[index] CentreCOM IE200シリーズ コマンドリファレンス 5.5.0
Note標準IPアクセスリスト、標準IPv6アクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
NoteSNMPアクセス制御を使用するとき、アクセスリストのDenyアクションが動作しません。
NoteAMFとアクセスリストを併用する場合、AMFマネージメントサブネット（atmf management subnet）内の通信を許可するようにしてください。
| 1～99、1300～1999 | access-list(standard)コマンド | |
| 名前（文字列） | access-list standardコマンド | |
| 名前（文字列） | ipv6 access-list standardコマンド | |
| 3000～3699 | access-list(hardware ip)コマンド | |
| 4000～4699 | access-list(hardware mac)コマンド | |
| 名前（文字列） | ipv6 access-list(list)コマンド | |
access-list 1 deny 192.168.10.0 0.0.0.255 access-list 1 permit any
access-list 1 10 deny 192.168.10.0 0.0.0.255 20 permit anyなお、ハードウェアアクセスリストでのサブモード指定は、LISTNAMEで作成した時のみ可能です。
NoteハードウェアIPv6アクセスリストはシーケンス番号対応版しか存在しません。
| access-list(standard)コマンド | access-list(standard)(list)コマンド、access-list(standard)(seq entry)コマンド | |
| access-list standardコマンド | access-list standard(list)コマンド、access-list standard(seq entry)コマンド | |
| ipv6 access-list standardコマンド | ipv6 access-list standard(list)コマンド、ipv6 access-list standard(seq entry)コマンド | |
| access-list(hardware ip)コマンド | access-list hardware(list)コマンド、access-list hardware(seq entry)コマンド | |
| access-list(hardware mac)コマンド | access-list hardware(list)コマンド、access-list hardware(seq entry)コマンド | |
| なし | ipv6 access-list(list)コマンド、ipv6 access-list(seq entry)コマンド | |
Note標準IPアクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
Note番号付き標準IPアクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list 1 permit host 192.168.10.2 ↓ awplus(config)# access-list 1 permit host 192.168.20.2 ↓
awplus(config)# access-list 2 deny 192.168.30.0 0.0.0.255 ↓ awplus(config)# access-list 2 permit any ↓
Note名前付き標準IPアクセスリストにはexact-matchというオプションがありますが、これは経路エントリーを対象とするときだけ意味を持つオプションなので、ここでは触れません。
Note名前付き標準IPアクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list standard n1 permit 192.168.10.2/32 ↓ awplus(config)# access-list standard n1 permit 192.168.20.2/32 ↓
awplus(config)# access-list standard n2 deny 192.168.30.0/24 ↓ awplus(config)# access-list standard n2 permit any ↓
Note標準IPv6アクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
Note名前付き標準IPv6アクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# ipv6 access-list standard gb deny ff1e::d017/128 ↓ awplus(config)# ipv6 access-list standard gb permit any ↓
awplus(config)# ipv6 access-list standard gj permit ff1e::bf:109f/128 ↓ awplus(config)# ipv6 access-list standard gj permit ff1e::bf:110e/128 ↓
Hardware IPv6 access list ipv6_hw_name
10 deny icmp fe80::200:3ff:fe00:200/96 any
20 deny ipv6 fe80::200:3ff:fe00:200/96 any
30 deny ipv6 any 3555:5555:6666:6666:7777:7778:8888:8888/96
40 deny udp fe80::200:3ff:fe00:200/96 eq 74 any
50 deny ipv6 2001:db8:10:10::100/128 2001:db8:10:10::1/128
60 deny proto 51 fe80::200:3ff:fe00:200/96 any
70 deny tcp any any
80 permit tcp 2010:db8:10:10::100/128 eq 17 2020:db8:10:10::100/128 eq 44
Noteひとつのインターフェースに複数のアクセスリストが存在する場合は、アクセスリストごとに1～6番目がファーストフィット、7番目以降がベストフィットで動作します。
また、7個以上のルールを持つアクセスリストを、スイッチポートに設定している状態で起動/編集した場合には、上記の仕様を意味するログが出力されます。
13:11:22 awplus HSL[697]: Due to resource limitations only the first 6 rules in ACL acl1 will enforce priority
NoteハードウェアIPアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。
awplus(config)# access-list 3000 deny ip 192.168.10.100/32 192.168.10.1/32 ↓
awplus(config)# access-list 3001 deny tcp any 192.168.10.1/32 eq 80 ↓
awplus(config)# access-list 3002 deny icmp 192.168.20.0/24 192.168.10.1/32 icmp-type 8 ↓
NoteハードウェアIPv6アクセスリストはシーケンス番号対応版しか存在しません。
NoteハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定が「ipv4-full-ipv6」になっている必要があります。初期設定の「ipv4-limited-ipv6」でもハードウェアIPv6アクセスリストは使用できますが、「ipv4-limited-ipv6」では始点・終点IPv6アドレスの指定ができないため、限られた使い方しかできません。ハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定を「ipv4-full-ipv6」に変更し、設定を保存した上で、システムを再起動してください。以下の説明は「ipv4-full-ipv6」で動作していることを前提としています。
NoteハードウェアIPv6アクセスリストは複数のエントリーから構成されるリストですが、ハードウェアIPアクセスリスト、ハードウェアMACアクセスリストと同様に、暗黙のdenyエントリーは存在しません。そのため、どのエントリーともマッチしなかったパケットはpermitされます。
awplus(config)# ipv6 access-list deny100to1 ↓ awplus(config-ipv6-hw-acl)# deny ipv6 2001:db8:10:10::100/128 2001:db8:10:10::1/128 ↓
awplus(config)# ipv6 access-list deny1tcp80 ↓ awplus(config-ipv6-hw-acl)# deny tcp any 2001:db8:10:10::1/128 eq 80 ↓
awplus(config)# ipv6 access-list deny1ping ↓ awplus(config-ipv6-hw-acl)# deny icmp 2001:db8:10:20::/64 2001:db8:10:10::1/128 icmp-type 128 ↓
NoteハードウェアMACアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。
NoteハードウェアMACアクセスリストを設定しても、ハードウェアパケットフィルターではARPブロードキャスト（宛先MACアドレス ffff.ffff.ffff、プロトコルタイプ 0x0806）が破棄されません。ARPブロードキャストを破棄するにはポリシーマップを使用してください。
NoteIPv6パケットに対するハードウェアMACアクセスリストは未サポートです。
awplus(config)# access-list 4000 deny 000a.7934.0b33 0000.0000.0000 any ↓
awplus(config)# access-list 4001 deny 0011.2233.4455 0000.0000.0000 000a.7934.0b33 0000.0000.0000 ↓
(C) 2016 - 2020 アライドテレシスホールディングス株式会社
PN: 613-002310 Rev.S