Cisco TrustSec スイッチコンフィギュレーションガイド Cisco Catalyst スイッチについて

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ

このマニュアル内で検索

ご利用いただける言語

Download Options

Book Title

Cisco TrustSec スイッチコンフィギュレーションガイド Cisco Catalyst スイッチについて

Chapter Title

SGACL ポリシーの設定

PDF - Complete Book (2.7 MB) PDF - This Chapter (569.0 KB)
View with Adobe Reader on a variety of devices

検索結果

Updated:: 2017年6月11日

章のタイトル： SGACL ポリシーの設定

SGACL ポリシーの設定

SGACL ポリシーの設定

ここでは、次の内容について説明します。

• 「SGACL ポリシーの設定プロセス」

• 「SGACL ポリシーの強制のイネーブル化」

• 「VLAN に対する SGACL ポリシーの強制のイネーブル化」

• 「SGACL ポリシーの手動設定」

• 「手動で SGACL ポリシーを適用する方法」

• 「SGACL ポリシーの表示」

• 「ダウンロードされた SGACL ポリシーのリフレッシュ」

SGACL ポリシーの設定プロセス

Cisco TrustSec の SGACL ポリシーを設定してイネーブルにするには、次の手順を実行します。

ステップ 1

SGACL ポリシーの設定は、主に Cisco Secure ACS または Cisco Identity Services Engine のポリシー管理機能を使用して行う必要があります（『 Configuration Guide for the Cisco Secure ACS 』または『 Cisco Identity Services Engine User Guide 』を参照）。

Cisco Secure ACS または Cisco ISE での SGACL ポリシー設定のダウンロードに AAA を使用していない場合、またはローカルポリシーが短期間必要な場合は、SGACL のマッピングとポリシーを手動で設定することもできます（「SGACL ポリシーの手動設定」および「SGACL ポリシーの手動設定」を参照）。

（注） ACS から動的にダウンロードされた SGACL ポリシーは、競合のローカル定義されたポリシーよりも優先されます。

ステップ 2 ルーテッドポートの出力トラフィックに対する SGACL ポリシーの強制をイネーブルにするには、「SGACL ポリシーの強制のイネーブル化」に記載されているように、SGACL ポリシー強制をイネーブルにします。

ステップ 3 VLAN 内のスイッチングされたトラフィック、または VLAN に関連付けられた SVI に転送されるトラフィックに対して SGACL ポリシーの強制をイネーブルにするには、「VLAN に対する SGACL ポリシーの強制のイネーブル化」の説明に従って、特定の VLAN に対して SGACL ポリシーの強制をイネーブルにします。

SGACL ポリシーの強制のイネーブル化

機能	履歴
12.2(50) SY	この機能が、Catalyst 6500 シリーズスイッチに追加されました。

Cisco TrustSec をイネーブルにしたルーテッドインターフェイスで SGACL ポリシーの強制をグローバルにイネーブルにする必要があります。

ルーテッドインターフェイスの SGACL ポリシーの強制をイネーブルにするには、次の作業を行います。

	コマンド	目的
ステップ 1	Router# configure terminal	グローバルコンフィギュレーションモードを開始します。
ステップ 2	Router(config)# cts role-based enforcement	ルーテッドインターフェイスで Cisco TrustSec SGACL ポリシーの強制をイネーブルにします。

次に、Cisco TrustSec をイネーブルにしたルーテッドインターフェイスの SGACL ポリシーの強制をグローバルにイネーブルにする例を示します。

Router# configure terminal

Router(config)# cts role-based enforcement

Router(config)# exit

VLAN に対する SGACL ポリシーの強制のイネーブル化

機能	履歴
12.2(50) SY	この機能が、Catalyst 6500 シリーズスイッチに追加されました。

VLAN 内のスイッチングされたトラフィック、または VLAN に関連付けられた SVI に転送されるトラフィックに対してアクセスコントロールを適用するには、特定の VLAN に対して SGACL ポリシーの強制をイネーブルにする必要があります。

VLAN または VLAN リスト内で、SGACL ポリシーの強制をイネーブルにするには、次の作業を行います。

	コマンド	目的
ステップ 1	Router# configure terminal	グローバルコンフィギュレーションモードを開始します。
ステップ 2	Router(config)# cts role-based enforcement vlan-list vlan-list	VLAN または VLAN リストで Cisco TrustSec SGACL ポリシーの強制をイネーブルにします。

次に、VLAN リスト内で、SGACL ポリシーの強制をイネーブルにする例を示します。

Router# configure terminal

Router(config)# cts role-based enforcement vlan-list 31-35,41

Router(config)# exit

SGACL ポリシーの手動設定

機能	履歴
12.2(50) SY	この機能が、Catalyst 6500 シリーズスイッチに追加されました。

SGACL ポリシーの設定は、主に Cisco Secure ACS または Cisco ISE のポリシー管理機能を使用して行う必要がありますが、Cisco ACS または Cisco ISE が使用できないか、またはローカルポリシーが短期間必要な場合は、スイッチで手動で SGACL ポリシーを設定できます。

（注）ポリシーで使用する前に SGACL を作成する必要があります。

（注） ACS から動的にダウンロードされた SGACL ポリシーは、競合のローカル定義されたポリシーよりも優先されます。

IPv4 ポリシーの設定

IPv4 SGACL ポリシーを手動で設定するには、次の作業を行います。

	コマンド	目的
ステップ 1	Router# configure terminal	グローバルコンフィギュレーションモードを開始します。
ステップ 2	Router(config)# ip access-list role-based sgacl-name	名前付き SGACL を作成して、ロールベース ACL コンフィギュレーションモードを開始します。
ステップ 3	Router(config-rb-acl)# [ sequence-number \| no ] { permit \| deny } protocol [ option option-name ] {[ precedence precedence ] [ tos tos ] \| [ dscp dscp ]} [ log ] [ fragments ]	SGACL のアクセスコントロールエントリ（ACE）を指定します。拡張名前付きアクセスリストコンフィギュレーションモードで使用可能なコマンドおよびオプションの大部分を、送信元および宛先フィールドを省略して使用できます。次の ACE コマンドまたはキーワードはサポートされていません。 • reflect • evaluate • time-range
	Router(config-rb-acl)# [ sequence-number \| no ] [ permit \| deny ] icmp [ icmp-type [ icmp-code ] \| icmp-message ] {[ precedence precedence ] [ tos tos ] \| [ dscp dscp ]} [ log ] [ fragments ]
	Router(config-rb-acl)# [ sequence-number \| no ] { permit \| deny } tcp [ src operator { src-port }+] [ dst operator { dst-port }+] {[ precedence precedence ] [ tos tos ] \| [ dscp dscp ]} [ log ] [ fragments ] [ established \| {{ match-any \| match-all } {{+ \| -} flag-name }+]
	Router(config-rb-acl)# [ sequence-number \| no ] { permit \| deny } udp [ src operator { src-port }+] [ dst operator { dst-port }+] {[ precedence precedence ] [ tos tos ] \| [ dscp dscp ]} [ log ] [ fragments ]
	Router(config-rb-acl)# [ sequence-number \| no ] { permit \| deny } igmp [ igmp-type ] {[ precedence precedence ] [ tos tos ] \| [ dscp dscp ]} [ log ] [ fragments ]
ステップ 4	Router(config-rb-acl)# exit	ACL コンフィギュレーションモードを終了します。

次に、IPv4 SGACL ポリシーを設定および確認する例を示します。

Router(config)# ip access-list role-based RBAC2

Router(config-rb-acl)# permit tcp src eq 10 dst eq 20

Router(config-rb-acl)# permit udp src range 3100 4200

Router(config-rb-acl)# end

Router# show ip access-lists RBAC2

Role-based IP access list RBAC2

10 permit tcp src eq 10 dst eq ftp-data

20 permit udp src range 3100 4200

IPv6 ポリシーの設定

IPv6 SGACL ポリシーを手動で設定するには、次の作業を行います。

	コマンド	目的
ステップ 1	Router# configure terminal	グローバルコンフィギュレーションモードを開始します。
ステップ 2	Router(config)# ipv6 access-list role-based sgacl-name	名前付き IPv6 SGACL を作成して、IPv6 ロールベース ACL コンフィギュレーションモードを開始します。
ステップ 3	Router(config-ipv6rb-acl)# [ no ] { permit \| deny } protocol [ dest-option \| dest-option-type { doh-number \| doh-type }] [ dscp cp-value ] [ flow-label fl-value ] [ mobility \| mobility-type { mh-number \| mh-type }] [ routing \| routing-type routing-number ] [ fragments ] [ log \| log-input ] [ sequence seqno ]	IPv6 SGACL のアクセスコントロールエントリ（ACE）を指定します。拡張名前付きアクセスリストコンフィギュレーションモードで使用可能なコマンドおよびオプションの大部分を、送信元および宛先フィールドを省略して使用できます。次の ACE コマンドまたはキーワードはサポートされていません。 • reflect • evaluate • time-range
ステップ 4	Router(config-ipv6rb-acl)# exit	IPv6 ACL コンフィギュレーションモードを終了します。

手動で SGACL ポリシーを適用する方法

機能	履歴
12.2(50) SY	この機能が、Catalyst 6500 シリーズスイッチに追加されました。

手動で SGACL ポリシーを適用するには、次の作業を行います。

コマンド

目的

ステップ 1

Router# configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

Router(config)# cts role-based permissions default [ ipv4 | ipv6 ] sgacl-name1 [ sgacl-name2 [ sgacl-name3 ...]]]

デフォルト SGACL を指定します。デフォルトポリシーは明示的なポリシーが送信元と宛先セキュリティグループの間にない場合に適用されます。

ステップ 3

Router(config)# cts role-based permissions from { source-sgt | unknown } to { dest-sgt | unknown } [ ipv4 | ipv6 ] sgacl-name1 [ sgacl-name2 [ sgacl-name3 ...]]]

送信元セキュリティグループ（SGT）と宛先セキュリティグループ（DGT）に適用する SGACL を指定します。 source-sgt と dest-sgt の値範囲は 1 ～ 65533 です。デフォルトでは、SGACL は IPv4 であると見なされます。

• from ：送信元 SGT を指定します。

• to ：宛先セキュリティグループを指定します。

• unknown ：SGACL がセキュリティグループ（送信元または宛先）を特定できないパケットに適用されます。

（注） ACS から動的にダウンロードされた SGACL ポリシーは、競合の手動ポリシーよりも優先されます。

次に、手動でデフォルトおよびカスタム SGACL ポリシーを適用する例を示します。

Router# configure terminal

Router(config)# cts role-based permissions default MYDEFAULTSGACL

Router(config)# cts role-based permissions from 3 to 5 SRB3 SRB5

Router(config)# exit

SGACL ポリシーの表示

Cisco TrustSec デバイスクレデンシャルと AAA の設定後、認証サーバからダウンロードされたか、または手動で設定された Cisco TrustSec SGACL ポリシーを検証できます。Cisco TrustSec は、インターフェイスに対する認証および許可、SXP、または IP アドレスおよび SGT の手動マッピングによって新しい SGT を学習すると、SGACL ポリシーをダウンロードします。

SGACL ポリシーの許可マトリクスの内容を表示するには、次の作業を行います。

	コマンド	目的
ステップ 1	Router# show cts role-based permissions default [ ipv4 \| ipv6 \| details ]	デフォルトポリシーの SGACL のリストを表示します。
ステップ 1	Router# show cts role-based permissions [ from { source-sgt \| unknown }] [ to { dest-sg \| unknown }] [ ipv4 \| ipv6 ] [ details ]	認証サーバからダウンロードされた、またはスイッチに手動で設定された SGACL を含め、許可マトリクスの内容を表示します。

キーワードを使用して、許可マトリクスの全部または一部を表示できます。

• from キーワードを省略すると、許可マトリクスのカラムが表示されます。

• to キーワードを省略すると、許可マトリクスの行が表示されます。

• from および to キーワードを省略すると、許可マトリクス全体が表示されます。

• from および to キーワードが指定されている場合、許可マトリクスから 1 つのセルが表示され、 details キーワードを使用できます。 details が入力された場合、1 つのセルの SGACL の ACE が表示されます。

次に、セキュリティグループ 3 から送信されたトラフィックの SGACL ポリシーの許可マトリクスの内容を表示する例を示します。

Router# show cts role-based permissions from 3

Role-based permissions from group 3 to group 5:

SRB3

SRB5

Role-based permissions from group 3 to group 7:

SRB4

ダウンロードされた SGACL ポリシーのリフレッシュ

認証サーバによりスイッチにダウンロードされた SGACL ポリシーをリフレッシュするには、次の作業を行います。

	コマンド	目的
ステップ 1	Router# cts refresh policy { peer [ peer-id ] \| sgt [ sgt_number \| default \| unknown ]}	認証サーバからの SGACL ポリシーの即時リフレッシュを実行します。 • peer-id が指定される場合、指定されたピア接続に関連するポリシーだけがリフレッシュされます。すべてのピアポリシーを更新するには、ID を指定しないで Enter を押します。 • SGT 番号が指定されている場合、その SGT に関連するポリシーだけがリフレッシュされます。すべてのセキュリティグループタグポリシーをリフレッシュするには、SGT 番号を指定せずに Enter を押します。デフォルトポリシーをリフレッシュするには、default を選択します。不明なポリシーをリフレッシュするには、unknown を選択します。

コマンド

目的

ステップ 1

Router# cts refresh policy { peer [ peer-id ] | sgt [ sgt_number | default | unknown ]}

認証サーバからの SGACL ポリシーの即時リフレッシュを実行します。

• peer-id が指定される場合、指定されたピア接続に関連するポリシーだけがリフレッシュされます。すべてのピアポリシーを更新するには、ID を指定しないで Enter を押します。

• SGT 番号が指定されている場合、その SGT に関連するポリシーだけがリフレッシュされます。すべてのセキュリティグループタグポリシーをリフレッシュするには、SGT 番号を指定せずに Enter を押します。デフォルトポリシーをリフレッシュするには、default を選択します。不明なポリシーをリフレッシュするには、unknown を選択します。

このドキュメントは役に立ちましたか?

フィードバック

シスコに問い合わせ

サポートケースをオープン
(シスコサービス契約が必要です。)

Cisco TrustSec スイッチ コンフィギュレーション ガイド Cisco Catalyst スイッチについて

偏向のない言語

翻訳について

検索結果

章のタイトル： SGACL ポリシーの設定

SGACL ポリシーの設定

SGACL ポリシーの設定

SGACL ポリシーの設定プロセス

SGACL ポリシーの強制のイネーブル化

VLAN に対する SGACL ポリシーの強制のイネーブル化

SGACL ポリシーの手動設定

IPv4 ポリシーの設定

IPv6 ポリシーの設定

手動で SGACL ポリシーを適用する方法

SGACL ポリシーの表示

ダウンロードされた SGACL ポリシーのリフレッシュ

このドキュメントは役に立ちましたか?

シスコに問い合わせ

Cisco TrustSec スイッチコンフィギュレーションガイド Cisco Catalyst スイッチについて