Catalyst 6500 シリーズ スイッチ ソフトウェア コンフィギュレーション ガイド

IP許可リストの設定

---

この章では、Catalyst 6500シリーズ スイッチにIP許可リストを設定する方法について説明します。

（注） IP許可リストの機能は、VLAN Access Control List（VACL;VLANアクセス制御リスト）を使用して実行することもできます。VACLはハードウェア（Policy Feature Card[PFC;ポリシー フィーチャ カード]）によって処理されるので、VACLのほうがIP許可リストに比べて、はるかに高速に処理されます。

（注） この章で使用しているコマンドの構文および使用方法の詳細については、『Catalyst 6500 Series Switch Command Reference』を参照してください。

この章で説明する内容は、次のとおりです。

• 「IP許可リストの機能」

• 「IP許可リストのデフォルト設定」

• 「スイッチにおけるIP許可リストの設定」

IP許可リストの機能

IP許可リストは、許可されていない送信元IPアドレスによるスイッチへの着信TelnetおよびSNMP（簡易ネットワーク管理プロトコル）アクセスを防止します。他のすべてのTCP/IPサービス（IP traceroute、IP pingなど）は、IP許可リストをイネーブルにしても、そのまま正常に動作します。発信Telnet、Trivial File Transfer Protocol（TFTP;簡易ファイル転送プロトコル）、およびその他のIPベース サービスは、IP許可リストの影響を受けません。

許可されていない送信元IPアドレスによるTelnetアクセスでは、接続が拒否されます。許可されていないIPアドレスからのSNMP要求には応答が戻されず、要求はタイムアウトになります。コンソールまたはSyslogサーバに対する無許可アクセスのロギングを希望する場合は、「IP許可リストのイネーブル化」の説明に従ってIPのロギング重大度を変更する必要があります。無許可アクセスの試行時にSNMPトラップが生成されるようにするには、「IP許可リストのイネーブル化」の説明に従ってIP許可リスト（ippermit）SNMPトラップをイネーブルにする必要があります。同じ無許可ホストから複数のアクセスが試みられた場合は、10分ごとに通知が生成されるだけです。

許可リストには最大100のエントリを設定できます。各エントリには、IPアドレスとサブネット マスクのペアをドット付き10進表記で指定すると共に、そのIPアドレスをSNMP許可リスト、Telnet許可リスト、または両方のリストのどれに入れるかを指定します。マスクで1に設定したビットは、着信パケットの送信元IPアドレスと一致するかどうかがチェックされます。ゼロに設定したビットはチェックされません。このプロセスでワイルドカード アドレスを指定できます。

IP許可リストのエントリにマスクを指定しなかった場合、またはIPアドレスの代わりにホスト名を指定した場合には、そのホストのIPアドレスだけと一致するように、マスクのすべてのビットが1（255.255.255.255または0xffffffff）であると仮定されます。

IPアドレスの許可リストの種類としてSNMPまたはTelnetを指定しない場合、そのIPアドレスは、SNMP許可リストおよびTelnet許可リストの両方に追加されます。

マスクが異なっていれば、許可リストの複数エントリに同じIPアドレスを指定することができます。アドレスは、マスクが適用されてからNVRAM（不揮発性RAM）に保管されるので、（たとえアドレスが違っていても）同じ結果となるエントリは保管されません。IP許可リストにこのようなアドレスを追加すると、マスクが適用されたアドレスが表示されます。

IP許可リストのデフォルト設定

表 34-1 に、IP許可リストのデフォルト設定を示します。

スイッチにおけるIP許可リストの設定

ここでは、IP許可リストを設定する方法について説明します。

• 「IP許可リストへのIPアドレスの追加」

• 「IP許可リストのイネーブル化」

• 「IP許可リストのディセーブル化」

• 「IP許可リスト エントリの削除」

IP許可リストのイネーブル化

SNMP許可リスト、Telnet許可リスト、または両方のリストをイネーブルに設定できます。許可リストを指定しない場合は、SNMP許可リストおよびTelnet許可リストの両方がイネーブルに設定されます。

---

注意 特にSNMPを使用して設定する場合には、IP許可リストをイネーブルにする前に、使用するワークステーションまたはネットワーク管理システムのIPアドレスがIP許可リストに追加されていることを確認してください。IPアドレスが追加されていないと、スイッチにより接続が切断されます。IP許可リストのエントリまたはホスト アドレスを削除する前に、IP許可リストをディセーブルにしてください。

---

スイッチのIP許可リストをイネーブルにするには、イネーブル モードで次の作業を行います。

 

	作業	コマンド
ステップ 1	IP許可リストをイネーブルにします。	set ip permit enable [ telnet | snmp | ssh ]
ステップ 2	必要な場合、IP許可トラップをイネーブルにし、無許可アクセスの試行についてトラップを生成します。	set snmp trap enable ippermit
ステップ 3	必要な場合、無許可アクセスのSyslogメッセージが表示されるよう、ロギング レベルを設定します。	set logging level ip 4 default
ステップ 4	IP許可リストの設定を確認します。	show ip permit show snmp

IP許可リストをイネーブルにし、設定を確認する例を示します。

Console> (enable) set ip permit enable

IP permit list enabled.

Console> (enable) set snmp trap enable ippermit

SNMP IP Permit traps enabled.

Console> (enable) set logging level ip 4 default

System logging facility <ip> set to severity 4(warnings)

Console> (enable) show ip permit

Telnet permit list feature enabled.

Snmp permit list feature disabled.

 

Permit List Mask Access-Type

---------------- --------------- ---------------

172.16.0.0 255.255.0.0 telnet

172.20.52.3 snmp telnet

172.20.52.32 255.255.255.224 snmp

 

Denied IP Address Last Accessed Time Type Telnet Count SNMP Count

----------------- ------------------ ------ ------------ ----------

172.100.101.104 01/20/97,07:45:20 SNMP 14 1430

172.187.206.222 01/21/97,14:23:05 Telnet 7 236

 

Console> (enable) show snmp

RMON: Disabled

Extended Rmon: Extended RMON module is not present

Traps Enabled:

ippermit

Port Traps Enabled: None

 

Community-Access Community-String

---------------- --------------------

read-only public

read-write private

read-write-all secret

 

Trap-Rec-Address Trap-Rec-Community

---------------------------------------- --------------------

Console> (enable)

 

IP許可リスト エントリの削除

SNMP許可リスト、Telnet許可リスト、または両方のリストから特定のIPアドレスを削除できます。どの許可リストからIPアドレスを削除するかを指定しない場合は、両方の許可リストからIPアドレスが削除されます。

---

注意 IP許可リストのエントリまたはホスト アドレスを削除する前に、必ずIP許可リストをディセーブルにしてください。現在使用中のIPアドレスを削除した場合に、設定対象のスイッチによって接続が切断されるのを防ぐためです。

---

IP許可リストのエントリを削除するには、イネーブル モードで次の作業を行います。

 

	作業	コマンド
ステップ 1	IP許可リストをディセーブルにします。	set ip permit disable [ telnet | snmp | ssh ]
ステップ 2	IP許可リストから削除するIPアドレスを指定します。	clear ip permit { ip_address [ mask ] | all } [ telnet | snmp | ssh ]
ステップ 3	IP許可リストの設定を確認します。	show ip permit

IP許可リストからエントリを削除する例を示します。

Console> (enable) set ip permit disable all

Console> (enable) clear ip permit 172.100.101.102

172.100.101.102 cleared from IP permit list.

Console> (enable) clear ip permit 172.160.161.0 255.255.192.0 snmp

172.160.128.0 with mask 255.255.192.0 cleared from snmp permit list.

Console> (enable) clear ip permit 172.100.101.102 telnet

172.100.101.102 cleared from telnet permit list.

Console> (enable) clear ip permit all

IP permit list cleared.

Console> (enable)