この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
IP アクセス リストには、ネットワークを保護し、Quality of Service（QoS）係数の設定や debug コマンド出力の制限などのセキュリティ以外の目標を達成する際に多数の利点があります。ここでは、標準、拡張、名前付き、および番号付き IP アクセス リストの作成方法について説明します。アクセス リストは、名前または番号で参照できます。標準アクセス リストは、IP パケットの送信元アドレスのみに基づいてフィルタできます。拡張アクセス リストは、IP パケットの送信元アドレス、宛先アドレス、および他のフィールドに基づいてフィルタできます。
アクセス リストの作成後に有効にするには、何かに適用する必要があります。このモジュールでは、アクセス リストをインターフェイスに適用する方法について説明します。ただし、アクセス リストにはその他にも多数の用途があり、このモジュールで参照していますが、他のモジュールでも説明しています。多様なテクノロジーについては、他のコンフィギュレーション ガイドを参照してください。
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報および警告については、「Bug Search Tool」およびご使用のプラットフォームおよびソフトウェア リリースのリリース ノートを参照してください。このモジュールで説明される機能に関する情報、および各機能がサポートされるリリースの一覧については、機能情報の表を参照してください。
プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator にアクセスするには、www.cisco.com/go/cfn に移動します。Cisco.com のアカウントは必要ありません。
IP アクセスリストを作成または適用する前に、「IP アクセスリストの概要」モジュールの概念を理解しておく必要があります。また、ネットワークで IP が実行されている必要があります。
IPv4 アクセス制御リスト（ACL）を設定する場合、次の制限事項が適用されます。
Application Control Engine（ACE）固有のカウンタは、サポートされていません。
レイヤ 3 IPv4 ACL が適用されているイーサネットフローポイント（EFP）またはトランク EFP インターフェイスでは、MAC ACL はサポートされていません。
最大で 256 の TCAM がサポートされます。そのため、ACL ごとに 256 の ACE がサポートされます。
IPv4 ACL は、EFP インターフェイスでのみサポートされています。
オブジェクトグループは、IP ACL ではサポートされていません。
ACL 統計はサポートされていません。
最初のステートメントが deny permit の場合は、permit トラフィックのステートメントを追加する必要があります。
意図しない結果を回避し、より効率的なアクセス リストを作成するために役立つヒントを紹介します。
アクセス リストを作成してから、インターフェイス（または別の対象）に適用します。その理由は、存在しないアクセス リストをインターフェイスに適用してから、アクセス リストを設定すると、最初のステートメントが有効になり、それに続く暗黙的な deny ステートメントによってアクセスに緊急の問題が発生するおそれがあるためです。
アクセス リストを設定してから適用するもう 1 つの理由は、空のアクセス リストが適用されたインターフェイスはすべてのトラフィックを許可するためです。
すべてのアクセス リストには、少なくとも 1 つの permit ステートメントが必要です。permit がないと、すべてのパケットは拒否され、トラフィックはまったく通過しません。
最初に（permit または deny ステートメントに対する）一致が見つかった後は条件のテストが終了するため、パケットが一致する可能性の高いステートメントをアクセス リストの先頭に配置すると処理にかかる時間とリソースが削減されます。最も頻繁に発生する条件を発生頻度の低い条件より前に配置します。
ネットワークまたはサブネットのより具体的な参照が、より全般的な参照よりも前に出現するように、アクセス リストを構成します。
まだ拒否されていないその他のパケットすべてを許可する場合、ステートメント permit any any を使用します。ステートメント permit any any を使用すると、実質的に、アクセス リストの末尾にある暗黙的な deny ステートメントでその他すべてのパケットが拒否されることを防ぎます。最初のアクセス リスト エントリは permit any any にしないでください。すべてのトラフィックが通過し、以降のテストに到達するパケットがなくなります。permit any any を指定すると、まだ拒否されていないすべてのトラフィックが通過します。
すべてのアクセス リストは暗黙的な deny ステートメントで終了しますが、明示的な deny ステートメント（たとえば deny ip any any ）の使用を推奨します。ほとんどのプラットフォームでは、show access-list コマンドを発行して拒否されるパケット数を表示し、アクセス リストが許可していないパケットに関する詳細情報を調査できます。明示的な deny ステートメントで拒否されたパケットのみがカウントされます。これは、明示的な deny ステートメントによって、より詳細なデータが生成されるためです。
個々のステートメントの用途をひと目で確認および理解しやすくするために、remark コマンドを使用して、ステートメントの前後に役立つ注記を書き込むことができます。
特定のホストまたはネットワークに対するアクセスを拒否し、そのネットワークまたはホストの誰かがアクセス。
このヒントは、アクセス リストの配置に適用されます。リソースを保存しようとすると、着信アクセス リストでは常にフィルタ条件を適用した後に、ルーティング テーブルの検索を行います。発信アクセス リストではフィルタ条件を適用する前に、ルーティング テーブルの検索を行います。
任意の IP アクセス リストのエントリについて、コメントまたは注釈を含めることができます。アクセス リストの注釈は、アクセス リスト エントリの前後にあるオプションの注釈です。エントリの内容がわかるので、エントリの目的を解釈する必要はありません。各注釈の長さは 100 文字に制限されます。
コメントは、permit ステートメントまたは deny ステートメントの前後どちらにでも配置できます。注釈を追加する場所には一貫性があるようにしてください。注釈が関連する permit ステートメントや deny ステートメントの前にある場合と後にある場合とが混在すると、ユーザが混乱する可能性があります。
後続の deny ステートメントの機能を説明する注釈の例を次に示します。
ip access-list extended telnetting
remark Do not allow host1 subnet to telnet out
deny tcp host 172.16.2.88 any eq telnet標準または拡張アクセス リストを作成する基本手順以外に、次のようにアクセス リストを強化できます。これらの各方法の詳細については、『Refining an IP Access List module』を参照してください。
拡張アクセス リストの permit ステートメントまたは deny ステートメントを有効にする日時を指定し、アクセス リストを細かくし、絶対的または定期的な期間に限定することができます。
名前付きまたは番号付きアクセス リストの作成後は、エントリを追加したり、エントリの順序を変更したりできます（これはアクセス リストのシーケンス番号再割り当てとも呼ばれます）。
パケットの非初期フラグメントについてフィルタすることで、パケットをフィルタするときにより細かい精度を達成できます。
ここでは、名前または番号を使用して、標準または拡張アクセス リストを作成する一般的な方法について説明します。アクセス リストには高い柔軟性があります。この作業では、単純に 1 つの permit コマンドと 1 つの deny コマンドを使用して、それぞれのコマンド構文を指定します。あとは、必要な permit および deny コマンドの数とその順序を決めるだけです。
 （注） |
このモジュールの最初の 2 つの作業として、1 つのアクセス リストを作成します。適切に機能するように、アクセス リストを適用する必要があります。インターフェイスにアクセスリストを適用する場合は、「インターフェイスへのアクセスリストの適用」タスクを実行します。アクセスリストをインターフェイスに適用しない場合は、アクセスリストのその他の適用方法を説明するモジュールを示す、「次の作業」を参照してください。 |
送信元アドレスのみに基づいてフィルタする場合、簡易な標準アクセス リストで十分です。標準アクセス リストには名前付きと番号付きという 2 種類があります。名前付きアクセス リストを使用すると、番号よりも直感的な名前を使用してアクセス リストを特定できます。また、番号付きアクセス リストよりもサポートする機能が多数です。
送信元アドレスのみに基づいてフィルタする必要がある場合、標準の名前付きアクセス リストを使用します。この作業では、1 つの permit ステートメントと 1 つの deny ステートメントを使用しますが、使用する実際のステートメントとその順序は、フィルタまたは許可する内容によって変わります。フィルタリングの目標を達成するように、permit および deny ステートメントを定義します。
| ステップ 1 |
enable 例:特権 EXEC モードを有効にします。
|
| ステップ 2 |
configure terminal 例:グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
ip access-list standard name 例:名前を使用して標準 IP アクセス リストを定義し、標準名前付きアクセス リストのコンフィギュレーション モードを開始します。 |
| ステップ 4 |
remark remark 例:（任意）アクセス リスト エントリに関してユーザにわかりやすいコメントを追加します。
|
| ステップ 5 |
deny {source [source-wildcard] | any } 例:（任意）送信元アドレスおよびワイルドカード マスクに基づいて、指定した送信元を拒否します。
|
| ステップ 6 |
remark remark 例:（任意）アクセス リスト エントリに関してユーザにわかりやすいコメントを追加します。
|
| ステップ 7 |
permit {source [source-wildcard ] | any } 例:送信元アドレスおよびワイルドカード マスクに基づいて、指定した送信元を許可します。
|
| ステップ 8 |
アクセス リストの基礎とする送信元の指定が完了するまで、ステップ 4 ～ 7 の手順を繰り返します。 明示的に許可されていないすべての送信元は、アクセス リストの末尾にある暗黙的な deny ステートメントで拒否されます。 |
| ステップ 9 |
end 例:標準の名前付きアクセス リスト コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。 |
| ステップ 10 |
show ip access-list 例:（任意）現在の IP アクセス リストすべてのコンテンツが表示されます。 |
送信元アドレスのみに基づいてフィルタする必要があり、名前付きアクセス リストを使用しない場合、標準の番号付きアクセス リストを設定します。
IP 標準アクセス リストには、1 ～ 99 または 1300 ～ 1999 の番号を付けます。この作業では、1 つの permit ステートメントと 1 つの deny ステートメントを使用しますが、使用する実際のステートメントとその順序は、フィルタまたは許可する内容によって変わります。フィルタリングの目標を達成するように、permit および deny ステートメントを定義します。
| ステップ 1 |
enable 例:特権 EXEC モードを有効にします。
|
| ステップ 2 |
configure terminal 例:グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
access-list access-list-number permit {source [source-wildcard ] | any } 例:送信元アドレスおよびワイルドカード マスクに基づいて、指定した送信元を許可します。
|
| ステップ 4 |
access-list access-list-number deny {source [source-wildcard ] | any } 例:送信元アドレスおよびワイルドカード マスクに基づいて、指定した送信元を拒否します。
|
| ステップ 5 |
アクセス リストの基礎とする送信元の指定が完了するまで、ステップ 3 ～ 6 の手順を繰り返します。 明示的に許可されていないすべての送信元は、アクセス リストの末尾にある暗黙的な deny ステートメントで拒否されます。 |
| ステップ 6 |
end 例:グローバル コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。 |
| ステップ 7 |
show ip access-list 例:（任意）現在の IP アクセス リストすべてのコンテンツが表示されます。 |
送信元アドレス以外の要素に基づいてフィルタする場合、拡張アクセス リストを作成する必要があります。拡張アクセス リストには名前付きと番号付きという 2 種類があります。名前付きアクセス リストを使用すると、番号よりも直感的な名前を使用してアクセス リストを特定できます。また、サポートする機能が多数です。
送信元アドレスまたは宛先アドレス以外の要素をフィルタする方法の詳細については、コマンド リファレンス マニュアルの構文の説明を参照してください。
送信元アドレス、宛先アドレス、またはアドレスと他の IP フィールドの組み合わせに基づいてフィルタする場合、名前付き拡張アクセス リストを作成します。
| ステップ 1 |
enable 例:特権 EXEC モードを有効にします。
|
| ステップ 2 |
configure terminal 例:グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
ip access-list extended name 例:名前を使用して拡張 IP アクセス リストを定義し、拡張名前付きアクセス リストのコンフィギュレーション モードを開始します。 |
| ステップ 4 |
remark remark 例:（任意）アクセス リスト エントリに関してユーザにわかりやすいコメントを追加します。
|
| ステップ 5 |
deny protocol source [source-wildcard ] destination [destination-wildcard ] [option option-name ] [precedence precedence ] [tos tos ] [established ] [time-range time-range-name ] [fragments ] 例:（任意）ステートメントに指定されたすべての条件に一致するすべてのパケットを拒否します。
|
| ステップ 6 |
remark remark 例:（任意）アクセス リスト エントリに関してユーザにわかりやすいコメントを追加します。
|
| ステップ 7 |
permit protocol source [source-wildcard ] destination [destination-wildcard ] [option option-name ] [precedence precedence ] [tos tos ] [established ] [time-range time-range-name ] [fragments ] 例:ステートメントに指定されたすべての条件に一致するすべてのパケットを許可します。
|
| ステップ 8 |
アクセス リストの基礎とするフィールドと値の指定が完了するまで、ステップ 4 ～ 7 の手順を繰り返します。 明示的に許可されていないすべての送信元は、アクセス リストの末尾にある暗黙的な deny ステートメントで拒否されます。 |
| ステップ 9 |
end 例:コンフィギュレーション モードを終了し、システム特権 EXEC モードに変更します。 |
| ステップ 10 |
show ip access-list 例:（任意）現在の IP アクセス リストすべてのコンテンツが表示されます。 |
送信元アドレス、宛先アドレス、またはアドレスと他の IP フィールドの組み合わせに基づいてフィルタし、名前を使用しない場合、番号付き拡張アクセス リストを作成します。拡張 IP アクセス リストには、100 ～ 199 または 2000 ～ 2699 の番号を付けます。
| ステップ 1 |
enable 例:特権 EXEC モードを有効にします。
|
| ステップ 2 |
configure terminal 例:グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
access-list access-list-number remark remark 例:（任意）アクセス リスト エントリに関してユーザにわかりやすいコメントを追加します。
|
| ステップ 4 |
access-list access-list-number permit protocol {source [source-wildcard ] | any } {destination [destination-wildcard ] | any } [precedence precedence ] [tos tos ] [established ] [time-range time-range-name ] [fragments ] 例:ステートメントに指定されたすべての条件に一致するすべてのパケットを許可します。
|
| ステップ 5 |
access-list access-list-number remark remark 例:（任意）アクセス リスト エントリに関してユーザにわかりやすいコメントを追加します。
|
| ステップ 6 |
access-list access-list-number deny protocol {source [source-wildcard ] | any } {destination [destination-wildcard ] | any } [precedence precedence ] [tos tos ] [established ] [time-range time-range-name ] [fragments ] 例:ステートメントに指定されたすべての条件に一致するすべてのパケットを拒否します。
|
| ステップ 7 |
アクセス リストの基礎とするフィールドと値の指定が完了するまで、ステップ 3 ～ 6 の手順を繰り返します。 明示的に許可されていないすべての送信元は、アクセス リストの末尾にある暗黙的な deny ステートメントで拒否されます。 |
| ステップ 8 |
end 例:コンフィギュレーション モードを終了し、システム特権 EXEC モードに変更します。 |
| ステップ 9 |
show ip access-list 例:（任意）現在の IP アクセス リストすべてのコンテンツが表示されます。 |
インターフェイスにアクセス リストを適用するには、次の作業を実行します。
| ステップ 1 |
enable 例:特権 EXEC モードを有効にします。
|
| ステップ 2 |
configure terminal 例:グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
interface type slot /subslot /port 例:インターフェイスを指定し、インターフェイス コンフィギュレーション モードを開始します。 |
| ステップ 4 |
ip access-group {access-list-number | access-list-name } {in | out } 例:指定したアクセス リストを着信または発信インターフェイスに適用します。
|
次の例では、Jones に属するワークステーションが Gigabitethernet インターフェイス 0/0/2 へのアクセスを許可され、Smith に属するワークステーションはアクセスを許可されていません。
interface Gigabitethernet 0/0/2
service instance 10 ethernet
ip access-group workstations in
!
ip access-list standard workstations
remark Permit only Jones workstation through
permit 172.16.2.88
remark Do not allow Smith workstation through
deny 172.16.3.13次の例では、Jones サブネットは Gigabitethernet インターフェイス 0/0/2 へのアクセスが許可されていませんが、Main サブネットはアクセスが許可されています。
interface Gigabitethernet 0/0/0
service instance 10 ethernet
ip access-group prevention in
!
ip access-list standard prevention
remark Do not allow Jones subnet through
deny 172.22.0.0 0.0.255.255
remark Allow Main subnet
permit 172.25.0.0 0.0.255.255次の設定例は、2 つのアクセスリストを持つインターフェイスを示します。一方のリストは着信パケットに適用されます。インターフェイスから発信が許可されるパケットは、送信元が 172.16.3.4 である必要があります。
marketing_group という拡張アクセス リストは、着信パケットをフィルタします。このアクセス リストは、任意の送信元からネットワーク 172.26.0.0 への Telnet パケットを許可し、その他すべての TCP パケットを拒否します。また、ICMP パケットはすべて許可します。1024 未満のポート番号を使用する、任意の送信元からネットワーク 172.26.0 0 への UDP パケットは拒否します。最後に、このアクセス リストはその他すべての IP パケットを拒否し、そのエントリによって許可または拒否されるパケットのロギングを実行します。
interface Gigabitethernet 0/0/5
service instance 10 ethernet
ip access-group marketing_group in
!
ip access-list extended marketing_group
permit tcp any 172.26.0.0 0.0.255.255 eq telnet
deny tcp any any
permit icmp any any
deny udp any 172.26.0.0 0.0.255.255 lt 1024
deny ip any any 次の例では、ネットワーク 10.0.0.0 は、クラス A ネットワークで、2 番目のオクテットでサブネットを指定します。つまり、サブネット マスクは 255.255.0.0 です。ネットワーク 10.0.0.0 アドレスの 3 番目および 4 番目のオクテットで特定のホストを指定します。Cisco IOS ソフトウェアは、アクセスリスト 2 を使用して、サブネット 48 上の 1 つのアドレスを受け入れ、そのサブネット上のその他のアドレスはすべて拒否します。最後の行は、その他すべてのネットワーク 10.0.0.0 サブネット上のアドレスを受け入れることを示します。
interface Gigabitethernet 0/0/3
service instance 10 ethernet
ip access-group 2 in
!
access-list 2 permit 10.48.0.3
access-list 2 deny 10.48.0.0 0.0.255.255
access-list 2 permit 10.0.0.0 0.255.255.255 次の例では、Jones サブネットは、Gigabitethernet インターフェイス 0/0/2 からの Telnet の発信が許可されていません。
interface Gigabitethernet 0/0/2
service instance 10 ethernet
ip access-group telnetting in
!
ip access-list extended telnetting
remark Do not allow Jones subnet to telnet out
deny tcp 172.20.0.0 0.0.255.255 any eq telnet
remark Allow Top subnet to telnet out
permit tcp 172.33.0.0 0.0.255.255 any eq telnet次の例では、goodports という名前の拡張アクセス リストの最初の行で、1023 よりも大きい宛先ポートを持つ着信 TCP 接続を許可しています。2 行目で、ホスト 172.28.1.2 の Simple Mail Transfer Protocol（SMTP）ポートへの着信 TCP 接続を許可しています。最後の行では、エラー フィードバックのための着信 ICMP メッセージを許可しています。
interface Gigabitethernet 0/0/2
service instance 10 ethernet
ip access-group goodports in
!
ip access-list extended goodports
permit tcp any 172.28.0.0 0.0.255.255 gt 1023
permit tcp any host 172.28.1.2 eq 25
permit icmp any 172.28.0.0 255.255.255.255インターネットに接続されているネットワークがあり、イーサネット上のホストでインターネット上の任意のホストに対して TCP 接続を構成するとします。ただし、IP ホストからは、専用メールホストのメール（SMTP）ポートを除き、イーサネット上のホストと TCP 接続を確立できないようにします。
SMTP は、接続の一端では TCP ポート 25、もう一端ではランダムなポート番号を使用します。接続の存続中は、この同じ 2 つのポート番号が使用されます。インターネットから着信するメール パケットは、25 という宛先ポートを持ちます。発信パケットは、ポート番号が予約されています。ルータの背後にあるセキュア システムは、ポート 25 でメール接続を常に受け入れるため、着信および発信サービスを個別に制御できます。発信インターフェイスまたは着信インターフェイスで、アクセス リストを設定できます。
次の例で、イーサネットネットワークはアドレスが 172.18.0.0 の クラス B ネットワークで、メールホストのアドレスは 172.18.1.2 です。established キーワードを使用するのは、TCP プロトコルで確立済み接続を指定する場合のみです。TCP データグラムに ACK または RST ビットが設定されている場合に一致が発生します。これは、パケットが既存の接続に属することを示します。
interface Gigabitethernet 0/0/2
service instance 10 ethernet
ip access-group 102 in
!
access-list 102 permit tcp any 172.18.0.0 0.0.255.255 established
access-list 102 permit tcp any host 172.18.1.2 eq 25次の例では、Winter および Smith ワークステーションは Web アクセスが許可されていません。ネットワーク 172.20.0.0 上のその他のホストは Web アクセスが許可されています。
interface Gigabitethernet 0/0/2
service instance 10 ethernet
ip access-group no_web in
!
ip access-list extended no_web
remark Do not allow Winter to browse the web
deny host 172.20.3.85 any eq http
remark Do not allow Smith to browse the web
deny host 172.20.3.13 any eq http
remark Allow others on our network to browse the web
permit 172.20.0.0 0.0.255.255 any eq http次の設定例では、アクセス リストを使用して、debug コマンドの出力を制限します。debug の出力を制限すると、データ量が絞られ、目的のデータを探しやすくなるため、時間とリソースを節約できます。
Device(config)# ip access-list standard acl1
!Displays only advertisements for LDP peer in acl1
Device(config-std-nacl)# permit host 10.0.0.44
Device# debug mpls ldp advertisements peer-acl acl1
tagcon: peer 10.0.0.44:0 (pp 0x60E105BC): advertise 172.17.0.33
tagcon: peer 10.0.0.44:0 (pp 0x60E105BC): advertise 172.16.0.31
tagcon: peer 10.0.0.44:0 (pp 0x60E105BC): advertise 172.22.0.33
tagcon: peer 10.0.0.44:0 (pp 0x60E105BC): advertise 192.168.0.1
tagcon: peer 10.0.0.44:0 (pp 0x60E105BC): advertise 192.168.0.3
tagcon: peer 10.0.0.44:0 (pp 0x60E105BC): advertise 192.168.1.33| 関連項目 | マニュアル タイトル |
|---|---|
|
Cisco IOS コマンド |
https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/mcl/allreleasemcl/all-book.html |
| 標準/RFC | タイトル |
|---|---|
|
このマニュアルに記載された機能によってサポートされている特定の標準規格および RFC はありません。 |
— |
| MIB | MIB のリンク |
|---|---|
| — |
選択したプラットフォーム、Cisco IOS リリース、およびフィーチャ セットに関する MIB を探してダウンロードするには、次の URL にある Cisco MIB Locator を使用します。 |
| 説明 | リンク |
|---|---|
|
シスコのサポート Web サイトでは、シスコの製品やテクノロジーに関するトラブルシューティングにお役立ていただけるように、マニュアルやツールをはじめとする豊富なオンライン リソースを提供しています。 お使いの製品のセキュリティ情報や技術情報を入手するために、Cisco Notification Service（Field Notice からアクセス）、Cisco Technical Services Newsletter、Really Simple Syndication（RSS）フィードなどの各種サービスに加入できます。 シスコのサポート Web サイトのツールにアクセスする際は、Cisco.com のユーザ ID およびパスワードが必要です。 |
フィードバック