- このマニュアルについて
- ML シリーズ カード の概要
- CTC の動作
- 初期設定
- インターフェイスの設定
- POS の設定
- ブリッジの設定
- STP および RSTP の設定
- VLAN の設定
- IEEE 802.1Q および レイヤ 2 プロトコル のトンネリング設定
- リンク集約の設定
- ネットワーク プロトコルの設定
- IRB の設定
- VRF Lite の設定
- QoS の設定
- SDM の設定
- ACL の設定
- シスコ固有の RPR の設定
- EoMPLS の設定
- ML シリーズ カードのセキュリティ設定
- ONS イーサネット カード上の POS
- RMON の設定
- SNMP の設定
- E シリーズおよび G シリーズ イーサ ネットの運用
- CE-100T-8 イーサネットの運用
- CE-1000-4 イーサネットの動作
- IEEE 802.17b RPR の設定
- コマンド リファレンス
- サポートされていない CLI コマンド
- テクニカル サポートの利用方法
- 索引
Cisco ONS 15454/15454 SDH/Cisco ONS 15327 イーサネット カード ソフトウェア フィーチャ コンフィギュレーション ガイド Release 7.2
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月1日
章のタイトル： ACL の設定
ACL の設定
この章では、ML シリーズ カードに組み込まれている Access Control List（ACL; アクセス コントロール リスト）について説明します。
ACL の概要
ACL は、ネットワークの制御とセキュリティを実現する機能で、ML シリーズのインターフェイスに出入りするパケットのフローをフィルタリングできます。フィルタとも呼ばれる ACL により、特定のユーザや装置によるネットワークの使用を制限できます。ACL はプロトコルごとに作成し、着信トラフィックまたは発信トラフィックのどちらか一方のインターフェイスに適用します。ACL はコントロール プレーンの発信トラフィックには適用されません。1 つの方向、1 つのサブインターフェイスごとに適用できる ACL フィルタは 1 つだけです。
ACL を作成する場合は、ML シリーズ カードが処理する各パケットに適用する基準を定義します。これによって ML シリーズ カードでは、パケットがリストの基準に一致するかどうかに基づいて、パケットを転送するか、ブロックするかを決定します。リストのどの基準にも一致しないパケットは、各 ACL の末尾にある暗黙的な「deny all traffic」基準文によって、自動的にブロックされます。
ML シリーズにおける ACL サポート
コントロール プレーン ACL とデータ プレーン ACL は、どちらも ML シリーズ カードでサポートされます。
•
コントロール プレーン ACL：ML シリーズ カードの CPU によって処理される制御データをフィルタするための ACL（たとえば、ルーティング情報、Internet Group Membership Protocol [IGMP] 加入の配布など）。
• データ プレーン ACL：ML シリーズのハードウェアを使用してルーティングまたはブリッジされているユーザ データをフィルタするための ACL（たとえば、ホストへのアクセスの拒否など）。データ プレーン ACL は、ip access-group コマンドを使用して入力方向または出力方向のインターフェイスに適用されます。
データ プレーン ACL を ML シリーズ カード上で使用する際には、次の制限があります。
• ACL は、ブリッジド インターフェイスを含む、あらゆる種類のインターフェイスでサポートされます。
• リフレクシブ ACL とダイナミック ACL は、ML シリーズ カードではサポートされません。
• アクセス違反のアカウンティングは、ML シリーズ カードではサポートされません。
• ACL のロギングは、交換されたパケットではなく、CPU に送信するパケットに対してのみサポートされます。
• 出力ブリッジド インターフェイスに適用された IP 標準 ACL は、データ プレーンではサポートされません。ブリッジングの場合は、ACL は入力側でのみサポートされます。
IP ACL
IP に対しては、次のような ACL 形式がサポートされています。
• 標準 IP ACL：送信元アドレスを使用してマッチングを行います。
• 拡張 IP ACL（コントロール プレーン専用）：送信元アドレスおよび宛先アドレスを使用してマッチングを行います。さらに細かく制御するためには、任意でプロトコル タイプとポート番号を使用します。
• 名前付き ACL：送信元アドレスを使用してマッチングを行います。
（注） デフォルトでは、ACL の末尾には、末尾に到達する前に一致する文が見つからなかった場合のための暗黙的な拒否（deny）文があります。標準 ACL では、関連付けられた IP ホスト アドレスの ACL 指定からマスクを省略すると、マスクが 0.0.0.0 であるとみなされます。
ACL を作成したら、その ACL をインターフェイスに適用する必要があります。「インターフェイスへの ACL の適用」を参照してください。
名前付き IP ACL
IP ACL は名前で特定できます。ただし、名前は英数字の文字列である必要があります。名前付き IP ACL を使用すると、番号付き ACL の場合よりも多くの IP ACL を1つのルータに設定できます。数値の文字列ではなく英字の文字列で ACL を特定する場合は、モードとコマンドの構文が多少異なります。
次の事項を検討してから名前付き ACL を設定してください。
• 標準 ACL と拡張 ACL に同じ名前を付けることはできません。
• 番号付き ACL も利用できます。「番号付き標準および拡張 IP ACL の作成」を参照してください。
ユーザの注意事項
IP ネットワークのアクセス コントロールを設定するときは、次のことに留意してください。
• ACL の末尾には、すべてを拒否する文が暗黙的に指定されているため、入力する必要がありません。
• ACL エントリはどのような順序で入力しても、パフォーマンスに影響しません。
• 8 個の TCAM エントリごとに、ML シリーズ カードは TCAM の管理用のエントリを 1個使用します。
• パケット損失を引き起こす条件を設定しないでください。パケット損失は、特定のサービスのパケットを拒否する ACL が設定されたネットワークで、そのサービスをアドバタイズするように装置またはインターフェイスが設定されている場合に発生します。
• IP ACLは、ダブルタグ（QinQ）パケットに対してサポートされていません。ただし、IP ACL は QinQ アクセス ポートに着信する IP パケットに対して適用されます。
IP ACL の作成
ここでは、番号付き標準 IP ACL、拡張 IP ACL、および名前付き標準 IP ACL の作成方法について説明します。
番号付き標準および拡張 IP ACL の作成
表16-1 に、番号付き標準 IP ACL と拡張 IP ACL の作成に使用するグローバル コンフィギュレーション コマンドを示します。
名前付き標準 IP ACL の作成
名前付き標準 IP ACL を作成するには、グローバル コンフィギュレーション モードで次の手順を実行します。
名前付き拡張 IP ACL の作成（コントロール プレーン専用）
名前付き拡張 IP ACL を作成するには、グローバル コンフィギュレーション モードで次の手順を実行します。
インターフェイスへの ACL の適用
ACL を作成したら、その ACL を 1 つまたは複数のインターフェイスに適用できます。ACL を適用できるのは、インターフェイスの着信方向または発信方向のどちらか一方です。インターフェイスへのアクセスを制御するには、名前または番号を使用します。標準 ACL を適用した場合、ML シリーズ カードは送信元 IP アドレスを ACL と比較します。ACL を 1 つまたは複数のインターフェイスに適用するには、 表16-2 に示すコマンドを使用します。
（注） Bridge Group Virtual Interface（BVI; ブリッジ グループ仮想インターフェイス）の入力側に適用された IP 標準 ACL は、BVI 入力トラフィックだけでなく、関連付けられたブリッジ グループ内のブリッジされたすべての IP トラフィックに適用されます。
|
|
|
|---|---|
|
|
ACL TCAM サイズの変更
TCAM サイズを変更するには、 sdm access-list コマンドを入力します。ACL TCAM サイズの詳細については、「TCAM の ACL のサイズ設定」を参照してください。例16-1 には、ACL の変更と確認の例を示します。
（注） ACL TCAM サイズを増やすには、IP、IP マルチキャスト、L2 スイッチングなどの別の領域の TCAM サイズを縮小する必要があります。
Warning:Programming TCAM entries failed
Please remove last ACL command to re-activate ACL operation.
!<ACL number or name> <IP or IPX> <INPUT_ACL or OUTPUT_ACL> from TCAM group for !<interface>
Please see the documentation to see if TCAM space can be
increased on this platform to alleviate the problem.
フィードバック