[index] CentreCOM Secure HUB GS970EMXシリーズ コマンドリファレンス 5.5.4
Noteまた、本解説編では、経路情報のフィルタリングを目的としたアクセスリストの作成方法については説明しません。アクセスリストを作成するときの基本的な考え方はどの機能においてもほぼ共通ですが、経路情報をフィルタリングするときだけは若干異なる考え方が必要になるためです。経路フィルタリングにおけるアクセスリストの作成方法と使用方法については、「IP」の「経路制御（フィルタリング）」をご覧ください。
Note標準IPアクセスリスト、拡張IPアクセスリスト、標準IPv6アクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
NoteSNMPアクセス制御を使用するとき、アクセスリストのDenyアクションが動作しません。
NoteAMFとアクセスリストを併用する場合、AMFマネージメントサブネット（atmf management subnet）内の通信を許可するようにしてください。
| 1～99、1300～1999 | access-list(standard)コマンド | |
| 名前（文字列） | access-list standardコマンド | |
| 100～199、2000～2699 | access-list(extended)コマンド | |
| 名前（文字列） | access-list extendedコマンド | |
| 名前（文字列） | ipv6 access-list standardコマンド | |
| 3000～3699 | access-list(hardware ip)コマンド | |
| 4000～4699 | access-list(hardware mac)コマンド | |
| 名前（文字列） | ipv6 access-list(list)コマンド | |
access-list 1 deny 192.168.10.0 0.0.0.255 access-list 1 permit any
access-list 1 10 deny 192.168.10.0 0.0.0.255 20 permit anyなお、ハードウェアアクセスリストでのサブモード指定は、LISTNAMEで作成した時のみ可能です。
NoteハードウェアIPv6アクセスリストはシーケンス番号対応版しか存在しません。
| access-list(standard)コマンド | access-list(standard)(list)コマンド、access-list(standard)(seq entry)コマンド | |
| access-list standardコマンド | access-list standard(list)コマンド、access-list standard(seq entry)コマンド | |
| access-list(extended)コマンド | access-list(extended)(list)コマンド、access-list(extended)(seq entry)コマンド | |
| access-list extendedコマンド | access-list extended(list)コマンド、access-list extended(seq entry)コマンド | |
| ipv6 access-list standardコマンド | ipv6 access-list standard(list)コマンド、ipv6 access-list standard(seq entry)コマンド | |
| access-list(hardware ip)コマンド | access-list hardware(list)コマンド、access-list hardware(seq entry)コマンド | |
| access-list(hardware mac)コマンド | access-list hardware(list)コマンド、access-list hardware(seq entry)コマンド | |
| なし | ipv6 access-list(list)コマンド、ipv6 access-list(seq entry)コマンド | |
Note経路フィルタリングを目的としたアクセスリストの作成方法についてはここでは触れません。「IP」の「経路制御（フィルタリング）」をご覧ください（「IP」の章ですが、共通のコマンドが多いため同章ではIPv6の経路フィルタリングについても触れています）。
Note標準IPアクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
Note番号付き標準IPアクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list 1 permit host 192.168.10.2 ↓ awplus(config)# access-list 1 permit host 192.168.20.2 ↓
awplus(config)# access-list 2 deny 192.168.30.0 0.0.0.255 ↓ awplus(config)# access-list 2 permit any ↓
Note名前付き標準IPアクセスリストにはexact-matchというオプションがありますが、これは経路エントリーを対象とするときだけ意味を持つオプションなので、ここでは触れません。
Note名前付き標準IPアクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list standard n1 permit 192.168.10.2/32 ↓ awplus(config)# access-list standard n1 permit 192.168.20.2/32 ↓
awplus(config)# access-list standard n2 deny 192.168.30.0/24 ↓ awplus(config)# access-list standard n2 permit any ↓
Note拡張IPアクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
Note名前付き拡張IPアクセスリスト（access-list extendedコマンド）では、分類条件としてプロトコルやポート番号、ICMPメッセージタイプなどを指定することもできますが、現状これらは使用しません。
Note番号付き拡張IPアクセスリストの末尾には「deny ip any any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list 100 deny ip host 172.16.10.100 any ↓ awplus(config)# access-list 100 permit ip any any ↓
Note名前付き拡張IPアクセスリスト（access-list extendedコマンド）では、分類条件としてプロトコルやポート番号、ICMPメッセージタイプなどを指定することもできますが、現状これらは使用しません。
Note名前付き拡張IPアクセスリストの末尾には「deny any any any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list extended only105 permit ip 172.16.10.5/32 any ↓
Note標準IPv6アクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
Note名前付き標準IPv6アクセスリストにはexact-matchというオプションがありますが、これは経路エントリーを対象とするときだけ意味を持つオプションなので、ここでは触れません。
Note名前付き標準IPv6アクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# ipv6 access-list standard gb deny ff1e::d017/128 ↓ awplus(config)# ipv6 access-list standard gb permit any ↓
awplus(config)# ipv6 access-list standard gj permit ff1e::bf:109f/128 ↓ awplus(config)# ipv6 access-list standard gj permit ff1e::bf:110e/128 ↓
NoteハードウェアIPアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。
awplus(config)# access-list 3000 deny ip 192.168.10.100/32 192.168.10.1/32 ↓
awplus(config)# access-list 3001 deny tcp any 192.168.10.1/32 eq 80 ↓
awplus(config)# access-list 3002 deny icmp 192.168.20.0/24 192.168.10.1/32 icmp-type 8 ↓
NoteハードウェアIPv6アクセスリストはシーケンス番号対応版しか存在しません。
NoteハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定が「ipv4-full-ipv6」になっている必要があります。初期設定の「ipv4-limited-ipv6」でもハードウェアIPv6アクセスリストは使用できますが、「ipv4-limited-ipv6」では始点・終点IPv6アドレスの指定ができないため、限られた使い方しかできません。ハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定を「ipv4-full-ipv6」に変更し、設定を保存した上で、システムを再起動してください。以下の説明は「ipv4-full-ipv6」で動作していることを前提としています。
NoteハードウェアIPv6アクセスリストは複数のエントリーから構成されるリストですが、ハードウェアIPアクセスリスト、ハードウェアMACアクセスリストと同様に、暗黙のdenyエントリーは存在しません。そのため、どのエントリーともマッチしなかったパケットはpermitされます。
awplus(config)# ipv6 access-list deny100to1 ↓ awplus(config-ipv6-hw-acl)# deny ipv6 2001:db8:10:10::100/128 2001:db8:10:10::1/128 ↓
awplus(config)# ipv6 access-list deny1tcp80 ↓ awplus(config-ipv6-hw-acl)# deny tcp any 2001:db8:10:10::1/128 eq 80 ↓
awplus(config)# ipv6 access-list deny1ping ↓ awplus(config-ipv6-hw-acl)# deny icmp 2001:db8:10:20::/64 2001:db8:10:10::1/128 icmp-type 128 ↓
NoteハードウェアMACアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。
NoteハードウェアMACアクセスリストを設定しても、ハードウェアパケットフィルターではARPブロードキャスト（宛先MACアドレス ffff.ffff.ffff、プロトコルタイプ 0x0806）が破棄されません。ARPブロードキャストを破棄するにはポリシーマップを使用してください。
awplus(config)# access-list 4000 deny 000a.7934.0b33 0000.0000.0000 any ↓
awplus(config)# access-list 4001 deny 0011.2233.4455 0000.0000.0000 000a.7934.0b33 0000.0000.0000 ↓
access-list hardware sample1 deny tcp 10.1.1.1/32 any eq 10001 deny tcp 10.1.1.1/32 any eq 20001 deny tcp 10.1.1.1/32 any eq 30001 deny tcp 10.1.1.1/32 any eq 40001 deny tcp 10.1.1.1/32 any eq 50001 deny tcp 10.2.2.2/32 any eq 10001 deny tcp 10.2.2.2/32 any eq 20001 deny tcp 10.2.2.2/32 any eq 30001 deny tcp 10.2.2.2/32 any eq 40001 deny tcp 10.2.2.2/32 any eq 50001 deny tcp 10.3.3.3/32 any eq 10001 deny tcp 10.3.3.3/32 any eq 20001 deny tcp 10.3.3.3/32 any eq 30001 deny tcp 10.3.3.3/32 any eq 40001 deny tcp 10.3.3.3/32 any eq 50001
acl-group ip address HOST_GROUP ip 10.1.1.1/32 ip 10.2.2.2/32 ip 10.3.3.3/32 acl-group ip port PORT_GROUP eq 10001 eq 20001 eq 30001 eq 40001 eq 50001 access-list hardware sample2 deny tcp host-group HOST_GROUP any port-group PORT_GROUP事前にIPアドレス（IPホストグループHOST_GROUP）とポート番号（ポートグループPORT_GROUP）を定義する必要はありますが、アクセスリスト本体（エントリー）の記述はわずか一行で済んでいます。
awplus(config)# access-list hardware sample1 ↓ awplus(config-ip-hw-acl)# deny tcp 10.4.4.4/32 any eq 10001 ↓ awplus(config-ip-hw-acl)# deny tcp 10.4.4.4/32 any eq 20001 ↓ awplus(config-ip-hw-acl)# deny tcp 10.4.4.4/32 any eq 30001 ↓ awplus(config-ip-hw-acl)# deny tcp 10.4.4.4/32 any eq 40001 ↓ awplus(config-ip-hw-acl)# deny tcp 10.4.4.4/32 any eq 50001 ↓一方、ACLグループを利用しているsample2では、次のようにホストグループにIPアドレスを1つ追加するだけで、アクセスリスト本体（エントリー）は変更する必要がありません。
awplus(config)# acl-group ip address HOST_GROUP ↓ awplus(config-ip-host-group)# ip 10.4.4.4/32 ↓対象ポートの追加も同様にポートグループを編集するだけで済みます（ACLグループを利用しない場合はホストの数だけアクセスリストにエントリーを追加する必要があります）。
awplus(config)# acl-group ip port PORT_GROUP ↓ awplus(config-ip-port-group)# eq 60001 ↓
awplus(config)# acl-group ip port MX ↓ awplus(config-ip-port-group)# eq 25 ↓ awplus(config-ip-port-group)# eq 465 ↓ awplus(config-ip-port-group)# eq 587 ↓下記アクセスリスト内で始点ポート、終点ポートを指定するときに使用可能（ポート指定箇所で「port-group NAME」とする）
awplus(config)# acl-group ip address BANNED ↓ awplus(config-ip-host-group)# ip 192.168.1.58 ↓ awplus(config-ip-host-group)# ip 10.133.2.0/24 ↓下記アクセスリスト内で始点IPアドレス、終点IPアドレスを指定するときに使用可能（アドレス指定箇所で「host-group NAME」とする）
awplus(config)# acl-group ipv6 address SERVERS ↓ awplus(config-ipv6-host-group)# ipv6 2001:db8:10:10::5 ↓ awplus(config-ipv6-host-group)# ipv6 2001:db8:20:10::8 ↓下記アクセスリスト内で始点IPv6アドレス、終点IPv6アドレスを指定するときに使用可能（アドレス指定箇所で「host-group NAME」とする）
awplus(config)# access-list hardware MYACL ↓ awplus(config-ip-hw-acl)# deny tcp host-group IPHOST0 any port-group PORT0 ↓
awplus(config)# ipv6 access-list MYACLV6 ↓ awplus(config-ipv6-hw-acl)# deny udp host-group IPV6HOST0 any port-group PORT0 ↓
deny tcp host-group H1 any port-group P2
deny tcp host-group H1 host-group H2 port-group P2
deny tcp host-group H1 port-group P1 host-group H2 port-group P2
Note経路フィルタリングを目的としたアクセスリストの使用方法についてはここでは触れません。「IP」の「経路制御（フィルタリング）」をご覧ください（「IP」の章ですが、共通のコマンドが多いため同章ではIPv6の経路フィルタリングについても触れています）。
(C) 2021 - 2025 アライドテレシスホールディングス株式会社
PN: 613-003033 Rev.P