[index] CentreCOM x210シリーズ コマンドリファレンス 5.4.3

トラフィック制御 / アクセスリスト

Note - スタティックトランクグループに QoS の設定をした場合、スタティックトランクグループではないポートに QoS の設定ができません。同様に、スタティックトランクグループではないポートにQoSの設定をするとスタティックトランクグループに QoS の設定ができません。ただし、スタティックトランクグループに QoS、それ以外のポートにアクセスリストの設定、または、スタティックトランクグループに アクセスリスト、それ以外のポートにQoSの設定は可能です。

表 1：アクセスリストの種類と用途

アクセスリストの種類	アクセスリストを利用する機能	用途
標準IPアクセスリスト	SNMP	SNMPコミュニティーへのアクセス制御
	NTP	NTPサービスへのアクセス制御
標準IPv6アクセスリスト	MLD Snooping	参加可能なマルチキャストグループの制限
		各種機能の設定対象となるマルチキャストグループの指定
ハードウェアアクセスリスト	ハードウェアパケットフィルター	受信スイッチポートにおけるパケットフィルタリング
	Quality of Service（QoS）	受信スイッチポートにおけるトラフィック分類

Note - 標準IPアクセスリストと標準IPv6アクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。なお、本製品は現在IPv6のパケットフィルタリングには対応していません。

Note - SNMPアクセス制御を使用するとき、アクセスリストのDenyアクションが動作しません。

表 2：アクセスリストの種類と識別子および設定コマンド

アクセスリストの種類	識別子	設定コマンド
標準IPアクセスリスト
番号付き標準IPアクセスリスト	1〜99、1300〜1999	access-list(standard)コマンド
標準IPv6アクセスリスト
名前付き標準IPv6アクセスリスト	名前（文字列）	ipv6 access-list standardコマンド
ハードウェアアクセスリスト
ハードウェアIPアクセスリスト	3000〜3699	access-list(hardware ip)コマンド
ハードウェアMACアクセスリスト	4000〜4699	access-list(hardware mac)コマンド

• 逐次指定
  以下のように、設定対象のリストと個々のルールを毎回指定します。
  

  access-list 1 deny 192.168.10.0 0.0.0.255 access-list 1 permit any

• サブモード指定（シーケンス番号対応）
  最初にリスト指定を行いサブモードに入ったあと、個々のルールを指定します。また、ルール指定時にシーケンス番号を指定することで、リスト内の位置を指定できます。
  

  access-list 1 10 deny 192.168.10.0 0.0.0.255 20 permit any

  なお、ハードウェアアクセスリストでのサブモード指定は、LISTNAMEで作成した時のみ可能です。
  

表 3：コマンド形式（シーケンス番号対応）

アクセスリストの種類	逐次指定	サブモード指定（シーケンス番号対応）
標準IPアクセスリスト
番号付き標準IPアクセスリスト	access-list(standard)コマンド	access-list(standard)(list)コマンド、access-list(standard)(seq entry)コマンド
標準IPv6アクセスリスト
名前付き標準IPv6アクセスリスト	ipv6 access-list standardコマンド	ipv6 access-list standard(list)コマンド、ipv6 access-list standard(seq entry)コマンド
ハードウェアアクセスリスト
ハードウェアIPアクセスリスト	access-list(hardware ip)コマンド	access-list hardware(list)コマンド、access-list hardware(seq entry)コマンド
ハードウェアMACアクセスリスト	access-list(hardware mac)コマンド	access-list hardware(list)コマンド、access-list hardware(seq entry)コマンド

Note - 標準IPアクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。

Note - 番号付き標準IPアクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。

• 192.168.10.2と192.168.20.2にだけアクセスを許可する。
  

  awplus(config)# access-list 1 permit host 192.168.10.2 ↓ awplus(config)# access-list 1 permit host 192.168.20.2 ↓

  
  
• 192.168.30.0/24からのアクセスを拒否し、その他は許可する。
  

  awplus(config)# access-list 2 deny 192.168.30.0 0.0.0.255 ↓ awplus(config)# access-list 2 permit any ↓

Note - 標準IPv6アクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。なお、本製品は現在IPv6のパケットフィルタリングには対応していません。

Note - 名前付き標準IPv6アクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。

• マルチキャストグループアドレス「ff1e::d017」を拒否し、その他は許可する。
  

  awplus(config)# ipv6 access-list standard gb deny ff1e::d017/128 ↓ awplus(config)# ipv6 access-list standard gb permit any ↓

  
  
• マルチキャストグループアドレス「ff1e::bf:109f」と「ff1e::bf:110e」だけを許可する。
  

  awplus(config)# ipv6 access-list standard gj permit ff1e::bf:109f/128 ↓ awplus(config)# ipv6 access-list standard gj permit ff1e::bf:110e/128 ↓

• IPヘッダー以降を見るもの: access-list(hardware ip)コマンド
  
• Ethernetヘッダーだけを見るもの: access-list(hardware mac)コマンド
  

Note - ハードウェアIPアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。

• 192.168.10.100から192.168.10.1へのIPパケットを拒否する。
  

  awplus(config)# access-list 3000 deny ip 192.168.10.100/32 192.168.10.1/32 ↓

  
  
• 192.168.10.1のTCP80番ポートへのアクセスを拒否する。
  

  awplus(config)# access-list 3001 deny tcp any 192.168.10.1/32 eq 80 ↓

  
  
• 192.168.20.0/24から192.168.10.1へのPingを拒否する。
  

  awplus(config)# access-list 3002 deny icmp 192.168.20.0/24 192.168.10.1/32 icmp-type 8 ↓

Note - ハードウェアMACアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。

• MACアドレス00-0a-79-34-0b-33からのパケットを拒否する。
  

  awplus(config)# access-list 4000 deny 000a.7934.0b33 0000.0000.0000 any ↓

  
  
• MACアドレス00-11-22-33-44-55から00-0a-79-34-0b-33へのパケットを拒否する。
  

  awplus(config)# access-list 4001 deny 0011.2233.4455 0000.0000.0000 000a.7934.0b33 0000.0000.0000 ↓

• SNMPコミュニティーへのアクセス制御：snmp-server communityコマンド
  
• NTPサービスへのアクセス制御：ntp access-groupコマンド
  

• MLD Snoopingにおけるグループ参加のフィルタリング：ipv6 mld access-groupコマンド
  

• MLD Snoopingにおける登録可能グループ数制限の除外対象指定：ipv6 mld limitコマンド、ipv6 mld limitコマンド
  

• 受信スイッチポートにおけるパケットフィルタリング：access-groupコマンド（インターフェースモード）
  
• 受信スイッチポートにおけるトラフィック分類（Quality of Service）：match access-groupコマンド
  

(C) 2012 - 2013 アライドテレシスホールディングス株式会社

PN: 613-001681 Rev.D