Cisco IOS XE Gibraltar 16.10.x セキュリティコンフィギュレーションガイド：アクセスコントロールリスト

RSP3 ポートの関連情報

IPv6 ACL は、RSP3 ではサポートされていません

機能情報の確認

ご使用のソフトウェアリリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報および警告については、「Bug Search Tool」およびご使用のプラットフォームおよびソフトウェアリリースのリリースノートを参照してください。このモジュールで説明される機能に関する情報、および各機能がサポートされるリリースの一覧については、機能情報の表を参照してください。

プラットフォームのサポートおよびシスコソフトウェアイメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator にアクセスするには、www.cisco.com/go/cfn に移動します。Cisco.com のアカウントは必要ありません。

IPv6 アクセスコントロールリストに関する情報

IPv6 トラフィックフィルタリングのアクセスコントロールリスト

IPv6 での標準 ACL 機能は、IPv4 での標準 ACL に似ています。アクセスリストによって、デバイスインターフェイスでブロックされるトラフィックおよび転送されるトラフィックが決定され、送信元アドレスと宛先アドレスに基づいて、特定のインターフェイスへの着信と発信をフィルタリングできます。各アクセスリストの末尾には、暗黙的な deny 文があります。IPv6 ACL を定義し、拒否条件と許可条件を設定するには、グローバルコンフィギュレーションモードで deny キーワードと permit キーワードを指定して ipv6 access-list コマンドを使用します。

IPv6 で拡張された ACL では標準 IPv6 ACL 機能を強化して、IPv6 オプションヘッダー、および任意でより細かい制御を行うための上位層プロトコルタイプ情報に基づくトラフィックフィルタリングがサポートされています（IPv4 における拡張 ACL に類似した機能です）。

IPv6 パケットインスペクション

ヘッダーフィールド（トラフィッククラス、フローラベル、ペイロード長、次ヘッダー、ホップリミット、および送信元 IP アドレスや宛先 IP アドレス）は、IPv6 インスペクション用に使用されます。IPv6 ヘッダーフィールドの詳細および説明については、RFC 2474 を参照してください。

IPv6 でのアクセスクラスフィルタリング

IPv6 ACL に基づく、デバイスとの間の着信接続と発信接続のフィルタリングは、ラインコンフィギュレーションモードで ipv6 access-class コマンドを使用して実行します。ipv6 access-class コマンドは、IPv6 ACL が名前で定義される点を除き、access-class コマンドに似ています。IPv6 ACL が着信トラフィックに適用される場合、ACL 内の送信元アドレスは、着信接続の送信元アドレスと照合され、ACL 内の宛先アドレスは、インターフェイス上のローカルデバイスアドレスと照合されます。IPv6 ACL が発信トラフィックに適用される場合、ACL 内の送信元アドレスは、インターフェイス上のローカルデバイスアドレスと照合され、ACL 内の宛先アドレスは、発信接続の送信元アドレスと照合されます。ユーザが任意の接続を試行できるように、すべての仮想端末回線で同じ制限を設定することを推奨します。

IPv6 アクセスコントロールリストの設定方法

IPv6 トラフィックフィルタリングの設定

トラフィックフィルタリング用の IPv6 ACL の作成および設定

（注）

Cisco ASR 1000 プラットフォームの IPv6 ACL には、暗黙の許可ルールは含まれません。IPv6 ネイバー探索プロセスでは、IPv6 ネットワーク層サービスを使用します。したがって、IPv6 ネイバー探索をイネーブルにするには、IPv6 ネイバー探索パケットのインターフェイス上での送受信が許可されるように IPv6 ACL を追加する必要があります。IPv4 では、IPv6 ネイバー探索プロセスと同等のアドレス解決プロトコル（ARP）は、別のデータリンク層プロトコルを使用します。したがってデフォルトでは、IPv4 ACL により、ARP パケットのインターフェイス上での送受信が暗黙的に許可されます。

手順の概要

enable
configure terminal
ipv6 access-list access-list-name
次のいずれかを実行します。

permit protocol {source-ipv6-prefix/prefix-length | any | host source-ipv6-address } [operator [port-number ]] {destination-ipv6-prefix / prefix-length | any | host destination-ipv6-address } [operator [port-number ]] [dest-option-type [doh-number | doh-type ]] [dscp value ] [flow-label value ] [fragments ] [log ] [log-input ] [mobility ] [mobility-type [mh-number | mh-type ]] [routing ] [routing-type routing-number ] [sequence value ] [time-range name ]
deny protocol {source-ipv6-prefix /prefix-length | any | host source-ipv6-address } [operator port-number ]] {destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [operator [port-number ]] [dest-option-type [doh-number | doh-type ] ] [dscp value ] [flow-label value ] [fragments ] [log ] [log-input ] [mobility ] [mobility-type [mh-number | mh-type ]] [routing ] [routing-type routing-number ] [sequence value ] [time-range name ] [undetermined-transport

手順の詳細

	コマンドまたはアクション	目的
ステップ 1	enable 例: `Device> enable`	特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。
ステップ 2	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 3	ipv6 access-list `access-list-name` 例: `Device(config)# ipv6 access-list inbound`	IPv6 ACL を定義し、IPv6 アクセスリストコンフィギュレーションモードを開始します。 `access-listname` 引数は、IPv6 ACL の名前を指定します。IPv6 ACL の名前にスペースまたは引用符を含めることはできません。また、先頭を数字にすることはできません。
ステップ 4	次のいずれかを実行します。 permit protocol {`source-ipv6-prefix/prefix-length` \| any \| host `source-ipv6-address` } [`operator` [`port-number` ]] {`destination-ipv6-prefix` / `prefix-length` \| any \| host `destination-ipv6-address` } [operator [`port-number` ]] [dest-option-type [`doh-number` \| `doh-type` ]] [dscp `value` ] [flow-label `value` ] [fragments ] [log ] [log-input ] [mobility ] [mobility-type [`mh-number` \| `mh-type` ]] [routing ] [routing-type `routing-number` ] [sequence `value` ] [time-range `name` ] deny `protocol` {`source-ipv6-prefix` /`prefix-length` \| any \| host `source-ipv6-address` } [`operator` `port-number` ]] {`destination-ipv6-prefix/prefix-length` \| any \| host `destination-ipv6-address` } [`operator` [`port-number` ]] [dest-option-type [`doh-number` \| `doh-type` ] ] [dscp `value` ] [flow-label `value` ] [fragments ] [log ] [log-input ] [mobility ] [mobility-type [`mh-number` \| `mh-type` ]] [routing ] [routing-type `routing-number` ] [sequence `value` ] [time-range `name` ] [undetermined-transport 例: `Device(config-ipv6-acl)# permit tcp 2001:DB8:0300:0201::/32 eq telnet any` 例: `Device(config-ipv6-acl)# deny tcp host 2001:DB8:1::1 any log-input`	IPv6 ACL の許可条件または拒否条件を指定します。

インターフェイスへの IPv6 ACL の適用

手順の概要

enable
configure terminal
interface type number
ipv6 traffic-filter access-list-name {in | out }

手順の詳細

	コマンドまたはアクション	目的
ステップ 1	enable 例: `Device> enable`	特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。
ステップ 2	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 3	interface `type` `number` 例: `Device(config)# interface gigabitethernet 0/0/0`	インターフェイスのタイプおよび番号を指定し、インターフェイスコンフィギュレーションモードを開始します。
ステップ 4	ipv6 traffic-filter `access-list-name` {in \| out } 例: `Device(config-if)# ipv6 traffic-filter inbound in`	指定した IPv6 アクセスリストを、前のステップで指定したインターフェイスに適用します。

vty へのアクセスの制御

IPv6 ACL の作成によるアクセスクラスフィルタリングの提供

手順の概要

enable
configure terminal
ipv6 access-list access-list-name
次のいずれかを実行します。

permit protocol {source-ipv6-prefix/prefix-length | any | host source-ipv6-address } [operator [port-number ]] {destination-ipv6-prefix / prefix-length | any | host destination-ipv6-address } [operator [port-number ]] [dest-option-type [doh-number | doh-type ]] [dscp value ] [flow-label value ] [fragments ] [log ] [log-input ] [mobility ] [mobility-type [mh-number | mh-type ]] [routing ] [routing-type routing-number ] [sequence value ] [time-range name
deny protocol {source-ipv6-prefix /prefix-length | any | host source-ipv6-address } [operator port-number ]] {destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [operator [port-number ]] [dest-option-type [doh-number | doh-type ]] [dscp value ] [flow-label value ] [fragments ] [log ] [log-input ] [mobility ] [mobility-type [mh-number | mh-type ]] [routing ] [routing-type routing-number ] [sequence value ] [time-range name ] [undetermined-transport

手順の詳細

	コマンドまたはアクション	目的
ステップ 1	enable 例: `Device> enable`	特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。
ステップ 2	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 3	ipv6 access-list `access-list-name` 例: `Device(config)# ipv6 access-list cisco`	IPv6 ACL を定義し、IPv6 アクセスリストコンフィギュレーションモードを開始します。
ステップ 4	次のいずれかを実行します。 permit protocol {`source-ipv6-prefix/prefix-length` \| any \| host `source-ipv6-address` } [`operator` [`port-number` ]] {`destination-ipv6-prefix` / `prefix-length` \| any \| host `destination-ipv6-address` } [`operator` [`port-number` ]] [dest-option-type [`doh-number` \| `doh-type` ]] [dscp `value` ] [flow-label `value` ] [fragments ] [log ] [log-input ] [mobility ] [mobility-type [`mh-number` \| `mh-type` ]] [routing ] [routing-type `routing-number` ] [sequence `value` ] [time-range `name` deny `protocol` {`source-ipv6-prefix` /`prefix-length` \| any \| host `source-ipv6-address` } [`operator` `port-number` ]] {`destination-ipv6-prefix/prefix-length` \| any \| host `destination-ipv6-address` } [`operator` [`port-number` ]] [dest-option-type [`doh-number` \| `doh-type` ]] [dscp `value` ] [flow-label `value` ] [fragments ] [log ] [log-input ] [mobility ] [mobility-type [`mh-number` \| `mh-type` ]] [routing ] [routing-type `routing-number` ] [sequence `value` ] [time-range `name` ] [undetermined-transport 例: `Device(config-ipv6-acl)# permit ipv6 host 2001:DB8:0:4::32 any` 例: `Device(config-ipv6-acl)# deny ipv6 host 2001:DB8:0:6::6 any`	IPv6 ACL の許可条件または拒否条件を指定します。

仮想端末回線への IPv6 ACL の適用

手順の概要

enable
configure terminal
line [aux | console | tty | vty ] line-number [ending-line-number ]
ipv6 access-class ipv6-access-list-name {in | out }

手順の詳細

	コマンドまたはアクション	目的
ステップ 1	enable 例: `Device> enable`	特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。
ステップ 2	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 3	line [aux \| console \| tty \| vty ] `line-number` [`ending-line-number` ] 例: `Device(config)# line vty 0 4`	設定する特定の回線を識別し、ラインコンフィギュレーションモードを開始します。この例では、vty キーワードを使用して、リモートコンソールアクセス用の仮想端末回線を指定します。
ステップ 4	ipv6 access-class `ipv6-access-list-name` {in \| out } 例: `Device(config-line)# ipv6 access-class cisco in`	IPv6 ACL に基づいて、デバイスとの間の着信接続と発信接続をフィルタリングします。

IPv6 アクセスコントロールリストの設定例

例：IPv6 ACL 設定の確認

次の例では、show ipv6 access-list コマンドを使用して、IPv6 ACL が正しく設定されていることを確認します。

Device> show ipv6 access-list

IPv6 access list inbound
    permit tcp any any eq bgp (8 matches) sequence 10
    permit tcp any any eq telnet  (15 matches) sequence 20
    permit udp any any  sequence 30

IPv6 access list Virtual-Access2.1#427819008151 (per-user)
    permit tcp host 2001:DB8:1::32 eq bgp host 2001:DB8:2::32 eq 11000 sequence 1
    permit tcp host 2001:DB8:1::32 eq telnet host 2001:DB8:2::32 eq 11001 sequence 2

例：IPv6 ACL の作成と適用

次に、HTTP アクセスを日中の特定の時間に制限し、許可されていない時間のアクティビティを記録する方法について例を示します。


Device# configure terminal
Device(config)# time-range lunchtime
Device(config-time-range)# periodic weekdays 12:00 to 13:00
Device(config-time-range)# exit
Device(config)# ipv6 access-list INBOUND
Device(config-ipv6-acl)# permit tcp any any eq www time-range lunchtime
Device(config-ipv6-acl)# deny tcp any any eq www log-input
Device(config-ipv6-acl)# permit tcp 2001:DB8::/32 any
Device(config-ipv6-acl)# permit udp 2001:DB8::/32 any
Device(config-ipv6-acl)# end

例：vty へのアクセスの制御

次の例では、仮想端末回線 0 ～ 4 に着信する接続は、acl1 という名前の IPv6 アクセスリストに基づいてフィルタリングされます。


ipv6 access-list acl1
 permit ipv6 host 2001:DB8:0:4::2/32 any
!
line vty 0 4
 ipv6 access-class acl1 in

その他の参考資料

関連項目	マニュアルタイトル
Cisco IOS コマンド	『Cisco IOS Master Command List, All Releases』
IP アクセスリストコマンド	『Cisco IOS Security Command Reference』
IP アクセスリストの設定	『Creating an IP Access List and Applying It to an Interface』

テクニカルサポート


説明	リンク
右の URL にアクセスして、シスコのテクニカルサポートを最大限に活用してください。これらのリソースは、ソフトウェアをインストールして設定したり、シスコの製品やテクノロジーに関する技術的問題を解決したりするために使用してください。この Web サイト上のツールにアクセスする際は、Cisco.com のログイン ID およびパスワードが必要です。	http://www.cisco.com/cisco/web/support/index.html

IPv6 アクセスコントロールリストに関する機能情報

次の表に、このモジュールで説明した機能に関するリリース情報を示します。この表は、ソフトウェアリリーストレインで各機能のサポートが導入されたときのソフトウェアリリースだけを示しています。その機能は、特に断りがない限り、それ以降の一連のソフトウェアリリースでもサポートされます。

プラットフォームのサポートおよびシスコソフトウェアイメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator にアクセスするには、www.cisco.com/go/cfn に移動します。Cisco.com のアカウントは必要ありません。

表 1. IPv6 アクセスコントロールリストに関する機能情報
機能名	リリース	機能情報
IPv6 サービス：拡張アクセスコントロールリスト	Cisco IOS XE リリース 2.1	標準の IPv6 ACL 機能が拡張されて、IPv6 オプションヘッダー、および任意でより細かい制御を行うための上位層プロトコルタイプ情報に基づくトラフィックフィルタリングがサポートされています。

Cisco IOS XE Gibraltar 16.10.x セキュリティ コンフィギュレーション ガイド：アクセス コントロール リスト

偏向のない言語

翻訳について

検索結果

章のタイトル： IPv6 アクセス コントロール リスト

IPv6 アクセス コントロール リスト

RSP3 ポートの関連情報

機能情報の確認

IPv6 アクセス コントロール リストに関する情報

IPv6 トラフィック フィルタリングのアクセス コントロール リスト

IPv6 パケット インスペクション

IPv6 でのアクセス クラス フィルタリング

IPv6 アクセス コントロール リストの設定方法

IPv6 トラフィック フィルタリングの設定

トラフィック フィルタリング用の IPv6 ACL の作成および設定

手順の概要

手順の詳細

例:

例:

例:

例:

例:

インターフェイスへの IPv6 ACL の適用

手順の概要

手順の詳細

例:

例:

例:

例:

vty へのアクセスの制御

IPv6 ACL の作成によるアクセス クラス フィルタリングの提供

手順の概要

手順の詳細

例:

例:

例:

例:

例:

仮想端末回線への IPv6 ACL の適用

手順の概要

手順の詳細

例:

例:

例:

例:

IPv6 アクセス コントロール リストの設定例

例：IPv6 ACL 設定の確認

例：IPv6 ACL の作成と適用

例：vty へのアクセスの制御

その他の参考資料

関連資料

テクニカル サポート

IPv6 アクセス コントロール リストに関する機能情報

このドキュメントは役に立ちましたか?

シスコに問い合わせ

章のタイトル： IPv6 アクセスコントロールリスト

IPv6 アクセスコントロールリスト

IPv6 アクセスコントロールリストに関する情報

IPv6 トラフィックフィルタリングのアクセスコントロールリスト

IPv6 パケットインスペクション

IPv6 でのアクセスクラスフィルタリング

IPv6 アクセスコントロールリストの設定方法

IPv6 トラフィックフィルタリングの設定

トラフィックフィルタリング用の IPv6 ACL の作成および設定

IPv6 ACL の作成によるアクセスクラスフィルタリングの提供

IPv6 アクセスコントロールリストの設定例

テクニカルサポート

IPv6 アクセスコントロールリストに関する機能情報