Ŏg�p����ꍇ�A���̃��[�^ACL�͕�����e�X�g����܂��B

  • �W��IP�A�N�Z�X ���X�g�́A���M���A�h���X���g�p���Ĉ�v�������s���܂��B
  • �g��IP�A�N�Z�X ���X�g�́A���M���A�h���X�A����A�h���X�A����уI�v�V�����̃v���g�R�� �^�C�v�����g�p���Ĉ�v�������s���܂��B

�X�C�b�`�́A����̃C���^�[�t�F�C�X����ѕ��ɑ΂��Đݒ肳�ꂽ�@�\�Ɋ֘A�Â����Ă���ACL���e�X�g���܂��B�p�P�b�g���X�C�b�`�̃C���^�[�t�F�C�X�ɒ��M����ƁA���̃C���^�[�t�F�C�X�ɐݒ肳��Ă��邷�ׂĂ̒��M�@�\�ɑΉ�����ACL���e�X�g����܂��B�p�P�b�g�����[�e�B���O����Ă���l�N�X�g�z�b�v�ɓ]�������܂ł̊ԂɁA�o�̓C���^�[�t�F�C�X�ɐݒ肳�ꂽ���M�@�\�ɑΉ����邷�ׂĂ�ACL���e�X�g����܂��B

ACL�́AACL���̃G���g���Ƃ̈�v���ʂɊ�Â��āA�]�������‚܂��͋��ۂ��܂��B���Ƃ��΁A�A�N�Z�X ���X�g���g�p����ƁA�l�b�g���[�N�̓���̏ꏊ�ւ̃A�N�Z�X�����̃z�X�g�ɋ��‚��A�ʂ̃z�X�g�ɂ̓A�N�Z�X���֎~���邱�Ƃ��ł��܂��B ACL�ɂ��l�b�g���[�N �g���t�B�b�N�̐��� �ł́A���[�^�ւ̓�͂ɓK�p����Ă���ACL�ɂ��A�z�X�gA�͐l�����l�b�g���[�N�ւ̃A�N�Z�X�����‚���܂����A�z�X�gB�͋��ۂ���܂��B

ACL�ɂ��l�b�g���[�N �g���t�B�b�N�̐���

�|�[�gACL

�X�C�b�`�̃��C��2�C���^�[�t�F�C�X�ɂ�ACL��K�p�ł��܂��B�|�[�gACL���g�p�ł���̂́A�����C���^�[�t�F�C�X�����ł��BEtherChannel�C���^�[�t�F�C�X�ł͎g�p�ł��܂���B�|�[�gACL���C���^�[�t�F�C�X�ɓK�p�ł���̂́A���M���ɑ΂��Ă݂̂ł��B���C��2�C���^�[�t�F�C�X�ł́A���̃A�N�Z�X ���X�g���T�|�[�g����Ă��܂��B

  • ���M���A�h���X���g�p����W��IP�A�N�Z�X ���X�g
  • ���M���A�h���X�A����A�h���X�A����уI�v�V�����̃v���g�R�� �^�C�v�����g�p����g��IP�A�N�Z�X ���X�g
  • ���M��MAC�A�h���X�A����MAC�A�h���X�A����уI�v�V�����̃v���g�R�� �^�C�v�����g�p����MAC�g���A�N�Z�X ���X�g

���[�^ACL�Ɠ��l�A�X�C�b�`�̓C���^�[�t�F�C�X�ɐݒ肳��Ă���@�\�Ɋ֘A�Â����Ă���ACL���e�X�g���A�p�P�b�g��ACL���̃G���g���ƈ�v���邩�ǂ����ɂ���āA�p�P�b�g�̓]�������‚܂��͋��ۂ��܂��B�������A���C��2�C���^�[�t�F�C�X�ŁAACL��K�p�ł���̂́A���M���ɑ΂��Ă݂̂ł��B ACL�ɂ��l�b�g���[�N �g���t�B�b�N�̐��� �̗�ł́A���ׂẴ��[�N�X�e�[�V����������VLAN���ɂ���ꍇ�A���C��2�̓�͂ɓK�p����Ă���ACL�ɂ���āA�z�X�gA�͐l�����l�b�g���[�N�ւ̃A�N�Z�X�����‚���܂����A�z�X�gB�͓����l�b�g���[�N�ւ̃A�N�Z�X�����ۂ���܂��B

�|�[�gACL���g�����N �|�[�g�ɓK�p����ƁA���̃g�����N �|�[�g�ɂ��邷�ׂĂ�VLAN��ACL�ɂ��g���t�B�b�N�̃t�B���^�����O�����s����܂��B����VLAN������|�[�g�Ƀ|�[�gACL��K�p����ƁA�f�[�^VLAN�Ɖ���VLAN�̗���ł���ACL�ɂ��g���t�B�b�N�̃t�B���^�����O�����s����܂��B

�|�[�gACL���g�p����ƁAIP�A�N�Z�X ���X�g���g�p����IP�g���t�B�b�N���t�B���^�����O���AMAC�A�h���X���g�p���Ĕ�IP�g���t�B�b�N���t�B���^�����O�ł��܂��B�������C��2�C���^�[�t�F�C�X��IP�A�N�Z�X ���X�g��MAC�A�N�Z�X ���X�g�𗼕�K�p����ƁA���̃��C��2�C���^�[�t�F�C�X��IP�g���t�B�b�N�Ɣ�IP�g���t�B�b�N���t�B���^�����O�ł��܂��B

  • 1�‚̃��C��2�C���^�[�t�F�C�X�ɓK�p�ł���̂́AIP�A�N�Z�X ���X�g1�‚�MAC�A�N�Z�X ���X�g1�‚����ł��B���ł�IP�A�N�Z�X ���X�g��MAC�A�N�Z�X ���X�g��1�‚��ݒ肳��Ă��郌�C��2�C���^�[�t�F�C�X�ɁA�V����IP�A�N�Z�X ���X�g�܂���MAC�A�N�Z�X ���X�g��K�p����ƁA�V����ACL���O�ɐݒ肵��ACL�ɒu�������܂��B

VLAN�}�b�v

VLAN�}�b�v���g�p����ƁA ���ׂĂ� �g���t�B�b�N�̃A�N�Z�X�𐧌�ł��܂��BVLAN�̓�����O���փ��[�e�B���O�����A�܂���VLAN���Ńu���b�W���O����� ���ׂẴp�P�b�g �ɑ΂��āA�X�C�b�`��VLAN�}�b�v��K�p�ł��܂��BVLAN�}�b�v�̓p�P�b�g�����S�Ƀt�B���^�����O���邽�߂ɕK���g�p����܂��B���[�^ACL�ƈقȂ�AVLAN�}�b�v�ŕ��i���M�܂��͔��M�j�͒�`����܂���B

VLAN�}�b�v��ݒ肷��ƁAIP�g���t�B�b�N�̃��C��3�A�h���X���r���邱�Ƃ��ł��܂��B���ׂĂ̔�IP�v���g�R���́AMAC VLAN�}�b�v���g�p����MAC�A�h���X�����EtherType�ɂ���ăA�N�Z�X���䂳��܂��iIP�g���t�B�b�N�ɂ́AMAC VLAN�}�b�v�ɂ��A�N�Z�X���䂪 �s���܂��� �j�BVLAN�}�b�v�̓X�C�b�`��ʉ߂���p�P�b�g�ɂ̂ݓK�p�ł��܂��B�n�u�̃z�X�g�ԁA�܂��͂��̃X�C�b�`�ɐڑ����ꂽ�ʂ̃X�C�b�`�̃z�X�g�Ԃ�ʉ߂���g���t�B�b�N�ɂ́AVLAN�}�b�v��K�p�ł��܂���B

VLAN�}�b�v���g�p����ƁA�p�P�b�g�̓]���̓}�b�v�Ɏw�肳�ꂽ�A�N�V�����Ɋ�Â��ċ��‚܂��͋��ۂ���܂��B VLAN�}�b�v�ɂ��g���t�B�b�N�̐��� �ɁAVLAN�}�b�v��K�p���āA����^�C�v�̃g���t�B�b�N��VLAN 10�̃z�X�gA����]���ł��Ȃ��悤�ɐݒ肷���������܂��B

VLAN�}�b�v�ɂ��g���t�B�b�N�̐���

�������ꂽ�g���t�B�b�N����ѕ�������Ă��Ȃ��g���t�B�b�N�̏���

�l�b�g���[�N��ʉ߂���IP�p�P�b�g�͕����ł��܂��BIP�p�P�b�g�𕪊�����ƁA�p�P�b�g�̐擪���܂ރt���O�����g�ɂ̂݁ATCP�AUDP�|�[�g�ԍ��AICMP�^�C�v����уR�[�h�Ȃǂ̃��C��4��񂪊i�[����܂��B���̑��̂��ׂẴt���O�����g�ɂ́A���̏�񂪊i�[����܂���B

�ꕔ��ACE�ł̓��C��4��񂪊m�F����Ȃ����߁A���̂悤��ACE�͂��ׂẴp�P�b�g �t���O�����g�ɓK�p����܂��B���C��4�����e�X�g����ACE���A�������ꂽIP�p�P�b�g�̂قƂ�ǂ̃t���O�����g�ɒʏ�̕�@�œK�p���邱�Ƃ͂ł��܂���B���C��4��񂪊i�[����Ă��Ȃ��t���O�����g�ɑ΂��ă��C��4��񂪃e�X�g�����ꍇ�A��v�K���͎��̂悤�ɕύX����܂��B

���̃R�}���h�Őݒ肵�A3�‚̕����p�P�b�g�ɓK�p�����access-list 102�̗���ȉ��Ɏ����܂��B

Switch (config)# access-list 102 permit tcp any host 10.1.1.1 eq smtp

Switch (config)# access-list 102 deny tcp any host 10.1.1.2 eq telnet

Switch (config)# access-list 102 permit tcp any host 10.1.1.2

Switch (config)# access-list 102 deny tcp any any

�ŏ��̃t���O�����g�����ۂ���Ă��邽�߁A�z�X�g10.1.1.2�͊��S�ȃp�P�b�g���č\�z�ł��܂���B���������āA���ۂɂ̓p�P�b�gB�͋��ۂ���܂��B�������A�z�X�g10.1.1.2���p�P�b�g���č\�z���悤�Ƃ���Ƃ��A���‚��ꂽ�t���O�����g�ɂ���ăl�b�g���[�N�ш敝�Ƃ��̃z�X�g�̃��\�[�X�������܂��B

IP ACL�̐ݒ�

���C��2�܂��̓��C��3�X�C�b�`�A���邢��VLAN�C���^�[�t�F�C�X���IP ACL��ݒ肷���@�́A���̃V�X�R�����[�^���ACL��ݒ肷���@�Ɠ����ł��B���̎菇���ȒP�Ɏ����܂��B���[�^ACL�̐ݒ�̏ڍׂɂ‚��ẮA�w Cisco IP and IP Routing Configuration Guide for IOS �xRelease 12.1�́uConfiguring IP Services�v���Q�Ƃ��Ă��������B�R�}���h�̏ڍׂɂ‚��ẮA�w Cisco IOS IP and IP Routing Command Reference for IOS �xRelease 12.1���Q�Ƃ��Ă��������BCatalyst 3550�X�C�b�`�ŃT�|�[�g����Ȃ�IOS�@�\�ɂ‚��ẮA �T�|�[�g����Ȃ��@�\ ���Q�Ƃ��Ă��������B

��̓I�ȓ��e�͎��̂Ƃ���ł��B

���[�^ACL�̃n�[�h�E�F�A����у\�t�g�E�F�A����

ACL�͎�Ƀn�[�h�E�F�A�ŏ�������܂����A�ꕔ�̃g���t�B�b�N��CPU�ɓ]�����ă\�t�g�E�F�A��������K�v������܂��B�\�t�g�E�F�A�œ]�������g���t�B�b�N�̓]�����x�́A�n�[�h�E�F�A�œ]�������g���t�B�b�N�ɔ�ׂđ啝�ɒቺ���܂��B����̃g���t�B�b�N �t���[�����M���O���ē]������ꍇ�A�]���̓n�[�h�E�F�A�ŏ�������܂����A���M���O�̓\�t�g�E�F�A�ŏ�������K�v������܂��B�n�[�h�E�F�A�ƃ\�t�g�E�F�A�ł̓p�P�b�g�����@�\���قȂ邽�߁A���M���O���ł��邷�ׂẴt���[�i���ƒt���[�Ƌ��ۃt���[�j�̍��v�ш敝�����ɑ傫���ꍇ�́A�]�����ꂽ�p�P�b�g�̈ꕔ�����M���O�ł��܂���B

���̏ꍇ�A�p�P�b�g��CPU�ɑ��M����܂��B

ACL�ɂ���đ����̃p�P�b�g��CPU�ɓ]�������ƁA�X�C�b�`�̃p�t�H�[�}���X���ቺ���邱�Ƃ�����܂��B

show ip access-lists �C�l�[�u��EXEC�R�}���h���͂����Ƃ��ɕ\��������v�̌��ɁA�n�[�h�E�F�A�ŃA�N�Z�X���䂳���p�P�b�g�͊܂܂�܂���B�n�[�h�E�F�A��ACL���������X�C�b�`�h �p�P�b�g����у��[�e�b�h �p�P�b�g�̊�{�I�ȓ��v�����擾����ꍇ�́Ashow access-lists hardware counters�C�l�[�u��EXEC�R�}���h���g�p���܂��B

IP ACL�́A���̂悤�ɏ�������܂��B

�T�|�[�g����Ȃ��@�\

Catalyst 3550�X�C�b�`�́A����IOS���[�^ACL�֘A�@�\���T�|�[�g���܂���B

�W������ъg��IP ACL�̍쐬

�����ł́A���[�^IP ACL�쐬�菇�̊T�v�������܂��BACL�͋��‚���ы��ۏ��������ɕ��ׂ����̂ł��B�p�P�b�g�́AACL���̏����ɑ΂���1�‚��ƒe�X�g����܂��B�ŏ��Ɍ��‚�������v�����ɂ���āA�p�P�b�g�����‚���邩�A�܂��͋��ۂ���邩�����܂�܂��B�ŏ��̈�v�����‚���ƃe�X�g�͏I������̂ŁA�����̏������d�v�ƂȂ�܂��B��v����������Ȃ��ꍇ�A�p�P�b�g�͋��ۂ���܂��B

ACL���g�p����菇�́A���̂Ƃ���ł��B

�A�N�Z�X ���X�g�ԍ��܂��͖��O�A����уA�N�Z�X�������w�肵��ACL���쐬���܂��B
  1. ACL���C���^�[�t�F�C�X�܂��͒[�����ɓK�p���܂��B�W������ъg��IP ACL��VLAN�}�b�v�ɓK�p���邱�Ƃ��ł��܂��B

�\�t�g�E�F�A�͎��Ɏ����`����ACL�A�܂���IP�̃A�N�Z�X ���X�g���T�|�[�g���܂��B

  • �W��IP�A�N�Z�X ���X�g�́A���M���A�h���X���g�p���Ĉ�v�������s���܂��B
  • �g��IP�A�N�Z�X ���X�g�́A���M���A�h���X����ш���A�h���X���g�p���Ĉ�v�������s���܂��B���ו��ɂ킽�鐧����s���ꍇ�́A�I�v�V�����̃v���g�R���^�C�v���g�p���܂��B

�����ł́A�A�N�Z�X ���X�g�̏ڍׁA����уA�N�Z�X ���X�g���g�p����菇�ɂ‚��Đ������܂��B

�A�N�Z�X ���X�g�ԍ�

ACL��\���ԍ��́A�쐬���Ă���A�N�Z�X ���X�g�̃^�C�v�������܂��B �A�N�Z�X ���X�g�ԍ� �ɁA�A�N�Z�X ���X�g�ԍ�����ёΉ�����A�N�Z�X���X�g �^�C�v�A�X�C�b�`�ł̃A�N�Z�X ���X�g�ɑ΂���T�|�[�g�̗L���������܂��BCatalyst 3550�X�C�b�`�ł́AIP�W�������IP�g���A�N�Z�X ���X�g���T�|�[�g����Ă��܂��i�ԍ���1�`199�A1300�`2699�j�B

�A�N�Z�X ���X�g�ԍ�

�A�N�Z�X ���X�g�ԍ�

�^�C�v

�T�|�[�g�̗L��

1�`99

IP�W���A�N�Z�X ���X�g

����

100�`199

IP�g���A�N�Z�X ���X�g

����

200�`299

�v���g�R�� �^�C�v�R�[�h �A�N�Z�X ���X�g

�Ȃ�

300�`399

DECnet�A�N�Z�X ���X�g

�Ȃ�

400�`499

XNS�W���A�N�Z�X ���X�g

�Ȃ�

500�`599

XNS�g���A�N�Z�X ���X�g

�Ȃ�

600�`699

AppleTalk�A�N�Z�X ���X�g

�Ȃ�

700�`799

48�r�b�gMAC�A�h���X �A�N�Z�X ���X�g

�Ȃ�

800�`899

IPX�W���A�N�Z�X ���X�g

�Ȃ�

900�`999

IPX�g���A�N�Z�X ���X�g

�Ȃ�

1000�`1099

IPX SAP�A�N�Z�X ���X�g

�Ȃ�

1100�`1199

�g��48�r�b�gMAC�A�h���X �A�N�Z�X ���X�g

�Ȃ�

1200�`1299

IPX�T�}���[ �A�h���X �A�N�Z�X ���X�g

�Ȃ�

1300�`1999

IP�W���A�N�Z�X ���X�g�i�g���͈́j

����

2000�`2699

IP�g���A�N�Z�X ���X�g�i�g���͈́j

����

  • �ԍ��w��̕W��ACL����ъg��ACL�ȊO�ɁA�T�|�[�g����Ă���ԍ����g�p���Ė��O�w��̕W��IP ACL����ъg��IP ACL���쐬���邱�Ƃ��ł��܂��B�‚܂�A�W��IP ACL�̖��O�ɂ�1�`99���A�g��IP ACL�̖��O�ɂ�100�`199���g�p�ł��܂��B�ԍ��w���ACL�ł͂Ȃ����O�w���ACL���g�p���邱�ƂŁA���O�w�胊�X�g����•ʂɃG���g�����폜���邱�Ƃ��”\�ƂȂ�܂��B

�ԍ��w��W��ACL�̍쐬

�ԍ��w��̕W��ACL���쐬����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

access-list access-list-number
{ deny | permit }
source [ source-wildcard ] [ log ]

���M���A�h���X����у��C���h�J�[�h���g�p���A�W��IP�A�N�Z�X ���X�g���`���܂��B

access-list-number ��1�`99�܂���1300�`1999��10�i���ł��B

��������v����ꍇ�ɃA�N�Z�X�����ۂ��邩�A���‚��邩���w�肷�邽�߁A deny �܂��� permit ���͂��܂��B

source �̓p�P�b�g�̑��M���ł���l�b�g���[�N�܂��̓z�X�g�̃A�h���X�ł��B���̂����ꂩ�Ŏw�肵�܂��B

  • �h�b�g�t��10�i�\�L�ɂ��32�r�b�g�̐��l
  • source �� source-wildcard �̒l0.0.0.0 255.255.255.255�̒Z�k�`�ł���L�[���[�h any �Bsource-wildcard���͂���K�v�͂���܂���B
  • source��source-wildcard�̒l source 0.0.0.0�̒Z�k�`�ł��� host

�i�C�Ӂj source-wildcard ���w�肷��ƁA���M���Ƀ��C���h�J�[�h �r�b�g���K�p����܂��B

�i�C�Ӂj log ���w�肷��ƁA�G���g���ƈ�v����p�P�b�g�Ɋւ��郍�O�ʒm���b�Z�[�W���쐬����A�R���\�[���ɑ��M����܂��B

  • ���C��2�C���^�[�t�F�C�X�ɓK�p���ꂽACL�ŁA log �L�[���[�h�͖�������܂��B

end

�C�l�[�u��EXEC���[�h�ɖ߂�܂��B

show access-lists [number | name]

�A�N�Z�X ���X�g�̐ݒ��\�����܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

ACL�S�̂��폜����ɂ́A no access-list access-list-number �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B�ԍ��w��̃A�N�Z�X ���X�g����́AACE���•ʂɍ폜�ł��܂���B

  • ACL���쐬����Ƃ��́AACL�̖����ɈÖٓI�ȋ��ۃX�e�[�g�����g���f�t�H���g�ő��݂��A����ȑO�̃X�e�[�g�����g�ň�v�����‚���Ȃ��������ׂẴp�P�b�g�ɓK�p����邱�Ƃɒ��ӂ��Ă��������B�W��ACL�ł́A�Ή�����IP�z�X�g �A�h���X��ACL���w�肷��Ƃ��Ƀ}�X�N���ȗ�����ƁA0.0.0.0���}�X�N�Ƃ��Ďg�p����܂��B

���ɁAIP�z�X�g171.69.198.102�ւ̃A�N�Z�X�����ۂ��Ă���ȊO�̃A�h���X�ւ̃A�N�Z�X�����‚��Ă��̌��ʂ�\������W��ACL�̍쐬��������܂��B

Switch (config)# access-list 2 deny host 171.69.198.102

Switch (config)# access-list 2 permit any

Switch(config)# end

Switch# show access-lists

Standard IP access list 2

deny 171.69.198.102

permit any

host ��v�������w�肳�ꂽ�G���g���A�����0.0.0.0�̖����i dont care �j�}�X�N���w�肳�ꂽ�G���g�����A���X�g�̐擪�i�[���ȊO�̖���[ dont care ]�}�X�N���w�肳�ꂽ�A���ׂẴG���g���̏�j�ɗ���悤�ɁA�W���A�N�Z�X ���X�g�̏����������������܂��B���������āA show �R�}���h�̏o�͂���уR���t�B�M�����[�V���� �t�@�C���ŁAACE�͕K��������͂������Ԃɕ\������܂���B

�W��IP�A�N�Z�X ���X�g�ɂ���ċ��‚܂��͋��ۂ��ꂽ�p�P�b�g�Ɋւ��郍�O ���b�Z�[�W���A�X�C�b�`�̃\�t�g�E�F�A�ɂ���ĕ\������܂��B�‚܂�AACL�ƈ�v����p�P�b�g���������ꍇ�́A���̃p�P�b�g�Ɋւ��郍�O�ʒm���b�Z�[�W���R���\�[���ɑ��M����܂��B�R���\�[���ɕ\������郁�b�Z�[�W�̃��x���́ASyslog���b�Z�[�W�𐧌䂷�郍�M���O �R���\�[�� �R�}���h�Ő��䂳��܂��B

  • ���[�e�B���O�̓n�[�h�E�F�A�ŁA���M���O�̓\�t�g�E�F�A�Ŏ��s����܂��B���������āA log �L�[���[�h���܂� ���ipermit�j �܂��� ���ہideny�j ACE�ƈ�v����p�P�b�g���������݂���ꍇ�A�\�t�g�E�F�A�̓n�[�h�E�F�A�̏������x�ɒǂ��‚����Ƃ��ł��Ȃ����߁A�ꕔ�̃p�P�b�g�̓��M���O����܂���B

ACL���N�������ŏ��̃p�P�b�g�ɂ‚��ẮA���O ���b�Z�[�W�������ɕ\������܂����A����ȍ~�̃p�P�b�g�ɂ‚��ẮA5���Ԃ̎�W���Ԃ��o�߂��Ă���\���܂��̓��M���O����܂��B���O ���b�Z�[�W�ɂ̓A�N�Z�X ���X�g�ԍ��A�p�P�b�g�̋��‚܂��͋��ۂɊւ���󋵁A�p�P�b�g�̑��M��IP�A�h���X�A����ђ��O��5���Ԃɋ��‚܂��͋��ۂ��ꂽ���M������̃p�P�b�g����������܂��B

  • �o��ACL�̓}���`�L���X�g �p�P�b�g�����M���O�ł��܂���B���C��2�C���^�[�t�F�C�X�ɓK�p���ꂽACL�̃��M���O�̓T�|�[�g����܂���B

�쐬����ACL���A���܂��̓C���^�[�t�F�C�X�ɓK�p����K�v������܂��i �C���^�[�t�F�C�X�܂��͒[�����ւ�IP ACL�̓K�p ���Q�Ɓj�B

�ԍ��w��g��ACL�̍쐬

�W��ACL�̏ꍇ�A��v��ɂ͑��M���A�h���X�݂̂��g�p����܂����A�g��ACL�̏ꍇ�́A��v�����ɑ��M���A�h���X����ш���A�h���X���g�p������A�I�v�V�����̃v���g�R�� �^�C�v�����g�p���Ă��ו��ɂ킽�鐧����s�����Ƃ��ł��܂��B�ԍ��w��̊g��ACL���쐬�������ACE��V���ɍ쐬����Ƃ��́A���X�g�̖����ɐV����ACE���z�u����邱�Ƃɒ��ӂ��Ă��������B���X�g���Ăѕ��בւ�����A�ԍ����w�肳�ꂽACL�̓���̈ʒu��ACE��lj��܂��͍폜���邱�Ƃ͂ł��܂���B

�ꕔ�̃v���g�R���ɂ́A��p�̃p�����[�^����уL�[���[�h���g�p���邱�Ƃ��ł��܂��B

�g��ACL�ł́A����IP�v���g�R�����T�|�[�g����Ă��܂��i�v���g�R�� �L�[���[�h�͊��ʓ��̑����Ŏ����Ă��܂��j�B

Authentication Header Protocol�i ahp �j�AEnhanced Interior Gateway Routing Protocol�i eigrp �j�AEncapsulation Security Payload�i esp �j�AGeneric Routing Encapsulation�i gre �j�AInternet Control Message Protocol�i icmp �j�AInternet Group Management Protocol�i igmp �j�AInterior Gateway Routing Protocol�i igrp �j�A�C�ӂ�Interior Protocol�i ip �j�AIP in IP�g���l�����O�i ipinip �j�AKA9Q NOS�݊�IP over IP�g���l�����O�i nos �j�AOpen Shortest Path First���[�e�B���O�i ospf �j�APayload Compression Protocol�i pcp �j�AProtocol Independent Multicast�i pim �j�ATransmission Control Protocol�i tcp �j�A�܂���User Datagram Protocol�i udp �j

  • ICMP�G�R�[�����̓t�B���^�����O�ł��܂���B���̂��ׂĂ�ICMP�R�[�h�܂��̓^�C�v�̓t�B���^�����O�”\�ł��B

�e�v���g�R���Ɋ֘A����L�[���[�h�̏ڍׂɂ‚��ẮA�w Cisco IP and IP Routing Command Reference IOS �xRelease 12.1���Q�Ƃ��Ă��������B

  • Catalyst 3550�X�C�b�`�ŁA�_�C�i�~�b�N �A�N�Z�X ���X�g��ċA�A�N�Z�X ���X�g�̓T�|�[�g����܂���B�܂��A�ŏ��R�X�g��ToS�r�b�g�Ɋ�Â��t�B���^�����O���T�|�[�g����܂���B

�T�|�[�g����Ă���p�����[�^�́ATCP�AUDP�AICMP�AIGMP�A�܂��͑���IP�́A�����ꂩ�̃J�e�S���ɃO���[�v�����ł��܂��B

�g��ACL���쐬����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

access-list access-list-number
{ deny | permit } protocol
source source-wildcard

destination destination-wildcard
[ precedence precedence ]
[ tos tos ] [ fragments ] [ log ] [ log-input ] [ time-range time-range-name ] [ dscp dscp ]

  • dscp �l���͂����ꍇ�A tos �܂��� precedence ���͂��邱�Ƃ͂ł��܂���B dscp ���͂��Ȃ��ꍇ�́A tos �� precedence �𗼕�Ƃ���͂��邱�Ƃ��ł��܂��B

�g��IP�A�N�Z�X ���X�g����уA�N�Z�X�������`���܂��B

access-list-number ��100�`199�܂���2000�`2699��10�i���ł��B

��������v����ꍇ�Ƀp�P�b�g�����ۂ��邩���‚��邩���w�肷�邽�߁A deny �܂��� permit ���͂��܂��B

protocol ���w�肷��ꍇ�́AIP�v���g�R���̖��O�܂��͔ԍ����͂��܂��B ahp �A eigrp �A esp �A gre �A icmp �A igmp �A igrp �A ip �A ipinip �A nos �A ospf �A pcp �A pim �A tcp �A udp �AIP�v���g�R���ԍ���\��0�`255�̐������g�p�ł��܂��B���ׂẴC���^�[�l�b�g �v���g�R���iICMP�ATCP�AUDP���܂ށj�ƈ�v������ꍇ�́A�L�[���[�h ip ���g�p���܂��B

  • ���̃X�e�b�v�ɂ́A�قƂ�ǂ�IP�v���g�R���Ɏg�p�”\�ȃI�v�V�������܂܂�܂��BTCP�AUDP�AICMP�AIGMP�̋�̓I�ȃp�����[�^�ɂ‚��ẮA�X�e�b�v2b�`2e���Q�Ƃ��Ă��������B

source �̓p�P�b�g�̑��M���ł���l�b�g���[�N�܂��̓z�X�g�̔ԍ��ł��B

source-wildcard ���w�肷��ƁA���M���Ƀ��C���h�J�[�h �r�b�g���K�p����܂��B

destination �̓p�P�b�g�̈���ƂȂ�l�b�g���[�N�܂��̓z�X�g�̔ԍ��ł��B

destination-wildcard ���w�肷��ƁA����Ƀ��C���h�J�[�h �r�b�g���K�p����܂��B

source�Asource-wildcard�Adestination�Adestination-wildcard�́A����3�‚̕�@�Ŏw�肷�邱�Ƃ��ł��܂��B

  • �h�b�g�t��10�i�\�L�ɂ��32�r�b�g�̐��l
  • 0.0.0.0 255.255.255.255��\���L�[���[�h any �i�C�ӂ̃z�X�g�j
  • �P��̃z�X�g0.0.0.0��\���L�[���[�h host

���̑��̃L�[���[�h�͔C�ӂŁA�Ӗ��͎��̂Ƃ���ł��B

  • precedence �\ 0�`7�̔ԍ��܂��͖��O�Ŏw�肳�ꂽ�D�揇�ʂ��g�p���A�p�P�b�g���r���܂��B�g�p�ł��閼�O����єԍ��́A routine �i 0 �j�A priority �i 1 �j�A immediate �i 2 �j�A flash �i 3 �j�A flash-override �i 4 �j�A critical �i 5 �j�A internet �i6�j�A network �i 7 �j�ł��B
  • fragments �\ �擪�ȊO�̃t���O�����g���m�F���܂��B
  • tos �\ 0�`15�̔ԍ��܂��͖��O�Ŏw�肳�ꂽToS���x�����g�p���Ĕ�r���܂��B�g�p�ł��閼�O����єԍ��́A normal �i 0 �j�A max-reliability �i 2 �j�A max-throughput �i 4 �j�A min-delay �i 8 �j�ł��B
  • log �\ �G���g���ƈ�v����p�P�b�g�Ɋւ��郍�O�ʒm���b�Z�[�W���쐬���A�R���\�[���ɑ��M���܂��B log-input ���w�肷��ƁA���O �G���g���ɓ�̓C���^�[�t�F�C�X���lj�����܂��B���C��2�C���^�[�t�F�C�X�ɓK�p���ꂽACL�i�|�[�gACL�j�̃��M���O�̓T�|�[�g����܂���B
  • time-range �\ ���̃L�[���[�h�̐����ɂ‚��ẮA ACL�ł̎��Ԕ͈͂̎g�p�@ ���Q�Ƃ��Ă��������B

dscp �\ 0�`63�̔ԍ��Ŏw�肳�ꂽDSCP�l���g�p���ăp�P�b�g���r���܂��B�^�╄�i?�j���g�p����ƁA�g�p�”\�Ȓl�̃��X�g���\������܂��B

�܂���

access-list access-list-number { deny | permit } protocol any any [ precedence precedence ] [ tos tos ] [ fragments ] [ log ] [log-input] [ time-range time-range-name ] [ dscp dscp ]

�A�N�Z�X ���X�g �R���t�B�M�����[�V���� ���[�h�ŁA���M���Ƒ��M�����C���h�J�[�h�̒l0.0.0.0 255.255.255.255�̒Z�k�`���g�p���邩�A�܂��͈���ƈ��惏�C���h�J�[�h�̒l0.0.0.0 255.255.255.255�̒Z�k�`���g�p���A�g��IP�A�N�Z�X ���X�g���`���܂��B

���M��/����A�h���X�ƃ��C���h�J�[�h�̑���ɁA any �L�[���[�h���g�p�ł��܂��B

�܂���

access-list access-list-number { deny | permit } protocol host source host destination [ precedence precedence ] [ tos tos ] [ fragments ] [ log ] [ log-input ] [ time-range time-range-name ] [ dscp dscp ]

���M���Ƒ��M�����C���h�J�[�h�̒l source 0.0.0.0�̒Z�k�`���g�p���邩�A�܂��͈���ƈ��惏�C���h�J�[�h�̒l destination 0.0.0.0�̒Z�k�`���g�p���A�g��IP�A�N�Z�X ���X�g���`���܂��B

���M���ƈ���̃��C���h�J�[�h�܂��̓}�X�N�̑���ɁA host �L�[���[�h���g�p�ł��܂��B

access-list access-list-number
{ deny | permit } tcp source source-wildcard [ operator port ] destination destination-wildcard [ operator port ] [ established ] [ precedence precedence ]
[ tos tos ] [ fragments ] [ log ] [ log-input ] [ time-range time-range-name ] [ dscp dscp ] [ flag ]

�i�C�Ӂj�g��TCP�A�N�Z�X ���X�g����уA�N�Z�X�������`���܂��B

TCP�̏ꍇ�� tcp ���͂��܂��B

���Ɏ�����O�������A�X�e�b�v2a�Ő�������p�����[�^�Ɠ����p�����[�^���g�p���܂��B

�i�C�Ӂj operator ����� port ���͂���ƁA���M���|�[�g�i source source-wildcard �̌�ɓ�͂����ꍇ�j�܂��͈���|�[�g�i destination destination-wildcard �̌�ɓ�͂����ꍇ�j����r����܂��B�g�p�”\�ȉ��Z�q�� eq �i��v�j�A gt �i���傫���j�A lt �i�����j�A neq �i�s��v�j�A range �i��ܔ͈́j�Ȃǂł��B���Z�q�ɂ̓|�[�g�ԍ����w�肷��K�v������܂��i range �̏ꍇ��2�‚̃|�[�g�ԍ����X�y�[�X�ŋ�؂��Ďw�肷��K�v������܂��j�B

port �Ƀ|�[�g�ԍ���10�i���i0�`65535�j�Ƃ��ē�͂��邩�A�܂���TCP�|�[�g�����͂��܂��BTCP�|�[�g����\������ꍇ�́A�^�╄�i?�j���g�p���܂��B�܂��́w Cisco IOS IP and IP Routing Command Reference for IOS �xRelease 12.1�́uConfiguring IP Services�v���Q�Ƃ��Ă��������BTCP���t�B���^�����O����Ƃ��́ATCP�|�[�g�̔ԍ��܂��͖��O�݂̂��g�p���܂��B

���̑��I�v�V�����̃L�[���[�h�̈Ӗ��͎��̂Ƃ���ł��B

  • established �\ �m�����ꂽ�ڑ��Ɣ�r���܂��B���̃L�[���[�h�́A ack �܂��� rst �t���O���w�肵���ꍇ�̈�v�����@�\�Ɠ����ł��B
  • flag �\ �w�肳�ꂽTCP�w�b�_�[ �r�b�g����ɂ��Ĕ�r���܂��B��͂ł���t���O�́A ack �i�m�F�����j�A fin �i�I���j�A psh �i�v�b�V���j�A rst �i���Z�b�g�j�A syn �i����j�A urg �i�ً}�j�ł��B

access-list access-list-number
{ deny | permit } udp
source source-wildcard
[ operator port ] destination destination-wildcard [ operator port ] [ precedence precedence ]
[ tos tos ] [ fragments ] [ log ] [log-input] [ time-range time-range-name ] [ dscp dscp ]

�i�C�Ӂj�g��UDP�A�N�Z�X ���X�g����уA�N�Z�X�������`���܂��B

UDP�̏ꍇ�́A udp ���͂��܂��B

UDP�p�����[�^��TCP�Ɋւ��Đ�������Ă���p�����[�^�Ɠ����ł��B�������A[ operator [ port ]]�|�[�g�ԍ��܂��̓|�[�g���́AUDP�|�[�g�̔ԍ��܂��͖��O�Ƃ��܂��BUDP�̏ꍇ�A flag ����� established �p�����[�^�͖���ł��B

access-list access-list-number
{ deny | permit } icmp source source-wildcard destination destination-wildcard [ icmp-type | [[ icmp-type icmp-code ] | [icmp-message] ] [ precedence precedence ] [ tos tos ] [ fragments ] [ log ] [log-input] [ time-range time-range-name ] [ dscp dscp ]

�i�C�Ӂj�g��ICMP�A�N�Z�X ���X�g����уA�N�Z�X�������`���܂��B

ICMP�̏ꍇ�́A icmp ���͂��܂��B

ICMP�p�����[�^�̓X�e�b�v2a��IP�v���g�R���Ő�������Ă���p�����[�^�Ɠ����ł����AICMP���b�Z�[�W �^�C�v�ƃR�[�h �p�����[�^���lj�����Ă��܂��B�I�v�V�����̃L�[���[�h�͎��̈Ӗ��������܂��B

  • icmp-type �\ ICMP���b�Z�[�W �^�C�v���g�p���ăt�B���^�����O���܂��B0�`255�̒l���g�p�ł��܂��B
  • icmp-code �\ ICMP���b�Z�[�W �^�C�v����ɂ��ăt�B���^�����O���ꂽICMP�p�P�b�g���AICMP���b�Z�[�W �R�[�h����ɂ��ăt�B���^�����O���܂��B0�`255�̒l���g�p�ł��܂��B
  • icmp-message �\ ICMP���b�Z�[�W �^�C�v���܂���ICMP���b�Z�[�W�̃^�C�v����уR�[�h������ɂ��āAICMP�p�P�b�g���t�B���^�����O���܂��BICMP���b�Z�[�W �^�C�v����ICMP���b�Z�[�W�̃^�C�v����уR�[�h����\������ꍇ�́A�^�╄�i?�j���͂��܂��B�܂��́w Cisco IOS IP and IP Routing Command Reference for IOS �xRelease 12.1�́uConfiguring IP Services�v���Q�Ƃ��Ă��������B

access-list access-list-number
{ deny | permit } igmp source source-wildcard destination destination-wildcard [ igmp-type ] [ precedence precedence ] [ tos tos ] [ fragments ] [ log ] [log-input] [ time-range time-range-name ] [ dscp dscp ]

�i�C�Ӂj�g��IGMP�A�N�Z�X ���X�g����уA�N�Z�X�������`���܂��B

IGMP�̏ꍇ�́A igmp ���͂��܂��B

IGMP�p�����[�^�̓X�e�b�v2a��IP�v���g�R���Ő�������Ă���p�����[�^�Ɠ����ł����A���Ɏ����p�����[�^���lj�����Ă��܂��B

igmp-type �\ IGMP���b�Z�[�W �^�C�v�Ɣ�r����ɂ́A0�`15�̔ԍ��܂��̓��b�Z�[�W���i dvmrp �A host-query �A host-report �A pim �A�܂��� trace �j���͂��܂��B

show access-lists [number | name]

�A�N�Z�X ���X�g�̐ݒ���m�F���܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

�A�N�Z�X ���X�g�S�̂��폜����ɂ́A no access-list access-list-number �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B�ԍ��w��̃A�N�Z�X ���X�g����́AACE���•ʂɍ폜�ł��܂���B

���ɁA�l�b�g���[�N171.69.198.0���̔C�ӂ̃z�X�g����l�b�g���[�N172.20.52.0���̔C�ӂ̃z�X�g�ւ�Telnet�A�N�Z�X�����ۂ��A����ȊO�̃A�h���X�ւ̃A�N�Z�X�����‚���g���A�N�Z�X ���X�g���쐬�A�\�������������܂��i eq �L�[���[�h������A�h���X�̌�Ɏw�肷��ƁATelnet�ɑΉ�����TCP����|�[�g�ԍ����e�X�g����܂��j�B

Switch(config)# access-list 102 deny tcp 171.69.198.0 0.0.0.255 172.20.52.0 0.0.0.255 eq telnet

Switch(config)# access-list 102 permit tcp any any

Switch(config)# end

Switch# show access-lists

Extended IP access list 102

deny tcp 171.69.198.0 0.0.0.255 172.20.52.0 0.0.0.255 eq telnet

permit tcp any any

ACL���쐬���ꂽ��ɒlj����ꂽACE�i�[�������͂��ꂽACE�Ȃǁj�́A���X�g�̖����ɔz�u����܂��B�ԍ����w�肳�ꂽ�A�N�Z�X ���X�g�̓���̈ʒu��ACE��lj��܂��͍폜���邱�Ƃ͂ł��܂���B

  • ACL���쐬����Ƃ��́A�A�N�Z�X ���X�g�̖����ɈÖٓI�ȋ��ۃX�e�[�g�����g���f�t�H���g�ő��݂��A����ȑO�̃X�e�[�g�����g�ň�v�����‚���Ȃ��������ׂẴp�P�b�g�ɓK�p����邱�Ƃɒ��ӂ��Ă��������B

�쐬����AC

L���A���܂��̓C���^�[�t�F�C�X�ɓK�p����K�v������܂��i �C���^�[�t�F�C�X�܂��͒[�����ւ�IP ACL�̓K�p ���Q�Ɓj�B

���O�w��̕W������ъg��IP ACL�̍쐬

IP ACL�́A�ԍ��łȂ��p�����i���O�j�Ŏw�肷�邱�Ƃ��ł��܂��B���O�w���ACL���g�p����ƁA�ԍ��w��̃A�N�Z�X ���X�g���g�p����ꍇ����������IP�A�N�Z�X ���X�g���X�C�b�`�ɐݒ肷�邱�Ƃ��ł��܂��B�A�N�Z�X ���X�g��ԍ��łȂ����O�Ŏw�肷��ꍇ�́A���[�h����уR�}���h�\�����኱�قȂ�܂��B�������AIP�A�N�Z�X ���X�g���g�p���邷�ׂẴR�}���h�ŁA���O�w��̃A�N�Z�X ���X�g���g�p�ł���Ƃ͌���܂���B

  • �W���܂��͊g��ACL�Ɏw�肷�閼�O�ɂ́A�T�|�[�g����Ă���A�N�Z�X ���X�g�ԍ��͈͓��̔ԍ����w�肷�邱�Ƃ��ł��܂��B�‚܂�A�W��IP ACL�̖��O�ɂ�1�`99���A�g��IP ACL�̖��O�ɂ�100�`199���g�p�ł��܂��B�ԍ��w��ACL�ł͂Ȃ����O�w��ACL���g�p���邱�ƂŁA���O�w�胊�X�g����•ʂɃG���g�����폜���邱�Ƃ��”\�ƂȂ�܂��B

���O�w���ACL��ݒ肷��O�ɁA���Ɏ������ӎ�������ѐ����������l�����Ă��������B

  • �ԍ��w���ACL���w��ł��邷�ׂẴR�}���h�ŁA���O�w���ACL���w��ł���Ƃ͌���܂���B�C���^�[�t�F�C�X�̃p�P�b�g �t�B���^����у��[�g �t�B���^�p��ACL�AVLAN�}�b�v�ɂ͖��O���g�p���邱�Ƃ��ł��܂��B
  • �W��ACL����ъg��ACL�ɁA�������O��ݒ肷�邱�Ƃ͂ł��܂���B
  • �ԍ��w���ACL���g�p�ł��܂��i �W������ъg��IP ACL�̍쐬 ���Q�Ɓj�B
  • VLAN�}�b�v�ɂ́A�W��ACL����ъg��ACL�i���O�w��܂��͔ԍ��w��j��K�p�ł��܂��B

���O�w��̕W��ACL���쐬����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

ip access-list standard name

���O���g�p���ĕW��IP�A�N�Z�X ���X�g���`���A�A�N�Z�X ���X�g �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

  • ���O�ɂ�1�`99�̔ԍ����g�p�ł��܂��B

deny { source [ source-wildcard ] | host source | any } [ log ]

�܂���

permit { source [ source-wildcard ] | host source | any } [ log ]

�A�N�Z�X ���X�g �R���t�B�M�����[�V���� ���[�h�ŁA1�‚܂��͕����̏��������ۂ܂��͋��‚Ɏw�肵�A�p�P�b�g�̓]���܂��͔p������肵�܂��B

  • host source �\ ���M���Ƒ��M�����C���h�J�[�h�̒l
    source 0.0.0.0
  • any �\ ���M���Ƒ��M�����C���h�J�[�h�̒l
    0.0.0.0 255.255.255.255
  • ���C��2�C���^�[�t�F�C�X�ɓK�p���ꂽACL�i�|�[�gACL�j�Ɋւ��āA log �L�[���[�h�̓T�|�[�g����܂���B

end

�C�l�[�u��EXEC���[�h�ɖ߂�܂��B

show access-lists [number | name]

�A�N�Z�X ���X�g�̐ݒ��\�����܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

���O�w��̕W��ACL���폜����ɂ́A no ip access-list standard name �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

���O���g�p���Ċg��ACL���쐬����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

ip access-list extended name

���O���g�p���Ċg��IP�A�N�Z�X ���X�g���`���A�A�N�Z�X ���X�g �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

  • ���O�ɂ�100�`199�̔ԍ����g�p�ł��܂��B

{ deny | permit } protocol { source [ source-wildcard ] | host source | any } { destination [ destination-wildcard ] | host destination | any } [ precedence precedence ]
[ tos tos ] [ established ] [ log ] [ time-range time-range-name ]

�A�N�Z�X���X�g �R���t�B�M�����[�V���� ���[�h�ŁA���‚܂��͋��ۂ̏������w�肵�܂��B log �L�[���[�h���g�p����ƁA�ᔽ���܂ރA�N�Z�X ���X�g�̃��O ���b�Z�[�W���擾�ł��܂��B

�v���g�R������т��̑��L�[���[�h�̒�`�ɂ‚��ẮA �ԍ��w��g��ACL�̍쐬 ���Q�Ƃ��Ă��������B

  • host source �\ ���M���Ƒ��M�����C���h�J�[�h�̒l
    source 0.0.0.0
  • host destination �\ ����ƈ��惏�C���h�J�[�h�̒l destination 0.0.0.0
  • any �\ ���M���Ƒ��M�����C���h�J�[�h�̒l�A�܂��͈���ƈ��惏�C���h�J�[�h�̒l�ł���0.0.0.0 255.255.255.255
  • ���C��2�C���^�[�t�F�C�X�ɓK�p���ꂽACL�i�|�[�gACL�j�Ɋւ��āA log �L�[���[�h�̓T�|�[�g����܂���B

end

�C�l�[�u��EXEC���[�h�ɖ߂�܂��B

show access-lists [number | name]

�A�N�Z�X ���X�g�̐ݒ��\�����܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

���O�w��̊g��ACL���폜����ɂ́A no ip access-list extended name �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

�W���܂��͊g��ACL���쐬����Ƃ��́AACL�̖����ɈÖٓI�ȋ��ۃX�e�[�g�����g���f�t�H���g�ő��݂��A����ȑO�̃X�e�[�g�����g�ň�v�����‚���Ȃ��������ׂẴp�P�b�g�ɓK�p����邱�Ƃɒ��ӂ��Ă��������B�W��ACL�ł́A�Ή�����IP�z�X�g �A�h���X�̃A�N�Z�X ���X�g���w�肷��Ƃ��Ƀ}�X�N���ȗ�����ƁA0.0.0.0���}�X�N�Ƃ��Ďg�p����܂��B

ACL���쐬������ɒlj����ꂽACE�́A���X�g�̖����ɔz�u����܂��B�����ACL�ł͑I��I��ACE�G���g����lj����邱�Ƃ͂ł��܂���B�������A no permit ����� no deny �A�N�Z�X���X�g �R���t�B�M�����[�V���� ���[�h �R�}���h���g�p����ƁA���O�w���ACL����G���g�����폜���邱�Ƃ��ł��܂��B���ɁA���O�w��̃A�N�Z�X ���X�g border-list ����ACE���•ʂɍ폜�����������܂��B

Switch(config)# ip access-list extended border-list

Switch(config-ext-nacl)# no permit ip host 10.1.1.3 any

�ԍ��w���ACL�ł͂Ȃ��A���O�w���ACL���g�p���邱�ƂŁA���O�w���ACL����s���•ʂɍ폜���邱�Ƃ��”\�ƂȂ�܂��B

�쐬����ACL���A���܂��̓C���^�[�t�F�C�X�ɓK�p����K�v������܂��i �C���^�[�t�F�C�X�܂��͒[�����ւ�IP ACL�̓K�p ���Q�Ɓj�B

ACL�ł̎��Ԕ͈͂̎g�p�@

�j���ю����Ɋ�Â��Ċg��ACL��I��I�ɓK�p����ɂ́A time-range �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B�ŏ��Ɏ��Ԕ͈̖͂��O���`���A���Ԕ͈͂̎����A��t�A�܂��͗j���ݒ肵�܂��B���ɁAACL��K�p����Ƃ��Ɏ��Ԕ͈͖����͂��A�A�N�Z�X ���X�g�ɐ�����K�p���܂��B���Ԕ͈͂��g�p���邱�ƂŁAACL�̋��ƒX�e�[�g�����g�܂��͋��ۃX�e�[�g�����g���L��Ȏ���i�w���ԓ��A�w��j��Ȃǁj���`���邱�Ƃ��ł��܂��B time-range �L�[���[�h����ш�ɂ‚��ẮA�O�q�� �W������ъg��IP ACL�̍쐬 ����� ���O�w��̕W������ъg��IP ACL�̍쐬 �ɋL�ڂ���Ă���A���O�w�肨��єԍ��w��̊g��ACL�Ɋւ���^�X�N�\���Q�Ƃ��Ă��������B

���Ԕ͈͂��g�p���闘�_�̂����A2�‚����Ɏ����܂��B

  • �A�v���P�[�V�����Ȃǂ̃��\�[�X�iIP�A�h���X�ƃ}�X�N�̃y�A�A����у|�[�g�ԍ��Ŏ��ʁj�ւ̃��[�U �A�N�Z�X����萳�m�ɋ��‚܂��͋��ۂł��܂��B
  • ���O ���b�Z�[�W�𐧌�ł��܂��BACL�G���g�����g�p���ē���̎����Ɋւ��Ă̂݃g���t�B�b�N�����M���O�ł��邽�߁A�s�[�N���Ԃɐ�������鑽���̃��O�𕪐͂��Ȃ��Ă��A�ȒP�ɃA�N�Z�X�����ۂ��邱�Ƃ��ł��܂��B
  • ���Ԕ͈͂ɂ́A�X�C�b�`�̃V�X�e�� �N���b�N���g�p����邽�߁A�M���ł���N���b�N �\�[�X���K�v�ł��B�X�C�b�` �N���b�N�𓯊��ɂ́ANetwork Time Protocol�iNTP�j���g�p���Ă��������B�ڍׂɂ‚��ẮA �V�X�e����̊Ǘ� ���Q�Ƃ��Ă��������B

ACL��time-range�p�����[�^��ݒ肷��ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

time-range time-range-name

�쐬���鎞�Ԕ͈͂ɂ͈Ӗ��̂��閼�O�i workhours �Ȃ�)�����蓖�āA���Ԕ͈̓R���t�B�M�����[�V���� ���[�h���J�n���܂��B���O�̐擪�ɂ͕������w�肵�A�r���ɃX�y�[�X�܂��͈�p�����܂߂Ȃ��悤�ɂ��܂��B

absolute [ start time date ] [ end time date ]

�܂���

periodic day-of-the-week hh:mm to [ day-of-the-week ] hh:mm

�܂���

periodic { weekdays | weekend | daily } hh:mm to hh:mm

���Ԕ͈͂�K�p����֐����@�\���鎞�Ԃ��w�肵�܂��B

  • ���Ԕ͈͓��ł́A absolute �X�e�[�g�����g��1��Ɍ���g�p�ł��܂��B������absolute�X�e�[�g�����g��ݒ肵���ꍇ�́A�Ō�ɐݒ肳�ꂽ�X�e�[�g�����g�݂̂����s����܂��B
  • ������ periodic �X�e�[�g�����g���͂ł��܂��B���Ƃ��΁A����ƏT���ňقȂ鎞�Ԃ�ݒ肷�邱�Ƃ��ł��܂��B

�ݒ����Q�Ƃ��Ă��������B

end

�C�l�[�u��EXEC���[�h�ɖ߂�܂��B

show time-range

�ݒ肵�����Ԕ͈͂��m�F���܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

�ݒ肳�ꂽ���Ԕ͈͂̐������폜����ɂ́A no time-range time-range-name �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

�قȂ鎞���ɋ@�\����悤�ɐݒ肷�镡���̍��ڂ�����ꍇ�́A���̃X�e�b�v���J��Ԃ��܂��B

���ɁA�c�Ǝ��ԁi workhours �j����щ�Ђ̋x�Ɠ��\�����Ԕ͈͂�ݒ肵�A���̐ݒ���m�F�����������܂��B

Switch(config)# time-range workhours

Switch(config-time-range)# periodic weekdays 8:00 to 12:00

Switch(config-time-range)# periodic weekdays 13:00 to 17:00

Switch(config-time-range)# exit

Switch(config)# time-range new_year_day_2000

Switch(config-time-range)# absolute start 00:00 1 Jan 2000 end 23:59 1 Jan 2000

Switch(config-time-range)# exit

Switch(config)# time-range thanksgiving_2000

Switch(config-time-range)# absolute start 00:00 22 Nov 2000 end 23:59 23 Nov 2000

Switch(config-time-range)# exit

Switch(config)# time-range christmas_2000

Switch(config-time-range)# absolute start 00:00 24 Dec 2000 end 23:50 25 Dec 2000

Switch(config-time-range)# end

Switch# show time-range

time-range entry: christmas_2000 (inactive)

absolute start 00:00 24 December 2000 end 23:50 25 December 2000

time-range entry: new_year_day_2000 (inactive)

absolute start 00:00 01 January 2000 end 23:59 01 January 2000

time-range entry: thanksgiving_2000 (inactive)

absolute start 00:00 22 November 2000 end 23:59 23 November 2000

time-range entry: workhours (inactive)

periodic weekdays 8:00 to 12:00

periodic weekdays 13:00 to 17:00

�K�p����鎞�Ԕ͈͂Ɋւ��ẮA�K�p��̊g��ACL���ɁA���Ԕ͈͖����w�肵�ċL�q����K�v������܂��B���ɁA��`���ꂽ�x��ɔC�ӂ̑��M������C�ӂ̈���ɑ��M�����TCP�g���t�B�b�N�����ۂ��A�c�Ǝ��Ԓ��ɂ��ׂĂ�TCP�g���t�B�b�N�����‚���g���A�N�Z�X ���X�g188���쐬�A�m�F�����������܂��B

Switch(config)# access-list 188 deny tcp any any time-range new_year_day_2000

Switch(config)# access-list 188 deny tcp any any time-range thanskgiving_2000

Switch(config)# access-list 188 deny tcp any any time-range christmas_2000

Switch(config)# access-list 188 permit tcp any any time-range workhours

Switch(config)# end

Switch# show access-lists

Extended IP access list 188

deny tcp any any time-range new_year_day_2000 (inactive)

deny tcp any any time-range thanskgiving_2000 (active)

deny tcp any any time-range christmas_2000 (inactive)

permit tcp any any time-range workhours (inactive)

���ɁA���O�w���ACL���g�p���āA�����g���t�B�b�N�����‚���ы��ۂ����������܂��B

Switch(config)# ip access-list extended deny_access

Switch(config-ext-nacl)# deny tcp any any time-range new_year_day_2000

Switch(config-ext-nacl)# deny tcp any any time-range thanksgiving_2000

Switch(config-ext-nacl)# deny tcp any any time-range christmas_2000

Switch(config-ext-nacl)# exit

Switch(config)# ip access-list extended may_access

Switch(config-ext-nacl)# permit tcp any any time-range workhours

Switch(config-ext-nacl)# end

Switch# show ip access-lists

Extended IP access list deny_access

deny tcp any any time-range new_year_day_2000 (inactive)

deny tcp any any time-range thanksgiving_2000 (inactive)

deny tcp any any time-range christmas_2000 (inactive)

Extended IP access list may_access

permit tcp any any time-range workhours (inactive)

ACL�ւ̃R�����g�̑}��

remark �L�[���[�h���g�p����ƁA�G���g���Ɋւ���R�����g�i���l�j��C�ӂ�IP�W������ъg��ACL�ɒlj����邱�Ƃ��ł��܂��B�R�����g��lj�����ƁAACL�̔c������ё��������ȒP�ɂȂ�܂��B�e�R�����g�s�ɂ́A�ő�100�����܂œ�͂ł��܂��B

�R�����g�͋��ƒX�e�[�g�����g�܂��͋��ۃX�e�[�g�����g�̑O��Ɏw��ł��܂��B�R�����g�ɑΉ����鋖�ƒX�e�[�g�����g�܂��͋��ۃX�e�[�g�����g�����m�ɂȂ�悤�ɁA�R�����g�̋L�q�ʒu�𓝈ꂷ��K�v������܂��B����������邽�߁A���Ƃ��΁A���ƒX�e�[�g�����g�܂��͋��ۃX�e�[�g�����g�̑O�ɋL�q����Ă���R�����g�ƁA��ɋL�q����Ă���R�����g�����݂��Ȃ��悤�ɂ��܂��B

�ԍ��w���IP�W��ACL�܂��͊g��ACL�ɃR�����g��lj�����ꍇ�́A access-list access-list number remark remark �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B�R�����g���폜����ɂ́A��L�̃R�}���h�� no �`�����g�p���܂��B

���̗�ł́AJones�����L���郏�[�N�X�e�[�V�����̃A�N�Z�X�͋��‚���܂����ASmith�����L���郏�[�N�X�e�[�V�����̃A�N�Z�X�͋֎~����܂��B

Switch(config)# access-list 1 remark Permit only Jones workstation through

Switch(config)# access-list 1 permit 171.69.2.88

Switch(config)# access-list 1 remark Do not allow Smith workstation through

Switch(config)# access-list 1 deny 171.69.3.13

���O�w���IP ACL�ɃG���g������ꍇ�́A remark �A�N�Z�X ���X�g �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B�R�����g���폜����ɂ́A��L�̃R�}���h�� no �`�����g�p���܂��B

���̗�ł́AJones�T�u�l�b�g�ł̔��MTelnet�̎g�p���֎~����܂��B

Switch(config)# ip access-list extended telnetting

Switch(config-ext-nacl)# remark Do not allow Jones subnet to telnet out

Switch(config-ext-nacl)# deny tcp host 171.69.2.88 any eq telnet

�C���^�[�t�F�C�X�܂��͒[�����ւ�IP ACL�̓K�p

�쐬����IP ACL�́A1�‚܂��͕����̃C���^�[�t�F�C�X�܂��͒[�����ɓK�p�ł��܂��B���C��3�C���^�[�t�F�C�X�ɂ́A���M�ƒ��M�̂����ꂩ��ACL��K�p�ł��܂����A���C��2�C���^�[�t�F�C�X�ɓK�p�ł���̂͒��MACL�����ł��B�����ł́A�[�����ƃl�b�g���[�N �C���^�[�t�F�C�X�̗���ɃA�N�Z�X ���X�g��K�p�����@�ɂ‚��Đ������܂��B���̒��ӎ������l�����Ă��������B

ACL���̃A�h���X�Ɖ��z�[�����Ƃ̊Ԃ̒��M�ڑ�����є��M�ڑ��𐧌�����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

line [ console | vty ] line-number

�ݒ肷�����̉����w�肵�A�C�����C�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

  • console �\ �R���\�[���[�������w�肵�܂��B�R���\�[�� �|�[�g��DCE�ł��B
  • vty �\ �����[�g �R���\�[�� �A�N�Z�X�p�̉��z�[�����w�肵�܂��B

line-number �́A�A��������A�̔ԍ��̍ŏ��̉��ԍ��ŁA���^�C�v���w�肷��Ƃ��ɐݒ肷��K�v������܂��B�w��ł���͈͂�0�`16�ł��B

access-class access-list-number { in | out }

����̃A�N�Z�X ���X�g�̏������g�p���A���z�[�����i�f�o�C�X���j�Ƃ̊Ԃ̒��M�ڑ��܂��͔��M�ڑ��𐧌����܂��B

end

�C�l�[�u��EXEC���[�h�ɖ߂�܂��B

show running-config

�A�N�Z�X ���X�g�̐ݒ��\�����܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

�[�����Ɋւ���A�N�Z�X�������폜����ɂ́A no access-class access-list-number { in | out }���C�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

���C��2�܂��̓��C��3�C���^�[�t�F�C�X�ւ̃A�N�Z�X�𐧌䂷�邽�߂�IP�A�h���X ���X�g��K�p����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

interface interface-id

�ݒ肷�����̃C���^�[�t�F�C�X���w�肵�A�C���^�[�t�F�C�X �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

���̃C���^�[�t�F�C�X�́A���C��2�C���^�[�t�F�C�X�i�|�[�gACL�j�܂��̓��C��3�C���^�[�t�F�C�X�i���[�^ACL�j�ł��B

ip access-group { access-list-number | name } { in | out }

IP�A�N�Z�X ���X�g���g�p���A�w�肵���C���^�[�t�F�C�X�ւ̃A�N�Z�X�𐧌䂵�܂��B�W���܂��͊g����IP�A�N�Z�X�ԍ��܂��͖��O���͂��邱�Ƃ��ł��܂��B

  • out �L�[���[�h�́A���C��2�C���^�[�t�F�C�X�ɑ΂��Ė���ł��B�|�[�gACL�́A���M���Ɋւ��Ă̂݃T�|�[�g����܂��B

end

�C�l�[�u��EXEC���[�h�ɖ߂�܂��B

show running-config

�A�N�Z�X ���X�g�̐ݒ��\�����܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

�w�肳�ꂽ�A�N�Z�X �O���[�v���폜����ɂ́A no ip access-group { access-list-number | name } { in | out }�C���^�[�t�F�C�X �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

���ɁAGigabit Ethernet 0/3�C���^�[�t�F�C�X�ɃA�N�Z�X ���X�g2��K�p���A�C���^�[�t�F�C�X�ɓ��p�P�b�g���t�B���^�����O�����������܂��B

Switch(config)# interface gigabitethernet0/3

Router(config-if)# ip access-group 2 in

  • ip access-group �C���^�[�t�F�C�X �R���t�B�M�����[�V���� �R�}���h�����C��3�C���^�[�t�F�C�X�iSVI�A���C��3 EtherChannel�A�܂��̓��[�e�b�h �|�[�g�j�ɓK�p����ɂ́A���̃C���^�[�t�F�C�X��IP�A�h���X���ݒ肳��Ă���K�v������܂��B���C��3�A�N�Z�X �O���[�v�́ACPU�̃��C��3�v���Z�X�ɂ���ă��[�e�B���O�܂��͎�M�����p�P�b�g���t�B���^�����O���܂��B���̃O���[�v�́AVLAN���Ńu���b�W���O�����p�P�b�g�ɉe����^���܂���B

���MACL�̏ꍇ�A�X�C�b�`�͎�M�����p�P�b�g��ACL�Əƍ����܂��BACL�ɂ���ăp�P�b�g�����‚��ꂽ�ꍇ�́A�p�P�b�g�̏��������s����܂��B���ۂ��ꂽ�ꍇ�A�p�P�b�g�͔p���܂��B

���MACL�̏ꍇ�i���C��3�C���^�[�t�F�C�X�̂݁j�A�X�C�b�`�͐���ΏۃC���^�[�t�F�C�X�ɒ��M���A���[�e�B���O���ꂽ�p�P�b�g��ACL�Əƍ����܂��B�p�P�b�g�����‚��ꂽ�ꍇ�A�p�P�b�g�͑��M����܂��B���ۂ��ꂽ�ꍇ�A�p�P�b�g�͔p���܂��B

ICMP���B�s�\���b�Z�[�W�𑗐M����悤�ɐݒ肳�ꂽ��̓C���^�[�t�F�C�X�Ńp�P�b�g���p��ꂽ�ꍇ�́A���̌�������̓C���^�[�t�F�C�X��ACL�܂��͔��M�C���^�[�t�F�C�X��ACL�̂�����ł����Ă��A�����̃��b�Z�[�W�����M����܂��BICMP���B�s�\���b�Z�[�W�͒ʏ�A��̓C���^�[�t�F�C�X1�‚ɂ‚��A0.5�b���Ƃ�1�‚�����������܂��B�������A���̐ݒ�� ip icmp rate-limit unreachable �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���ĕύX���邱�Ƃ��ł��܂��B

����`��ACL���C���^�[�t�F�C�X�ɓK�p����ƁA�X�C�b�`��ACL���C���^�[�t�F�C�X�ɓK�p����Ă��Ȃ��Ɣ��f���ď������s���A���ׂẴp�P�b�g�����‚���Ă��܂��܂��B�l�b�g���[�N �Z�L�����e�B�̂��߁A����`��ACL���g�p����ꍇ�͒��ӂ��Ă��������B

IP ACL�̐ݒ��

�����ł́AIP ACL�̐ݒ��������܂��BACL�̕ҏW��@�ɂ‚��ẮA�wSecurity Configuration Guide�x�A����сw Cisco IOS IP and IP Routing Configuration Guide for IOS �xRelease 12.1�́uIP Services�v���Q�Ƃ��Ă��������B

���[�^ACL�ɂ��g���t�B�b�N�̐��� �ɁA���K�̓l�b�g���[�N���\�z���ꂽ�I�t�B�X�‹��������܂��B���[�e�b�h �|�[�g0/2�ɐڑ����ꂽ�T�[�oA�ɂ́A���ׂĂ̏]�ƈ����A�N�Z�X�ł��闘�v�Ȃǂ̏�񂪊i�[����Ă��܂��B���[�e�b�h �|�[�g0/3�ɐڑ����ꂽ�T�[�oB�ɂ́A�@���̋��^�x�����f�[�^���i�[����Ă��܂��B�T�[�oA�ɂ͂��ׂẴ��[�U���A�N�Z�X�ł��܂����A�T�[�oB�ɃA�N�Z�X�ł��郆�[�U�͐�������Ă��܂��B

���[�^ACL���g�p���ď�L�̂悤�ɐݒ肷��ɂ́A���̂����ꂩ�̕�@���g�p���܂��B

���[�^ACL�ɂ��g���t�B�b�N�̐���

���̗�ł́A�W��ACL���g�p���ă|�[�g0/3����T�[�oB�ɒ��M����g���t�B�b�N���t�B���^�����O���A�o�����̑��M���A�h���X172.20.128.64�`172.20.128.95���瑗�M�����g���t�B�b�N�݂̂����‚��܂��B

Switch(config)# access-list 6 permit 172.20.128.64 0.0.0.31

Switch(config)# end

Switch# show access-lists

Standard IP access list 6

permit 172.20.128.64, wildcard bits 0.0.0.31

Switch(config)# interface gigabitethernet0/3

Switch(config-if)# ip access-group 6 out

����ACL�́A�w�肳�ꂽ���M���A�h���X�̃��[�e�b�h �|�[�g0/3���瑗�M�����g���t�B�b�N�ɓK�p����܂��B

���̗�ł́A�g��ACL���g�p���ăT�[�oB����|�[�g0/3�ɒ��M����g���t�B�b�N���t�B���^�����O���A�C�ӂ̑��M���A�h���X�i���̏ꍇ�̓T�[�oB�j����o�����̈���A�h���X172.20.128.64�`172.20.128.95�ɑ��M�����g���t�B�b�N�݂̂����‚��܂��B

Switch(config)# access-list 106 permit ip any 172.20.128.64 0.0.0.31

Switch(config)# end

Switch# show access-lists

Extended IP access list 106

permit ip any 172.20.128.64 0.0.0.31

Switch(config)# interface gigabitethernet0/3

Switch(config-if)# ip access-group 106 in

����ACL�́A���[�e�b�h �|�[�g0/3�ɒ��M����g���t�B�b�N�ɓK�p����A�w��̈���A�h���X�ɑ��M�����g���t�B�b�N�݂̂����‚��܂��B�g��ACL���g�p����ꍇ�́A���M������ш�����̑O�ɁA�v���g�R���iIP�j���͂���K�v������܂��B

�ԍ��w��ACL

���̗�̃l�b�g���[�N36.0.0.0�́A2�Ԗڂ̃I�N�e�b�g���T�u�l�b�g���w�肷��N���XA�l�b�g���[�N�ł��B�‚܂�A�T�u�l�b�g �}�X�N��255.255.0.0�ł��B�l�b�g���[�N36.0.0.0�A�h���X��3�Ԗڂ����4�Ԗڂ̃I�N�e�b�g�́A����̃z�X�g���w�肵�܂��B�A�N�Z�X ���X�g2���g�p����Ă��邽�߁A�T�u�l�b�g48�̃A�h���X��1�‹��‚���A�����T�u�l�b�g�̑��̃A�h���X�͂��ׂċ��ۂ���܂��B���̃A�N�Z�X ���X�g�̍ŏI�s�́A���̂��ׂẴl�b�g���[�N36.0.0.0�T�u�l�b�g��̃A�h���X�����‚���邱�Ƃ������܂��B����ACL�́AGigabit Ethernet 0/1�C���^�[�t�F�C�X�ɓ��p�P�b�g�ɓK�p����܂��B

Switch(config)# access-list 2 permit 36.48.0.3

Switch(config)# access-list 2 deny 36.48.0.0 0.0.255.255

Switch(config)# access-list 2 permit 36.0.0.0 0.255.255.255

Switch(config)# interface gigabitethernet0/1

Switch(config-if)# ip access-group 2 in

�g��ACL

���̗�̐擪�s�́A1023�����傫������|�[�g�ւ̒��MTCP�ڑ������‚��܂��B2�Ԗڂ̍s�́A�z�X�g128.88.1.2��SMTP�|�[�g�ւ̒��MTCP�ڑ������‚��܂��B3�Ԗڂ̍s�́A�G���[ �t�B�[�h�o�b�N�p�̒��MICMP���b�Z�[�W�����‚��܂��B

Switch(config)# access-list 102 permit tcp any 128.88.0.0 0.0.255.255 gt 1023

Switch(config)# access-list 102 permit tcp any host 128.88.1.2 eq 25

Switch(config)# access-list 102 permit icmp any any

Switch(config)# interface gigabitethernet0/1

Switch(config-if)# ip access-group 102 in

�g��ACL���g�p����ʂ̗�Ƃ��āA�C���^�[�l�b�g�ɐڑ����ꂽ�l�b�g���[�N��̔C�ӂ̃z�X�g�ɁA�C���^�[�l�b�g�̔C�ӂ̃z�X�g�ւ�TCP�ڑ���ݒ肷��ꍇ���l���܂��B�������AIP�z�X�g�ɂ́A��p���[�� �z�X�g�̃��[���iSMTP�j�|�[�g�ւ̐ڑ��������A�l�b�g���[�N��̃z�X�g�ւ�TCP�ڑ���ݒ肵�Ȃ����̂Ƃ��܂��B

SMTP�́A�ڑ��̈�[�ł�TCP�|�[�g25�A������[�ł̓����_���ȃ|�[�g�ԍ����g�p���܂��B�ڑ����Ă���Ԃ́A�����|�[�g�ԍ����g�p����܂��B�C���^�[�l�b�g���璅�M���郁�[�� �p�P�b�g�̈���|�[�g��25�ł��B���M�p�P�b�g�̃|�[�g�ԍ��͗\�񂳂�Ă��܂��B���[�^�̔w��ɒu���ꂽ���S�ȃV�X�e���ł́A��Ƀ|�[�g25�ł̃��[���ڑ����g�p����Ă��邽�߁A���M�T�[�r�X�Ɣ��M�T�[�r�X���•ʂɐ���ł��܂��BACL�͔��M�C���^�[�t�F�C�X�̓��ACL����ђ��M�C���^�[�t�F�C�X�̏o��ACL�Ƃ��Đݒ肳���K�v������܂��B

���̗�ł́A�l�b�g���[�N�̓A�h���X��128.88.0.0�̃N���XB�l�b�g���[�N�ŁA���[�� �z�X�g �A�h���X��128.88.1.2�ł��B established �L�[���[�h�́A�m�����ꂽ�ڑ���\������TCP��p�̃L�[���[�h�ł��BTCP�f�[�^�O������ACK�܂���RST�r�b�g���ݒ肳��A�p�P�b�g����̐ڑ��ɑ����Ă��邱�Ƃ���������ƁA��v�Ƃ݂Ȃ���܂��BGigabit Ethernet 0/1�C���^�[�t�F�C�X�́A���[�^���C���^�[�l�b�g�ɐڑ�����C���^�[�t�F�C�X�ł��B

Switch(config)# access-list 102 permit tcp any 128.88.0.0 0.0.255.255 established

Switch(config)# access-list 102 permit tcp any host 128.88.1.2 eq 25

Switch(config)# interface gigabitethernet0/1

Switch(config-if)# ip access-group 102 in

���O�w��ACL

���̂悤�ɐݒ肷��ƁA internet_filter �Ƃ������O�̕W��ACL����� marketing_group �Ƃ������O�̊g��ACL���쐬����܂��B internet_filter ACL�́A���M���A�h���X1.2.3.4���瑗�M����邷�ׂẴg���t�B�b�N�����‚��܂��B

Switch(config)# ip access-list standard Internet_filter

Switch(config-ext-nacl)# permit 1.2.3.4

Switch(config-ext-nacl)# exit

marketing_group ACL�́A����A�h���X�ƈ��惏�C���h�J�[�h�̒l171.69.0.0 0.0.255.255�ւ̔C�ӂ�TCP Telnet�g���t�B�b�N�����‚��A���̑���TCP�g���t�B�b�N�����ۂ��܂��B�܂��A�C�ӂ�ICMP�g���t�B�b�N�����‚��A�C�ӂ̑��M������A����|�[�g��1024��菬����171.69.0.0�`179.69.255.255�̈���A�h���X�֑��M�����UDP�g���t�B�b�N�����ۂ��܂��B����ȊO�̂��ׂĂ�IP�g���t�B�b�N�͋��ۂ���A���ʂ��������O���\������܂��B

Switch(config)# ip access-list extended marketing_group

Switch(config-ext-nacl)# permit tcp any 171.69.0.0 0.0.255.255 eq telnet

Switch(config-ext-nacl)# deny tcp any any

Switch(config-ext-nacl)# permit icmp any any

Switch(config-ext-nacl)# deny udp any 171.69.0.0 0.0.255.255 lt 1024

Switch(config-ext-nacl)# deny ip any any log

Switch(config-ext-nacl)# exit

���Ɏ���ACL�́A���C��3�|�[�g�Ƃ��Đݒ肳�ꂽGigabit Ethernet 0/5�|�[�g�ɓK�p����܂��B Internet_filter ACL�͒��M�g���t�B�b�N�ɁA marketing_group ACL�͔��M�g���t�B�b�N�ɓK�p����܂��B

Switch(config)# interface gigabitethernet0/5

Switch(config-if)# no switchport

Switch(config-if)# ip address 2.0.5.1 255.255.255.0

Switch(config-if)# ip access-group Internet_filter out

Switch(config-if)# ip access-group marketing_group in

...

IP ACL�ɓK�p����鎞�Ԕ͈�

���̗�ł́A���j�����j��̌ߑO8���`�ߌ�6���̊ԁAIP��Hypertext Transfer Protocol�iHTTP�j�g���t�B�b�N�����ۂ���܂��BUDP�g���t�B�b�N�́A�y�j���ѓ�j��̐��߁`�ߌ�8���̊Ԃ̂݋��‚���܂��B

Switch(config)# time-range no-http

Switch(config)# periodic weekdays 8:00 to 18:00

!

Switch(config)# time-range udp-yes

Switch(config)# periodic weekend 12:00 to 20:00

!

Switch(config)# ip access-list extended strict

Switch(config-ext-nacl)# deny tcp any any eq www time-range no-http

Switch(config-ext-nacl)# permit udp any any time-range udp-yes

!

Switch(config-ext-nacl)# exit

Switch(config)# interface gigabitethernet0/1

Switch(config-if)# ip access-group strict in

�R�����g�t����IP ACL�G���g��

���Ɏ����ԍ��w��ACL�̗�ł́AJones�����L���郏�[�N�X�e�[�V�����̃A�N�Z�X�͋��‚���܂����ASmith�����L���郏�[�N�X�e�[�V�����̃A�N�Z�X�͋֎~����܂��B

Switch(config)# access-list 1 remark Permit only Jones workstation through

Switch(config)# access-list 1 permit 171.69.2.88

Switch(config)# access-list 1 remark Do not allow Smith workstation through

Switch(config)# access-list 1 deny 171.69.3.13

���Ɏ����ԍ��w��ACL�̗�ł́AWinter�����Smith���[�N�X�e�[�V�����ł�Web�{�����֎~����܂��B

Switch(config)# access-list 100 remark Do not allow Winter to browse the web

Switch(config)# access-list 100 deny host 171.69.3.85 any eq www

Switch(config)# access-list 100 remark Do not allow Smith to browse the web

Switch(config)# access-list 100 deny host 171.69.3.13 any eq www

���Ɏ������O�w��ACL�̗�ł́AJones�T�u�l�b�g�̃A�N�Z�X���֎~����܂��B

Switch(config)# ip access-list standard prevention

Switch(config-std-nacl)# remark Do not allow Jones subnet through

Switch(config-std-nacl)# deny 171.69.0.0 0.0.255.255

���Ɏ������O�w��ACL�̗�ł́AJones�T�u�l�b�g�ł̔��MTelnet�̎g�p���֎~����܂��B

Switch(config)# ip access-list extended telnetting

Switch(config-ext-nacl)# remark Do not allow Jones subnet to telnet out

Switch(config-ext-nacl)# deny tcp 171.69.0.0 0.0.255.255 any eq telnet

ACL�̃��M���O

  • �|�[�gACL�ł̃��M���O�̓T�|�[�g����܂���B

���[�^ACL�ł́A2��ނ̃��M���O���T�|�[�g����Ă��܂��B log �L�[���[�h���w�肷��ƁA�G���g���ƈ�v����p�P�b�g�Ɋւ��郍�O�ʒm���b�Z�[�W���R���\�[���ɑ��M����܂��B log-input �L�[���[�h���w�肷��ƁA���O �G���g���ɓ�̓C���^�[�t�F�C�X���lj�����܂��B

���̗�ł́A���O�w��̕W���A�N�Z�X ���X�g stan1 ��10.1.1.0 0.0.0.255����̃g���t�B�b�N�����ۂ��A���̑��̂��ׂĂ̑��M������̃g���t�B�b�N�����‚��܂��B log �L�[���[�h���w�肳��Ă��܂��B

Switch(config)# ip access-list standard stan1

Switch(config-std-nacl)# deny 10.1.1.0 0.0.0.255 log

Switch(config-std-nacl)# permit any log

Switch(config-std-nacl)# exit

Switch(config)# interface gigabitethernet0/1

Switch(config-if)# ip access-group stan1 in

Switch(config-if)# end

Switch# show logging

Syslog logging: enabled (0 messages dropped, 0 flushes, 0 overruns)

Console logging: level debugging, 37 messages logged

Monitor logging: level debugging, 0 messages logged

Buffer logging: level debugging, 37 messages logged

File logging: disabled

Trap logging: level debugging, 39 message lines logged

Log Buffer (4096 bytes):

00:00:48: NTP: authentication delay calculation problems

�i�e�L�X�g�o�͂͏ȗ��j

00:09:34:%SEC-6-IPACCESSLOGS:list stan1 permitted 0.0.0.0 1 packet

00:09:59:%SEC-6-IPACCESSLOGS:list stan1 denied 10.1.1.15 1 packet

00:10:11:%SEC-6-IPACCESSLOGS:list stan1 permitted 0.0.0.0 1 packet

00:15:33:%SEC-6-IPACCESSLOGS:list stan1 denied 10.1.1.15 2009 packets

���ɁA���O�w��̊g���A�N�Z�X ���X�g ext1 �ɂ���āA�C�ӂ̑��M������10.1.1.0 0.0.0.255�ւ�ICMP�p�P�b�g�����‚��A���ׂĂ�UDP�p�P�b�g�����ۂ����������܂��B

Switch(config)# ip access-list extended ext1

Switch(config-ext-nacl)# permit icmp any 10.1.1.0 0.0.0.255 log

Switch(config-ext-nacl)# deny udp any any log

Switch(config-std-nacl)# exit

Switch(config)# interface gigabitethernet0/3

Switch(config-if)# ip access-group ext1 in

���ɁA�g��ACL�̃��O�̗�������܂��B

01:24:23:%SEC-6-IPACCESSLOGDP:list ext1 permitted icmp 10.1.1.15 -> 10.1.1.61 (0/0), 1 packet

01:25:14:%SEC-6-IPACCESSLOGDP:list ext1 permitted icmp 10.1.1.15 -> 10.1.1.61 (0/0), 7 packets

01:26:12:%SEC-6-IPACCESSLOGP:list ext1 denied udp 0.0.0.0(0) -> 255.255.255.255(0), 1 packet

01:31:33:%SEC-6-IPACCESSLOGP:list ext1 denied udp 0.0.0.0(0) -> 255.255.255.255(0), 8 packets

IP ACL�̂��ׂẴ��M���O �G���g����%SEC-6-IPACCESSLOG�ŊJ�n���܂��B�G���g���̌`���́A��v����ACL��A�N�Z�X �G���g���̎�ނɉ����Ď኱�قȂ�܂��B

���ɁA log-input �L�[���[�h���w�肵���ꍇ�̏o�̓��b�Z�[�W�̗�������܂��B

00:04:21:%SEC-6-IPACCESSLOGDP:list inputlog permitted icmp 10.1.1.10 (Vlan1 0001.42ef.a400) -> 10.1.1.61 (0/0), 1 packet

log �L�[���[�h���g�p���ē�����ނ̃p�P�b�g�Ɋւ��郍�O ���b�Z�[�W���쐬�����ꍇ�A���O ���b�Z�[�W�ɂ͓�̓C���^�[�t�F�C�X��񂪒lj�����܂���B

00:05:47:%SEC-6-IPACCESSLOGDP:list inputlog permitted icmp 10.1.1.10 -> 10.1.1.61 (0/0), 1 packet

���O�w���MAC�g��ACL�̐ݒ�

VLAN����ѕ������C��2�C���^�[�t�F�C�X�Ŕ�IP�g���t�B�b�N���t�B���^�����O����ꍇ�́AMAC�A�h���X����і��O�w���MAC�g��ACL���g�p���܂��B�菇�ɂ‚��ẮA���̖��O�w��g��ACL�̏ꍇ�Ɠ��l�ł��B�A�N�Z�X ���X�g�̖��O�Ƃ��Ĕԍ����g�p���邱�Ƃ��ł��܂����A700�`799��MAC�A�N�Z�X ���X�g�ԍ��̓T�|�[�g����܂���B

mac access-list extended �R�}���h�ŃT�|�[�g����Ă����IP�v���g�R���̏ڍׂɂ‚��ẮA���̃����[�X�̃R�}���h ���t�@�����X���Q�Ƃ��Ă��������B

���O�w���MAC�g��ACL���쐬����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

mac access-list extended name

���O���g�p����MAC�g���A�N�Z�X ���X�g���`���܂��B

{ deny | permit } { any | host source MAC
address | source MAC address mask
} { any |
host destination MAC address | destination
MAC address mask
} [ type mask | lsap lsap mask
| aarp | amber | dec-spanning | decnet-iv | diagnostic | dsm | etype-6000 | etype-8042 | lat
| lavc-sca | mop-console | mop-dump | msdos | mumps | netbios | vines-echo |vines-ip |
xns-idp | 0-65535 ] [cos cos]

�g��MAC�A�N�Z�X���X�g �R���t�B�M�����[�V���� ���[�h�ł́A������i any �j���M��MAC�A�h���X�A�}�X�N�t���̑��M��MAC�A�h���X�A�܂��͓���́i host �j���M��MAC�A�h���X�A����т�����i any �j����MAC�A�h���X�A�}�X�N�t������MAC�A�h���X�A�܂��͓���̈���MAC�A�h���X�ɁA permit �܂��� deny ���w�肵�܂��B

�i�C�Ӂj���̃I�v�V�������͂��邱�Ƃ��ł��܂��B

  • type mask �\ Ethernet II�܂���SNAP�ŃJ�v�Z�������ꂽ�p�P�b�g�̔C�ӂ�EtherType�ԍ��B10�i���A16�i���A�܂���8�i���ŕ\�L�ł��܂��BEtherType�ɓK�p����� �����idont care�j �r�b�g�̔C�ӂ̃}�X�N���t������A��v�������s���܂��B
  • lsap lsap mask �\ 802.2�ŃJ�v�Z�������ꂽ�p�P�b�g��LSAP�ԍ��B10�i���A16�i���A�܂���8�i���ŕ\�L�ł��܂��B ���� �r�b�g�̔C�ӂ̃}�X�N���t������܂��B
  • aarp | amber | dec-spanning | decnet-iv | diagnostic | dsm | etype-6000 | etype-8042 | lat | lavc-sca | mop-console | mop-dump | msdos | mumps | netbios | vines-echo |vines-ip | xns-idp �\ ��IP�v���g�R���B
  • cos cos �\ �v���C�I���e�B��ݒ肷�邽�߂Ɏg�p�����A0�`7��IEEE 802.1Q Cost of Service�iCoS�j�ԍ��B

end

�C�l�[�u��EXEC���[�h�ɖ߂�܂��B

show access-lists [number | name]

�A�N�Z�X ���X�g�̐ݒ��\�����܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

ACL�S�̂��폜����ɂ́A no mac access-list extended name �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B���O�w���MAC�g��ACL����ACE���•ʂɍ폜���邱�Ƃ��ł��܂��B

���ɁADECnet Phase IV�Ƃ���EtherType�̃g���t�B�b�N�݂̂����ۂ��A���̑��̂��ׂẴ^�C�v�̃g���t�B�b�N�����‚���A mac1 �Ƃ������O�̃A�N�Z�X ���X�g���쐬�A�\�������������܂��B

Switch(config)# mac access-list extended mac1

Switch(config-ext-macl)# deny any any decnet-iv

Switch(config-ext-macl)# permit any any

Switch(config-ext-macl)# end

Switch # show access-lists

Extended MAC access list mac1

deny any any decnet-iv

permit any any

���C��2�C���^�[�t�F�C�X�ւ�MAC ACL�̓K�p

MAC ACL���쐬���A��������C��2�C���^�[�t�F�C�X�ɓK�p����ƁA���̃C���^�[�t�F�C�X�ɒ��M�����IP�g���t�B�b�N���t�B���^�����O���邱�Ƃ��ł��܂��BMAC ACL��K�p����ꍇ�́A���̒��ӎ������l�����Ă��������B

���C��2�C���^�[�t�F�C�X�ւ̃A�N�Z�X�𐧌䂷�邽��MAC�A�N�Z�X���X�g��K�p����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

interface interface-id

�ݒ肷�����̃C���^�[�t�F�C�X���w�肵�A�C���^�[�t�F�C�X �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

�C���^�[�t�F�C�X�͕������C��2�C���^�[�t�F�C�X�i�|�[�gACL�j�łȂ���΂Ȃ�܂���B

mac access-group { name } { in }

MAC�A�N�Z�X���X�g���g�p���A�w�肳�ꂽ�C���^�[�t�F�C�X�ւ̃A�N�Z�X�𐧌䂵�܂��B

  • �|�[�gACL�́A���M���Ɋւ��Ă̂݃T�|�[�g����܂��B

end

�C�l�[�u��EXEC���[�h�ɖ߂�܂��B

show mac access-group [ interface interface-id ]

���̃C���^�[�t�F�C�X�܂��͂��ׂẴ��C��2�C���^�[�t�F�C�X�ɓK�p����Ă���MAC�A�N�Z�X ���X�g��\�����܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

�w�肳�ꂽ�A�N�Z�X �O���[�v���폜����ɂ́A no mac access-group { name } in �C���^�[�t�F�C�X �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

���ɁAGigabit Ethernet 0/3�C���^�[�t�F�C�X�ɃA�N�Z�X ���X�g2��K�p���A�C���^�[�t�F�C�X�ɓ��p�P�b�g���t�B���^�����O�����������܂��B

Switch(config)# interface gigabitethernet0/3

Router(config-if)# mac access-group mac1 in

  • mac access-group �C���^�[�t�F�C�X �R���t�B�M�����[�V���� �R�}���h�́A�������C��2�C���^�[�t�F�C�X�ɓK�p���ꂽ�ꍇ�̂ݗL��ƂȂ�܂��B

���MACL�̏ꍇ�A�X�C�b�`�͎�M�����p�P�b�g��ACL�Əƍ����܂��BACL�ɂ���ăp�P�b�g�����‚��ꂽ�ꍇ�́A�p�P�b�g�̏��������s����܂��B���ۂ��ꂽ�ꍇ�A�p�P�b�g�͔p���܂��B

����`��ACL���C���^�[�t�F�C�X�ɓK�p����ƁA�X�C�b�`��ACL���C���^�[�t�F�C�X�ɓK�p����Ă��Ȃ��Ɣ��f���ď������s���A���ׂẴp�P�b�g�����‚���Ă��܂��܂��B�l�b�g���[�N �Z�L�����e�B�̂��߁A����`��ACL���g�p����ꍇ�͒��ӂ��Ă��������B

VLAN�}�b�v�̐ݒ�

�����ł́AVLAN�}�b�v��ݒ肷���@�ɂ‚��Đ������܂��B���̕�@�́AVLAN���Ńt�B���^�����O�𐧌䂷��B��̕�@�ł��BVLAN�}�b�v�ɂ͕���܂���BVLAN�}�b�v���g�p���āA����̕��̃g���t�B�b�N���t�B���^�����O����ɂ́A����̑��M���܂��͈���A�h���X���w�肳�ꂽACL��lj�����K�v������܂��BVLAN�}�b�v���ɊY���^�C�v�̃p�P�b�g�iIP�܂���MAC�j�ɑ΂���match�R�}���h�������݂���ꍇ�A�f�t�H���g�ł̓}�b�v���̂ǂ̃G���g���ɂ���v���Ȃ��p�P�b�g���p���܂��B�Y���^�C�v�̃p�P�b�g�ɑ΂���match�R�}���h�������݂��Ȃ��ꍇ�A�f�t�H���g�ł̓p�P�b�g���]������܂��B

VLAN�}�b�v���쐬����1�‚܂��͕�����VLAN�ɓK�p����ɂ́A���̎菇�����s���܂��B

VLAN�ɓK�p����W��IP ACL�܂��͊g��IP ACL�A�܂��͖��O�w���MAC�g��ACL���쐬���܂��B �W������ъg��IP ACL�̍쐬 ����� ���O�w���MAC�g��ACL�̐ݒ� ���Q�Ƃ��Ă��������B
  1. VLAN ACL�}�b�v �G���g�����쐬����ɂ́A vlan access-map �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���͂��܂��B
  2. �A�N�Z�X�}�b�v �R���t�B�M�����[�V���� ���[�h�ł́A action �Ƃ��� forward �i�f�t�H���g�j�܂��� drop ��C�ӂœ�͂ł��܂��B�܂��A match �R�}���h���͂��A��m��MAC�A�h���X�݂̂��i�[���ꂽIP�p�P�b�g�܂��͔�IP�p�P�b�g���w�肵����A1�‚܂��͕�����ACL�i�W���܂��͊g���j�ƃp�P�b�g���ƍ����邱�Ƃ��ł��܂��B
  3. �Y���^�C�v�̃p�P�b�g�iIP�܂���MAC�j�ɑ΂���match�R�}���h����VLAN�}�b�v�ɑ��݂���ꍇ�ł��A�p�P�b�g�����̃^�C�v�Ɉ�v���Ȃ��ꍇ�́A�f�t�H���g�Ńp�P�b�g���p���܂��B�Y���^�C�v�̃p�P�b�g�ɑ΂���match�R�}���h����VLAN�}�b�v���ɂȂ��A����ɑ΂���A�N�V�������w�肳��Ă��Ȃ��ꍇ�A�p�P�b�g�͓]������܂��B
  1. VLAN�}�b�v��1�‚܂��͕�����VLAN�ɓK�p����ɂ́A vlan filter �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B
  • ���C��2�C���^�[�t�F�C�X��ACL�i�|�[�gACL�j���K�p����Ă���X�C�b�`��VLAN�ɂ́AVLAN�}�b�v��K�p�ł��܂���B

�����ł́A���̓��e�ɂ‚��Đ������܂��B

VLAN�}�b�v�ݒ莞�̒��ӎ���

VLAN�}�b�v�̐ݒ���s���Ƃ��́A���̒��ӎ����ɏ]���Ă��������B

VLAN�}�b�v�̍쐬

�eVLAN�}�b�v�͏��Ԃɕ��ׂ�ꂽ��A�̃G���g���ō\������܂��BVLAN�}�b�v �G���g�����쐬�A�lj��A�폜����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

vlan access-map name [ number ]

VLAN�}�b�v���쐬���A���O����єԍ��i�C�Ӂj��t���܂��B�ԍ��́A�}�b�v���̃G���g���̏�����\�������ł��B

�������O��VLAN�}�b�v���쐬����ƁA10���‘�������ԍ������Ɋ��蓖�Ă��܂��B�}�b�v��ύX�܂��͍폜����Ƃ��́A�ړI�̃}�b�v �G���g���̔ԍ����͂��邱�Ƃ��ł��܂��B

���̃R�}���h���͂���ƁA�A�N�Z�X�}�b�v �R���t�B�M�����[�V���� ���[�h�ɕς��܂��B

action { drop | forward }

�i�C�Ӂj�}�b�v �G���g���ɑ΂���A�N�V������ݒ肵�܂��B�f�t�H���g�͓]���ł��B

match { ip | mac } address { name | number } [ name | number ]

1�‚܂��͕����̕W���܂��͊g���A�N�Z�X ���X�g�ɑ΂��ăp�P�b�g���r���܂��iIP�܂���MAC�A�h���X���g�p�j�B�p�P�b�g�̔�r�́A�Ή�����v���g�R�� �^�C�v�̃A�N�Z�X ���X�g�ɑ΂��Ă̂ݍs���܂��BIP�p�P�b�g�́A�W���܂��͊g��IP�A�N�Z�X ���X�g�ɑ΂��Ĕ�r����܂��B��IP�p�P�b�g�́A���O�w���MAC�g���A�N�Z�X ���X�g�ɑ΂��Ă̂ݔ�r����܂��B

end

�O���[�o�� �R���t�B�M�����[�V���� ���[�h�ɖ߂�܂��B

show running-config

�A�N�Z�X ���X�g�̐ݒ��\�����܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

�}�b�v���폜����ɂ́A no vlan access-map name �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

�}�b�v���̒P��̃V�[�P���X �G���g�����폜����ɂ́A no vlan access-map name number �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

�f�t�H���g�̃A�N�V�����ł���]�����s���ɂ́A no action �A�N�Z�X�}�b�v �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

VLAN�}�b�v�ł́A�����permit�܂���deny�L�[���[�h�͎g�p����܂���BVLAN�}�b�v���g�p���ăp�P�b�g�����ۂ���ɂ́A�p�P�b�g�Ɣ�r����ACL���쐬���A�A�N�V������p��ɐݒ肵�܂��BACL��permit�L�[���[�h���w�肵���ꍇ�͈�v�Ƃ݂Ȃ���܂��BACL��deny�L�[���[�h���w�肵���ꍇ�͈�v���Ȃ��Ƃ݂Ȃ���܂��B

ACL�����VLAN�}�b�v�̗�

���ɁA����̖ړI��ACL�����VLAN�}�b�v���쐬�����������܂��B

��1

�����ł́A�p�P�b�g�����ۂ���ACL�����VLAN�}�b�v���쐬�����������܂��B�ŏ��̃}�b�v�ł́A ip1 ACL�iTCP�p�P�b�g�j�Ɉ�v���邷�ׂẴp�P�b�g���p���܂��B�ŏ��ɁA���ׂĂ�TCP�p�P�b�g�����‚��A����ȊO�̃p�P�b�g�����ׂċ��ۂ��� ip1 ACL���쐬���܂��BVLAN�}�b�v�ɂ�IP�p�P�b�g�ɑ΂���match�R�}���h�������݂��邽�߁A�f�t�H���g�ł͂ǂ�match�R�}���h���Ƃ���v���Ȃ����ׂĂ�IP�p�P�b�g���p���܂��B

Switch(config)# ip access-list extended ip1

Switch(config-ext-nacl)# permit tcp any any

Switch(config-ext-nacl)# exit

Switch(config)# vlan access-map map_1 10

Switch(config-access-map)# match ip address ip1

Switch(config-access-map)# action drop

���ɁA�p�P�b�g�����‚���VLAN�}�b�v���쐬�����������܂��BACL ip2 ��UDP�p�P�b�g�����‚��܂��B ip2 ACL�ƈ�v���邷�ׂẴp�P�b�g���]������܂��B

Switch(config)# ip access-list extended ip2

Switch(config-ext-nacl)# permit udp any any

Switch(config-ext-nacl)# exit

Switch(config)# vlan access-map map_1 20

Switch(config-access-map)# match ip address ip2

Switch(config-access-map)# action forward

���̃}�b�v�ł́A����ȑO�̂ǂ�ACL�Ƃ���v���Ȃ��������ׂĂ�IP�p�P�b�g�iTCP�ł�UDP�ł��Ȃ��p�P�b�g�j���p���܂��B

��2

���̗��VLAN�}�b�v�ł́A�f�t�H���g��IP�p�P�b�g���p���AMAC�p�P�b�g���]������܂��B�W����ACL 101�Ɩ��O�w��̊g���A�N�Z�X ���X�g igmp-match ����� tcp-match �����̃}�b�v�Ƒg�ݍ��킹�Ďg�p����ƁA���̂悤�ɂȂ�܂��B

  • ���ׂĂ�UDP�p�P�b�g���]������܂��B
  • ���ׂĂ�IGMP�p�P�b�g���p���܂��B
  • ���ׂĂ�TCP�p�P�b�g���]������܂��B
  • ���̑��̂��ׂĂ�IP�p�P�b�g���p���܂��B
  • ���ׂĂ̔�IP�p�P�b�g���]������܂��B

Switch(config)# access-list 101 permit udp any any

Switch(config)# ip access-list extended igmp-match

Switch(config-ext-nacl)# permit igmp any any

Switch(config)# ip access-list extended tcp-match

Switch(config-ext-nacl)# permit tcp any any

Switch(config-ext-nacl)# exit

Switch(config)# vlan access-map drop-ip-default 10

Switch(config-access-map)# match ip address 101

Switch(config-access-map)# action forward

Switch(config-access-map)# exit

Switch(config)# vlan access-map drop-ip-default 20

Switch(config-access-map)# match ip address igmp-match

Switch(config-access-map)# action drop

Switch(config-access-map)# exit

Switch(config)# vlan access-map drop-ip-default 30

Switch(config-access-map)# match ip address tcp-match

Switch(config-access-map)# action forward

��3

���̗��VLAN�}�b�v�ł́A�f�t�H���g��MAC�p�P�b�g���p���AIP�p�P�b�g���]������܂��BMAC�g���A�N�Z�X ���X�g good-hosts ����� good-protocols �Ƃ��̃}�b�v��g�ݍ��킹�Ďg�p����ƁA���̂悤�ɂȂ�܂��B

  • �z�X�g0000.0c00.0111�����0000.0c00.0211�����MAC�p�P�b�g���]������܂��B
  • decnet-ip�܂���vines-ip�v���g�R�����g�p����MAC�p�P�b�g���]������܂��B
  • ���̑��̂��ׂĂ̔�IP�p�P�b�g���p���܂��B
  • ���ׂĂ�IP�p�P�b�g���]������܂��B

Switch(config)# mac access-list extended good-hosts

Switch(config-ext-macl)# permit host 000.0c00.0111 any

Switch(config-ext-macl)# permit host 000.0c00.0211 any

Switch(config-ext-nacl)# exit

Switch(config)# mac access-list extended good-protocols

Switch(config-ext-macl)# permit any any decnet-ip

Switch(config-ext-macl)# permit any any vines-ip

Switch(config-ext-nacl)# exit

Switch(config)# vlan access-map drop-mac-default 10

Switch(config-access-map)# match mac address good-hosts

Switch(config-access-map)# action forward

Switch(config-access-map)# exit

Switch(config)# vlan access-map drop-mac-default 20

Switch(config-access-map)# match mac address good-protocols

Switch(config-access-map)# action forward

��4

���̗��VLAN�}�b�v�ł́A�f�t�H���g�ł��ׂẴp�P�b�g�iIP����є�IP�j���p���܂��B��2����ї�3�̃A�N�Z�X ���X�g tcp-match ����� good-hosts �����̃}�b�v�Ƒg�ݍ��킹�Ďg�p����ƁA���̂悤�ɂȂ�܂��B

  • ���ׂĂ�TCP�p�P�b�g���]������܂��B
  • �z�X�g0000.0c00.0111�����0000.0c00.0211�����MAC�p�P�b�g���]������܂��B
  • ���̑��̂��ׂĂ�IP�p�P�b�g���p���܂��B
  • ���̑��̂��ׂĂ�MAC�p�P�b�g���p���܂��B

Switch(config)# vlan access-map drop-all-default 10

Switch(config-access-map)# match ip address tcp-match

Switch(config-access-map)# action forward

Switch(config-access-map)# exit

Switch(config)# vlan access-map drop-all-default 20

Switch(config-access-map)# match mac address good-hosts

Switch(config-access-map)# action forward

VLAN�ւ�VLAN�}�b�v�̓K�p

1�‚�VLAN�}�b�v��1�‚܂��͕�����VLAN�ɓK�p����ɂ́A�C�l�[�u��EXEC���[�h�Ŏ��̎菇�����s���܂��B

�R�}���h

����

configure terminal

�O���[�o�� �R���t�B�M�����[�V���� ���[�h���J�n���܂��B

vlan filter mapname vlan-list list

VLAN�}�b�v��1�‚܂��͕�����VLAN ID�ɓK�p���܂��B

list�ɂ͒P���VLAN ID�i22�j�A�A�������͈́i10�`22�j�A�܂���VLAN ID����Ȃ�X�g�����O�i12�A22�A30�j���w��ł��܂��B�J���}��n�C�t���̑O��ɃX�y�[�X��}��邱�Ƃ��ł��܂��B

show running-config

�A�N�Z�X ���X�g�̐ݒ��\�����܂��B

copy running-config startup-config

�i�C�Ӂj�R���t�B�M�����[�V���� �t�@�C���ɐݒ��ۑ����܂��B

  • ���C��2�C���^�[�t�F�C�X��ACL�i�|�[�gACL�j���K�p����Ă���X�C�b�`��VLAN�ɂ́AVLAN�}�b�v��K�p�ł��܂���B

VLAN�}�b�v���폜����ɂ́A no vlan filter mapname vlan-list list �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B

���ɁAVLAN�}�b�v1��VLAN 20�`22�ɓK�p�����������܂��B

Switch(config)# vlan filter map 1 vlan-list 20-22

�l�b�g���[�N�ł�VLAN�}�b�v�̎g�p�@

�����ł́AVLAN�}�b�v�̈�ʓI�Ȏg�p�@�ɂ‚��Đ������܂��B��̓I�ȓ��e�͎��̂Ƃ���ł��B

�z��N���[�[�b�g�̍\��

�z��N���[�[�b�g�\���ɂ�����Catalyst 3550�X�C�b�`�ł́A���[�e�B���O���C�l�[�u���łȂ��”\��������܂��B�������A���̍\���ł�VLAN�}�b�v�����QoS����ACL�̓T�|�[�g����Ă��܂��B �z��N���[�[�b�g�̍\�� �ł́A�z�X�gX����уz�X�gY�͈قȂ�VLAN���ɂ���A�z��N���[�[�b�g �X�C�b�`A����уX�C�b�`C�ɐڑ�����Ă���Ƒz�肵�Ă��܂��B�z�X�gX����z�X�gY�ւ̃g���t�B�b�N�́A���[�e�B���O���C�l�[�u���ɐݒ肳�ꂽ�X�C�b�`B�ɂ���čŏI�I�Ƀ��[�e�B���O����܂��B�z�X�gX����z�X�gY�ւ̃g���t�B�b�N�́A�g���t�B�b�N�̃G���g�� �|�C���g�ł���X�C�b�`A�ŃA�N�Z�X����ł��܂��B

�z��N���[�[�b�g�̍\��

HTTP�g���t�B�b�N���z�X�gX����z�X�gY�փX�C�b�`���O���Ȃ��ꍇ�́A�z�X�gX�iIP�A�h���X10.1.1.32�j����z�X�gY�iIP�A�h���X10.1.1.34�j�ւ�HTTP�g���t�B�b�N���X�C�b�`B�Ƀu���b�W���O���ꂸ�A���ׂăX�C�b�`A�Ŕp����悤�ɃX�C�b�`A��VLAN�}�b�v��ݒ肷�邱�Ƃ��ł��܂��B

�܂��AHTTP�|�[�g�ł��ׂĂ�TCP�g���t�B�b�N�����i��v�j����IP�A�N�Z�X ���X�g http ���`���܂��B

Switch(config)# ip access-list extended http

Switch(config-ext-nacl)# permit tcp host 10.1.1.32 host 10.1.1.34 eq www

Switch(config-ext-nacl)# exit

���ɁA http �A�N�Z�X ���X�g�ƈ�v����g���t�B�b�N���p���A���̑��̂��ׂĂ�IP�g���t�B�b�N���]�������悤�ɁAVLAN�A�N�Z�X�}�b�v map2 ���쐬���܂��B

Switch(config)# vlan access-map map2 10

Switch(config-access-map)# match ip address http

Switch(config-access-map)# action drop

Switch(config-access-map)# exit

Switch(config)# ip access-list extended match_all

Switch(config-ext-nacl)# permit ip any any

Switch(config-ext-nacl)# exit

Switch(config)# vlan access-map map2 20

Switch(config-access-map)# match ip address match_all

Switch(config-access-map)# action forward

���ɁAVLAN�A�N�Z�X�}�b�v map2 ��VLAN 1�ɓK�p���܂��B

Switch(config)# vlan filter map2 vlan 1

�ʂ�VLAN�ɂ���T�[�o�ւ̃A�N�Z�X����

�ʂ�VLAN�ɂ���T�[�o�ւ̃A�N�Z�X�𐧌��ł��܂��B���Ƃ��΁AVLAN10���̃T�[�o10.1.1.100�ɑ΂��ẮA���̂悤�ɃA�N�Z�X�𐧌�����K�v������܂��i �ʂ�VLAN�ɂ���T�[�o�ւ̃A�N�Z�X���� ���Q�Ɓj�B

  • VLAN20���̃T�u�l�b�g10.1.2.0/8�ɂ���z�X�g�̃A�N�Z�X���֎~���܂��B
  • VLAN10���̃z�X�g10.1.1.4�����10.1.1.8�̃A�N�Z�X���֎~���܂��B
�ʂ�VLAN�ɂ���T�[�o�ւ̃A�N�Z�X����

���̗�ł́A�T�u�l�b�g10.1.2.0/8���̃z�X�g�A�z�X�g10.1.1.4�A����уz�X�g10.1.1.8�̃A�N�Z�X�����ۂ��A���̑���IP�g���t�B�b�N�����‚���VLAN�}�b�vSERVER 1���쐬���āA�ʂ�VLAN���̃T�[�o�ւ̃A�N�Z�X�����ۂ����@�������Ă��܂��B�Ō�ɁAVLAN�}�b�vSERVER1��VLAN 10�ɓK�p���܂��B

�Ή�����p�P�b�g�Ɣ�r����IP ACL���`���܂��B

Switch(config)# ip access-list extended SERVER1_ACL

Switch(config-ext-nacl))# permit ip 10.1.2.0 0.0.0.255 host 10.1.1.100

Switch(config-ext-nacl))# permit ip host 10.1.1.4 host 10.1.1.100

Switch(config-ext-nacl))# permit ip host 10.1.1.8 host 10.1.1.100

Switch(config-ext-nacl))# exit

  1. SERVER1_ACL�ƈ�v����IP�p�P�b�g��p��A��v���Ȃ�IP�p�P�b�g��]�����邱��ACL���g�p���āAVLAN�}�b�v���`���܂��B

Switch(config)# vlan access-map SERVER1_MAP

Switch(config-access-map)# match ip address SERVER1_ACL

Switch(config-access-map)# action drop

Switch(config)# vlan access-map SERVER1_MAP 20

Switch(config-access-map)# action forward

Switch(config-access-map)# exit

  1. VLAN 10��VLAN�}�b�v��K�p���܂��B

Switch(config)# vlan filter SERVER1_MAP vlan-list 10.

���[�^ACL��VLAN�}�b�v�Ƒg�ݍ��킹�Ďg�p�����@

�u���b�W���O���ꂽ�g���t�B�b�N����у��[�e�B���O���ꂽ�g���t�B�b�N�̗���ɑ΂��ăA�N�Z�X������s���ɂ́AVLAN�}�b�v��P�ƂŎg�p���邩�A�܂��̓��[�^ACL��VLAN�}�b�v��g�ݍ��킹�Ďg�p���܂��B��͂Əo�͗���̃��[�e�b�hVLAN�C���^�[�t�F�C�X�Ń��[�^ACL���`������A�u���b�W���O���ꂽ�g���t�B�b�N�̃A�N�Z�X�𐧌䂷��VLAN�}�b�v���`���邱�Ƃ��ł��܂��B

�p�P�b�g �t���[��ACL��VLAN�}�b�v��deny�R�}���h���ƈ�v�����ꍇ�A���[�^ACL�̐ݒ�Ɋ֌W�Ȃ��A�p�P�b�g �t���[�͋��ۂ���܂��B

�Y���^�C�v�̃p�P�b�g�iIP�܂���MAC�j�ɑ΂���match�R�}���h����VLAN�}�b�v�ɑ��݂���ꍇ�ł��A�p�P�b�g�����̃^�C�v�Ɉ�v���Ȃ��ꍇ�́A�f�t�H���g�Ńp�P�b�g���p���܂��BVLAN�}�b�v����match�R�}���h�����Ȃ��A�A�N�V�������w�肳��Ă��Ȃ��ꍇ�A�ǂ�VLAN�}�b�v �G���g���Ƃ���v���Ȃ��p�P�b�g�͓]������܂��B

�����ł́A���[�^ACL��VLAN�}�b�v�Ƒg�ݍ��킹�Ďg�p�����@�ɂ‚��Đ������܂��B

���[�^ACL��VLAN�}�b�v���g�p����ꍇ�̒��ӎ���

�����ɋL�ڂ��ꂽ���ӎ����́A���[�^ACL ����� VLAN�}�b�v�𓯂�VLAN��Ŏg�p����K�v������ꍇ�ɓK�p����܂��B���[�^ACL�����VLAN�}�b�v���قȂ�VLAN�Ɋ��蓖�Ă�ꍇ�ɁA�����̒��ӎ����͓K�p����܂���B

�X�C�b�` �n�[�h�E�F�A�́A���i��͂���яo�́j���ƂɃZ�L�����e�BACL��1�񌟍����܂��B���������āA���[�^ACL�����VLAN�}�b�v�𓯂�VLAN�ɐݒ肷��ꍇ�́A�����𓝍�����K�v������܂��B���[�^ACL��VLAN�}�b�v�𓝍�����ƁAACE�̐����}�����邱�Ƃ�����܂��B

���[�^ACL�����VLAN�}�b�v�𓯂�VLAN�ɐݒ肷��K�v������ꍇ�́A���[�^ACL��VLAN�}�b�v�̗���̐ݒ�Ɋւ��钍�ӎ����ɏ]���Ă��������B

permit...
permit...
permit...
deny ip any any

�܂���

deny...
deny...
deny...
permit ip any any

���C��4�����܂�IP ACE��TCP/UDP/ICMP ACE������Ƃ�ACL���ɑ��݂��Afull flow���[�h���w�肷��K�v������Ƃ��́A���C��4 ACE�����X�g�̖����ɔz�u���܂��B���̌��ʁAIP�A�h���X�Ɋ�Â��g���t�B�b�N�̃t�B���^�����O���D�悳��܂��B

VLAN�ɓK�p����郋�[�^ACL��VLAN�}�b�v�̗�

�����ł́A���[�^ACL�����VLAN�}�b�v��VLAN�ɓK�p���A�X�C�b�`�h �p�P�b�g�A�u���b�W�h �p�P�b�g�A���[�e�b�h �p�P�b�g�A����у}���`�L���X�g �p�P�b�g�����������������܂��B���̐}�ł͂��ꂼ��̈���ɓ]�������p�P�b�g�������܂��B�p�P�b�g�̃p�X��VLAN�}�b�v��ACL���������ƌ�������|�C���g�ŁA�p�P�b�g��]�������ɔp��邱�Ƃ��ł��܂��B

ACL����уX�C�b�`�h �p�P�b�g

�X�C�b�`�h �p�P�b�g�ւ�ACL�̓K�p �ɁAVLAN���ŃX�C�b�`���O�����p�P�b�g��ACL��K�p�����@�������܂��B��փu���b�W���O�ɂ���ă��[�e�B���O�܂��͓]�����ꂸ�AVLAN���ŃX�C�b�`���O�����p�P�b�g�ɂ́A���VLAN��VLAN�}�b�v�݂̂��K�p����܂��B

�X�C�b�`�h �p�P�b�g�ւ�ACL�̓K�p

ACL����уu���b�W�h �p�P�b�g

�u���b�W�h �p�P�b�g�ւ�ACL�̓K�p �ɁA��փu���b�W�h �p�P�b�g��ACL��K�p�����@�������܂��B�u���b�W�h �p�P�b�g�̏ꍇ�́A���VLAN�Ƀ��C��2 ACL�݂̂��K�p����܂��B�܂��A��IP����є�ARP�p�P�b�g�݂̂���փu���b�W�h �p�P�b�g�ƂȂ�܂��B

�u���b�W�h �p�P�b�g�ւ�ACL�̓K�p

ACL����у��[�e�b�h �p�P�b�g

���[�e�b�h �p�P�b�g�ւ�ACL�̓K�p �ɁA���[�e�b�h �p�P�b�g��ACL��K�p�����@�������܂��B���[�e�b�h �p�P�b�g�̏ꍇ�AACL�͎��̏��ԂœK�p����܂��B

���VLAN��VLAN�}�b�v
  1. ��̓��[�^ACL
  2. �o�̓��[�^ACL
  3. �o��VLAN��VLAN�}�b�v
���[�e�b�h �p�P�b�g�ւ�ACL�̓K�p

ACL����у}���`�L���X�g �p�P�b�g

�}���`�L���X�g �p�P�b�g�ւ�ACL�̓K�p �ɁAIP�}���`�L���X�g�p�ɕ������ꂽ�p�P�b�g��ACL��K�p�����@�������܂��B���[�e�B���O�����}���`�L���X�g �p�P�b�g�ɂ́A2�‚̈قȂ�t�B���^���K�p����܂��B1�‚́A���悪���VLAN���̑��̃|�[�g�ł���ꍇ�Ɏg�p����A����1�‚́A���悪�p�P�b�g�̃��[�e�B���O��ł���ʂ�VLAN���ɂ���ꍇ�Ɏg�p����܂��B�p�P�b�g�͕����̏o��VLAN�Ƀ��[�e�B���O����܂����A���̏ꍇ�͈���VLAN���ƂɈقȂ郋�[�^�o��ACL�����VLAN�}�b�v���K�p����܂��B

�ŏI�I�ɁA�p�P�b�g�͈ꕔ�̏o��VLAN���ŋ��‚���A����ȊO��VLAN�ŋ��ۂ���܂��B�p�P�b�g�̃R�s�[���A���‚��ꂽ����ɓ]������܂��B�������A���VLAN�}�b�v�i �}���`�L���X�g �p�P�b�g�ւ�ACL�̓K�p ��VLAN 10�}�b�v�j�ɂ���ăp�P�b�g���p����ꍇ�A�p�P�b�g�̃R�s�[�͈���ɑ��M����܂���B

�}���`�L���X�g �p�P�b�g�ւ�ACL�̓K�p

ACL���̕\��

�X�C�b�`��ɐݒ肳��Ă���ACL�A����уC���^�[�t�F�C�X��VLAN�ɓK�p���ꂽACL��\�����邱�Ƃ��ł��܂��B�܂��A�ݒ�̖����Ɋւ������ACL�Ɋ֘A�������\�[�X�̗��p�ɂ‚��Ă̏����\���ł��܂��B

�����Ő���������e�͎��̂Ƃ���ł��B

ACL�̐ݒ�̕\��

���ACL��\�����邱�Ƃ��ł��܂��B ip access-group �C���^�[�t�F�C�X �R���t�B�M�����[�V���� �R�}���h���g�p���āA���C��2�܂��̓��C�� 3 �C���^�[�t�F�C�X��ACL��K�p�����ꍇ�́A���̃C���^�[�t�F�C�X�̃A�N�Z�X �O���[�v��\�����邱�Ƃ��ł��܂��B���C��2�C���^�[�t�F�C�X�ɓK�p���ꂽMAC ACL��\�����邱�Ƃ��ł��܂��B���̏���\������ɂ́A�C�l�[�u��EXEC�R�}���h���g�p���܂��i �A�N�Z�X ���X�g����уA�N�Z�X �O���[�v��\������R�}���h ���Q�Ɓj�B

�A�N�Z�X ���X�g����уA�N�Z�X �O���[�v��\������R�}���h

�R�}���h

����

show access-lists [ number | name ]

�ŐV��IP�����MAC�A�h���X �A�N�Z�X ���X�g�̑S�̂₻�̈ꕔ�A�܂��͓���̃A�N�Z�X ���X�g�i�ԍ��w��܂��͖��O�w��j�̓��e��\�����܂��B

show ip access-lists [ number | name ]

�ŐV��IP�A�N�Z�X ���X�g�S�́A�܂��͓����IP�A�N�Z�X ���X�g�i�ԍ��w��܂��͖��O�w��j��\�����܂��B

show ip interface interface-id

�C���^�[�t�F�C�X�̏ڍאݒ肨��уX�e�[�^�X��\�����܂��BIP���C�l�[�u���ł���C���^�[�t�F�C�X�ɁA ip access-group �C���^�[�t�F�C�X �R���t�B�M�����[�V���� �R�}���h���g�p����ACL��K�p�����ꍇ�́A�A�N�Z�X �O���[�v���\������܂��B

show running-config [ interface interface-id ]

�X�C�b�`�܂��͓���̃C���^�[�t�F�C�X�Ɋւ���R���t�B�M�����[�V���� �t�@�C���̓��e�i�ݒ肳�ꂽ���ׂĂ�MAC�����IP�A�N�Z�X ���X�g�A�C���^�[�t�F�C�X�ɓK�p����Ă���A�N�Z�X �O���[�v�Ȃǁj��\�����܂��B

show mac access-group [ interface interface-id ]

���ׂẴ��C��2�C���^�[�t�F�C�X�܂��͎w�肳�ꂽ���C��2�C���^�[�t�F�C�X�ɓK�p����Ă���MAC�A�N�Z�X ���X�g��\�����܂��B

���ɁA show access-lists �C�l�[�u��EXEC�R�}���h�����s���A���ׂĂ̕W��ACL����ъg��ACL��\�������������܂��B

Switch# show access-lists

Standard IP access list 1

permit 172.20.10.10

Standard IP access list 10

permit 12.12.12.12

Standard IP access list 12

deny 1.3.3.2

Standard IP access list 32

permit 172.20.20.20

Standard IP access list 34

permit 10.24.35.56

permit 23.45.56.34

Extended IP access list 120

permit eigrp host 12.3.6.5 host 25.36.1.24

Extended MAC access list mac1

���ɁA show ip access-lists �C�l�[�u��EXEC�R�}���h�̏o�͗�������܂��BIP�W������ъg��ACL�݂̂��\������܂��B�O�q�̗�ŕ\�����ꂽ���O�w���MAC�g��ACL�́A���̗�ŕ\������܂���B

Switch# show ip access-lists

Standard IP access list 1

permit 172.20.10.10

Standard IP access list 10

permit 12.12.12.12

Standard IP access list 12

deny 1.3.3.2

Standard IP access list 32

permit 172.20.20.20

Standard IP access list 34

permit 10.24.35.56

permit 23.45.56.34

Extended IP access list 120

permit eigrp host 12.3.6.5 host 25.36.1.24

���ɁA show mac access-group �C�l�[�u��EXEC�R�}���h�̏o�͗�������܂��B���̏o�͂ŁAMAC�A�N�Z�X ���X�g�i macl-e1 �j���K�p����Ă���C���^�[�t�F�C�X��Gigabit Ethernet�C���^�[�t�F�C�X2�����ł��邱�Ƃ��킩��܂��B

Switch# show mac access-group

Interface GigabitEthernet0/1:

Inbound access-list is not set

Interface GigabitEthernet0/2:

Inbound access-list is macl_e1

Interface GigabitEthernet0/3:

Inbound access-list is not set

Interface GigabitEthernet0/4:

Inbound access-list is not set

Interface GigabitEthernet0/5:

Inbound access-list is not set

�i�e�L�X�g�o�͂͏ȗ��j

VLAN�A�N�Z�X�}�b�v�܂���VLAN�t�B���^�Ɋւ������\���ł��܂��BVLAN �}�b�v����\������ɂ́A VLAN�}�b�v����\������R�}���h �ɋL�ڂ��ꂽ�C�l�[�u��EXEC�R�}���h���g�p���܂��B

VLAN�}�b�v����\������R�}���h

�R�}���h

����

show vlan access-map [ mapname ]

���ׂĂ�VLAN�A�N�Z�X�}�b�v�܂��͎w�肳�ꂽ�A�N�Z�X�}�b�v�Ɋւ������\�����܂��B

show vlan filter [ access-map name | vlan vlan-id ]

���ׂĂ�VLAN�t�B���^�Ɋւ�����A�܂��͎w�肳�ꂽVLAN��VLAN�A�N�Z�X�}�b�v�Ɋւ������\�����܂��B

���́A show vlan access-map �C�l�[�u��EXEC�R�}���h�̏o�͗�ł��B

Switch# show vlan access-map

Vlan access-map "map_1" 10

  Match clauses:

     ip address: ip1

  Action:

     drop

Vlan access-map "map_1" 20

  Match clauses:

     mac address: mac1

  Action:

     forward

���ɁA show vlan filter �C�l�[�u��EXEC�R�}���h�̏o�͗�������܂��B

Switch# show vlan filter

VLAN Map map_1 is filtering VLANs:

  20-22

ACL���\�[�X�̗��p������ѐݒ���̕\��

�X�C�b�`�̋@�\�}�l�[�W���́A�ݒ肳�ꂽACL�Ƀ��\�[�X�����蓖�Ă܂��B�ݒ�ɕK�v�Ȃ����̏\���ȃn�[�h�E�F�A ���\�[�X���Ȃ��ꍇ�A�܂��͐ݒ�ɖ�肪����ꍇ�́A�G���[ ���b�Z�[�W����������܂��B�R���\�[�����G���[ ���b�Z�[�W��M�p�ɐݒ肳��Ă��Ȃ��ꍇ�́A show fm �C�l�[�u��EXEC�R�}���h���g�p���ċ@�\�}�l�[�W���̃��b�Z�[�W��\�����A�C���^�[�t�F�C�X��ACL���������郊�\�[�X�ɂ‚��Ă̏����肷�邱�Ƃ��ł��܂��B�܂��A show tcam �C�l�[�u��EXEC�R�}���h���g�p����ƁA�X�C�b�`��Ternary Content Addressable Memory�iTCAM;3�ˆ�g�̃R���e���c �A�h���X�”\�������j�̗e�ʂɊւ���X�e�[�^�X������ł��܂��B

VLAN�}�b�v����\������R�}���h �ɁAACL�@�\�}�l�[�W������\������C�l�[�u��EXEC�R�}���h�������܂��B

VLAN�}�b�v����\������R�}���h

�R�}���h

����

show fm vlan vlan-id
�܂���
show fm interface interface-id

�C���^�[�t�F�C�X�܂���VLAN�̋@�\�}�l�[�W�����i�n�[�h�E�F�A �|�[�g���x���܂���VLAN���x���̃C���^�[�t�F�C�X�ԍ��A�@�\�}�l�[�W���ɔ����������Ȃǁj��\�����܂��B

show fm vlan-label label-id
�܂���
show fm port-label label-id

�n�[�h�E�F�A�ɓK�������ݒ�ς�ACL�̋@�\�ȂǁA���ʃ��x���ɂ‚��Ă̏���\�����܂��BVLAN���x���̓��[�^ACL��VALN�}�b�v�Ɏg�p����A�|�[�g ���x���̓|�[�gACL�Ɏg�p����܂��BVLAN label-id �͈̔͂�0�`255�B�|�[�g label-id �͈̔͂�0�`127�ł��B

show tcam { inacl | outacl } tcam-id {{ port-labels
[
label-id ]} | size |{ statistics [ entries | hits | labels | masks ]}
| {
vlan-labels [ label-id ]}}

TCAM�̓��ACL�̈�܂��͏o��ACL�̈�ɂ‚��Ă̏���\�����܂��BTCAM ID�̗L��͈͂́A1�`3�ł��i�X�C�b�` ���f���ɂ���ĈقȂ�܂��j�B���̃R�}���h�Ɋւ��邻�̑��̃L�[���[�h�́A��ɃV�X�R�̋Z�p�T�|�[�g �X�^�b�t���g�p������̕\���Ɏg�p����܂��B

�����̃R�}���h�̏ڍׂɂ‚��ẮA���̃����[�X�̃R�}���h ���t�@�����X���Q�Ƃ��Ă��������B

�����ł́A����ACL���Ɋւ�����\����@�ɂ‚��Đ������܂��B

�ݒ�̖���

���[�^ACL�����łɐݒ肳��Ă���X�C�b�`�̃C���^�[�t�F�C�X�Ƀ|�[�gACL��K�p����ȂǁA���‚���Ă��Ȃ�ACL�ݒ���͂��悤�Ƃ���ƁA�G���[ ���b�Z�[�W�����O�ɋL�^����܂��B

���̗�ł́AGigabit�|�[�g1�����C��2�C���^�[�t�F�C�X�ł��B�A�N�Z�X ���X�g ip3 ��K�p���悤�Ƃ���ƁA���łɃX�C�b�`�̃��C��3�C���^�[�t�F�C�X��ACL���K�p����Ă��邱�Ƃ������G���[ ���b�Z�[�W���\������܂��B

Switch(config)# interface gigabitethernet0/1

Switch(config-if)# ip access-group ip3 in

Switch(config-if)#

1d18h:%FM-3-CONFLICT:Port ACL ip3 conflicts with input router ACLs

ACL�̐ݒ�ɖ��������邩�ǂ����𔻒f���A���̃|�[�g�̃|�[�g���x���ԍ��𒲂ׂ�ɂ́A�C���^�[�t�F�C�X�ɑ΂��� show fm interface �C�l�[�u��EXEC�R�}���h�����s���܂��B����ɏڍ׏���\������ɂ́A���̗�̂悤�� show fm port-label �C�l�[�u��EXEC�R�}���h���͂��܂��B

Switch# show fm interface gigabitethernet0/1

Conflicts exist with layer 3 access groups.

Input Port Label:2

Switch# show fm port-label 2

Conflicts exist with layer 3 access groups.

Needed in CAM(s):1

Loaded into CAM(s):1

Sent to CPU by CAM(s):

Interfaces: Gi0/1

IP Access Group:ip3 0 VMRs

DHCP Broadcast Suppression Disabled.

MAC Access Group:(None) 0 VMRs

���̗�́A���C��2�C���^�[�t�F�C�X��AVL�����łɓK�p����Ă���X�C�b�`�ŁASVI�AVLAN 1��ACL 121��K�p���悤�Ƃ������ʂ������Ă��܂��B

Switch(config)# interface vlan 1

Switch(config-if)# ip access-group 121 in

Switch(config-if)#

1d18h:%FM-3-CONFLICT:Input router ACL 121 conflicts with port ACLs

show fm vlan ���͂���Ɛݒ�̖������\������AVLAN label-ids �𔻒f���邱�Ƃ��ł��܂��B����ɏڍ׏���\������ɂ́A show fm vlan-label �R�}���h���͂��܂��B

Switch# show fm vlan 1

Conflicts exist with layer 2 access groups.

Input VLAN Label:1

Output VLAN Label:0 (default)

Priority:normal

Switch# show fm vlan-label 1

Conflicts exist with layer 2 access groups.

Input Features:

  Interfaces or VLANs: Vl1

  Priority:normal

  Vlan Map:(none)

  Access Group:121, 0 VMRs

  Multicast Boundary:(none), 0 VMRs

Output Features:

  Interfaces or VLANs:

  Priority:low

  Bridge Group Member:no

  Vlan Map:(none)

  Access Group:(none), 0 VMRs

�n�[�h�E�F�A�ł�ACL�ݒ�̓K����

�O�q�̂悤�ɁACatalyst 3550�X�C�b�`�ł�ACL�����́A�啔�����n�[�h�E�F�A�ŏ�������܂��B�������AACL�ݒ���i�[���邽�߂̃n�[�h�E�F�A�e�ʂ����E�ɒB�����ꍇ�́A�X�C�b�`�̃\�t�g�E�F�A�ɂ���āA�n�[�h�E�F�A���̐ݒ肪�P���ɂȂ�悤�ɒ�������܂��B�ݒ肪�P���ɂȂ�ƁA�ݒ肳�ꂽ�t�B���^�����O�����̈ꕔ�����s����Ȃ��Ȃ�A�ꕔ�܂��͂��ׂẴp�P�b�g��CPU�ɑ����āA�\�t�g�E�F�A�ɂ��t�B���^�����O����܂��B���̕�@�ŁA�ݒ肳�ꂽ���ׂẴt�B���^�����O���������s����܂����A�\�t�g�E�F�A�Ńt�B���^�����O���s����ƃp�t�H�[�}���X���啝�ɒቺ���܂��B

���Ƃ��΁AVLAN�C���^�[�t�F�C�X�ɓK�p������̓��[�^ACL�ƁA����VLAN�ɓK�p�����VLAN�}�b�v�̑g�ݍ��킹���n�[�h�E�F�A�ɓK�����Ȃ��ꍇ�́A���̂悤�ɂȂ�܂��B

  • VLAN�}�b�v�݂̂��n�[�h�E�F�A�ɓK������ꍇ�A�\�t�g�E�F�A�̓n�[�h�E�F�A�ɑ΂��āA���[�e�B���O�̕K�v�����邷�ׂẴp�P�b�g��CPU�ɑ��M���A�����Ńt�B���^�����O�܂��́i�p�P�b�g���t�B���^��ʉ߂����ꍇ�́j���[�e�B���O���s����悤�ɐݒ肵�܂��B���VLAN���ł̃u���b�W���O�݂̂��K�v�ȃp�P�b�g�́A���ׂăn�[�h�E�F�A�ŏ�������ACPU�ɂ͑��M����܂���B
  • VLAN�}�b�v���n�[�h�E�F�A�ɓK�����Ȃ��ꍇ�́AVLAN�̂��ׂẴp�P�b�g���\�t�g�E�F�A�Ńt�B���^�����O���A�]������K�v������܂��B

�n�[�h�E�F�A�ɑ΂���ݒ�̓K�������͂��ׂă��O�ɋL�^����܂��B show fm �C�l�[�u��EXEC�R�}���h���g�p����ƁA�n�[�h�E�F�A�ɓK�����Ȃ��C���^�[�t�F�C�X�̐ݒ�܂���VLAN�̐ݒ肪���邩�ǂ����𔻕ʂ��邱�Ƃ��ł��܂��B

�|�[�gACL�̗�

���ɁA�g�p�”\��TCAM�X�y�[�X�ɑ΂��ă|�[�g �A�N�Z�X ���X�g���傫�������������܂��B

Switch(config-if)# interface gigabitethernet0/3

Switch(config-if)# ip access-group 100 in

Switch(config-if)#

00:04:58:%FM-3-UNLOADING:Unloading port label 3 feature from TCAM 1

�|�[�g ���x�����m�F������A���x�����C���^�[�t�F�C�X�Ɋ��蓖�Ă��Ă��邩�ǂ����𒲂ׂ�ꍇ�́A show fm interface �R�}���h���͂��܂��B

Switch# show fm interface gigabitethernet0/3

Input Port Label:3

���̗�ł́A show fm port-label 3 �C�l�[�u��EXEC�R�}���h�̏o�͂���ACAM1�ɕK�v�ȃ��x��3��CAM 1�Ƀ��[�h���ꂸ�A�����CPU�ɑ��M����Ă��邱�Ƃ��킩��܂��B

Switch# show fm port-label 3

Needed in CAM(s):1

Loaded into CAM(s):

Sent to CPU by CAM(s):1

Interfaces: Gi0/3

IP Access Group:100 3400 VMRs

DHCP Broadcast Suppression Disabled.

MAC Access Group:(None) 2 VMRs

�X�C�b�`��TCAM�̐��̓X�C�b�` ���f���ɂ���ĈقȂ�܂��i1�`3�j�BTCAM�𕡐��‘������Ă���X�C�b�`�ŁA�����|�[�gACL�������̃C���^�[�t�F�C�X�ɓK�p����Ă���ꍇ�A�K�v��TCAM�̈ꕔ�i�S���ł͂Ȃ��j�ɐݒ肪�K�����Ȃ����Ƃ�����܂��B���̂悤�ȏꍇ�AACL���K�p���ꂽ�Ƃ��ɐ������ꂽ���O ���b�Z�[�W�ɁA����ACL�����[�h�ł��Ȃ�����TCAM���L�^����܂��B

Switch(config)# interface gigabitethernet0/10

Switch(config-if)# ip access-group 101 in

Switch(config-if)#

01:46:25:%FM-3-UNLOADING:Unloading port label 4 feature from TCAM 1

���x��4�ɑ΂��� show fm port-label �R�}���h���͂���ƁA�eTCAM�ɋ@�\�����[�h����Ă��邩�ǂ������킩��܂��B

Switch# show fm port-label 4

Needed in CAM(s):1 3

Loaded into CAM(s):3

Sent to CPU by CAM(s):1

Interfaces: Gi0/3, Gi0/10

IP Access Group:101 379 VMRs

DHCP Broadcast Suppression Disabled.

MAC Access Group:(None) 2 VMRs

���̏o�͂́ACAM 1��3�Ń|�[�g ���x��4���K�v�Ƃ���Ă���̂ɁACAM 1�Ƀ|�[�g ���x��4���K�����Ă��Ȃ����Ƃ������Ă��܂��BCAM 1�ɑ��̃|�[�g ���x���̃G���g�������łɊ܂܂�CAM 3�����g�p�”\�ȋ󂫗e�ʂ����Ȃ����߂ł��B�܂��A���̏o�͂���ACAM 3�ɂ̓|�[�g ���x��4�����[�h����Ă�����̂́A���̃��x���̃|�[�gACL�̃G���g����CAM 1���烍�[�h����Ă��Ȃ����߁ACAM1�͂��̃��x���̃p�P�b�g��CPU�ɑ��M���Ă��邱�Ƃ��킩��܂��B

VLAN�܂��̓��[�^ACL�̗�

���ɁAVLAN 1�̋@�\�}�l�[�W������\�������������܂��B

Switch# show fm vlan 1

Input VLAN Label:1

Output VLAN Label:0 (default)

Priority:normal

���ɁA show fm vlan-label �C�l�[�u��EXEC�R�}���h�̏o�͗�������܂��B��̓A�N�Z�X �O���[�v�̓����Ɏ��s�������Ƃ��킩��܂��B

Switch# show fm vlan-label 1

Unloaded due to merge failure or lack of space:

InputAccessGroup

Merge Fail:input

Input Features:

Interfaces or VLANs: Vl1

Priority:normal

Vlan Map:(none)

Access Group:131, 6788 VMRs

Multicast Boundary:(none), 0 VMRs

Output Features:

Interfaces or VLANs:

Priority:low

Bridge Group Member:no

Vlan Map:(none)

Access Group:(none), 0 VMRs

���ɁA show fm vlan-label �C�l�[�u��EXEC�R�}���h�̏o�͗�������܂��B��̓A�N�Z�X �O���[�v�Ɏg�p�ł���\���ȋ󂫗e�ʂ��n�[�h�E�F�A�ɂȂ����Ƃ��킩��܂��B

Switch# show fm vlan-label 1

Unloaded due to merge failure or lack of space:

InputAccessGroup

Input Features:

Interfaces or VLANs: Vl1

Priority:normal

Vlan Map:(none)

Access Group:bigone, 11 VMRs

Multicast Boundary:(none), 0 VMRs

Output Features:

Interfaces or VLANs:

Priority:low

Bridge Group Member:no

Vlan Map:(none)

Access Group:(none), 0 VMRs

���ɁA show fm vlan-label �C�l�[�u��EXEC�R�}���h�̗�������܂��B���̏o�͂���A���̃��x���̓�̓A�N�Z�X �O���[�v�܂��͏o�̓A�N�Z�X �O���[�v�ɑ΂��ď\���ȋ󂫗e�ʂ��Ȃ����Ƃ��킩��܂��i�A�N�Z�X �O���[�v��2�‚̈قȂ�C���^�[�t�F�C�X�ɐݒ肳��Ă��܂��B���x���͓�͂���яo�͂Ɋւ��ȕʂɊ��蓖�Ă��܂��j�B

Switch# show fm label 1

Unloaded due to merge failure or lack of space:

InputAccessGroup OutputAccessGroup

Input Features:

Interfaces or VLANs: Vl1

Priority:normal

Vlan Map:(none)

Access Group:bigone, 11 VMRs

Multicast Boundary:(none), 0 VMRs

Output Features:

Interfaces or VLANs: Vl2

Priority:normal

Bridge Group Member:no

Vlan Map:(none)

Access Group:bigtwo, 11 VMRs

TCAM�̗��p��

show tcam �C�l�[�u��EXEC�R�}���h���g�p����ƁAACL��ݒ肷��O���TCAM�̋󂫗e�ʂ�\��������A����̃C���^�[�t�F�C�X�܂���VLAN�Ɋ��蓖�Ă��Ă���TCAM���̗e�ʂ𒲂ׂ邱�Ƃ��ł��܂��B

TCAM����ACL����͂���Ă���̈�̍��v�T�C�Y��\������ɂ́A show tcam size ���g�p���܂��B

Switch# show tcam inacl 1 size

Ingress ACL TCAM Size:6592 Entries

���܂��܂�TCAM�̈�Ɋ��蓖�Ă�e�ʂ�ύX����ꍇ�́A sdm prefer �O���[�o�� �R���t�B�M�����[�V���� �R�}���h���g�p���܂��B���̃R�}���h���g�p���āAACL�A���[�e�B���O�A�܂��̓��C��2�X�C�b�`���O�Ɋ��蓖�Ă郊�\�[�X�𑝂₷���Ƃ��ł��܂��B

��͂܂��͏o�͂�TCAM�̈�ɑ΂��� show tcam statistics �R�}���h���͂���ƁA�}�X�N����уG���g���̊��蓖�ėʂƎg�p�”\�ʂ��\������邽�߁A����TCAM�̈悪�ǂ̒��x���p����Ă��邩���킩��܂��B���Ɏ����̂́A���̃R�}���h�̏o�͗�ł��B

Switch# show tcam inacl 1 statistics

Ingress ACL TCAM#1:Number of active labels:3

Ingress ACL TCAM#1:Number of masks allocated: 14, available: 810

Ingress ACL TCAM#1:Number of entries allocated: 17, available:6575

�C���^�[�t�F�C�X�܂���VLAN�ւ�ACL�̐ݒ�Ɏg�p�ł���TCAM�̗ʂ𔻒f����ɂ́A�܂� show fm interface �R�}���h�܂��� show fm vlan �R�}���h���g�p���܂��B�����̃R�}���h�̏o�͂���A���̃|�[�g�܂���VLAN��ACL�ݒ�Ɏg�p�����|�[�g ���x���܂���VLAN���x���𔻕ʂ��邱�Ƃ��ł��܂��B����ɁA show tcam port-label �R�}���h�܂��� show tcam vlan-label �R�}���h���g�p����ƁA���̃��x���Ɋ��蓖�Ă��Ă���TCAM�̗e�ʂ��\������܂��BVLAN���x���̓��[�^ACL��VLAN�}�b�v�ɁA�|�[�g ���x���̓|�[�gACL�Ɏg�p����܂��B

Switch# show fm vlan 1

Input VLAN Label:1

Output VLAN Label:0 (default)

Priority:normal

Switch# show tcam inacl 1 vlan-labels 1

Label Value : 8193(vlan label 1)

Number of entries :779

Entry List

----------

Mask Index :4

F7 00 00 00 00 00 00 00 00 80 FF C0 00 C0 FF FF 00 00

Entry Index :32 Timestamp:1

96 00 00 00 00 00 00 00 00 80 01 40 00 80 00 01 00 00 As Data(hex) :00260086

Mask Index :5

F7 00 00 00 00 00 00 00 00 80 FF C0 00 C0 00 00 FF FF

Entry Index :33 Timestamp:4

96 00 00 00 00 00 00 00 00 80 01 40 00 80 00 00 00 B3 As Data(hex) :00260086

Mask Index :6

F5 00 00 00 00 E0 00 00 00 80 FF C0 00 C0 00 00 00 00

Entry Index :48 Timestamp:1

94 00 00 00 00 E0 00 00 00 80 01 40 00 80 00 00 00 00 As Data(hex) :00210086

Mask Index :7

F7 00 00 00 00 00 00 00 00 80 FF C0 00 C0 00 00 00 00

Entry Index :49 Timestamp:4

96 00 00 00 00 00 00 00 00 80 01 40 00 80 00 00 00 00 As Data(hex) :00210086

Mask Index :8

F5 00 00 00 00 00 00 00 00 80 FF C0 00 C0 00 00 00 00

Entry Index :64 Timestamp:1

�i�e�L�X�g�o�͂͏ȗ��j

  • show tcam vlan-label �̏o�͂Ɋ܂܂�Ă���G���g�����i Number of entries �j�t�B�[���h�ł́A2�‚̃f�t�H���g �G���g�����J�E���g����Ă��Ȃ����߁A���̃t�B�[���h�̒l�����2�‚̃G���g�������O����Ă��܂��B�f�t�H���g �G���g���̓|�[�g ���x�����g�p���Ȃ��̂ŁA���̒l�͂��̏o�̓t�B�[���h�̐��m�Ȓl�ƂȂ�܂��B

Toolbar-jp

All contents copyright (C) 1992--2003 Cisco Systems K.K.