[index] CentreCOM x900シリーズ・SwitchBlade x908 コマンドリファレンス

トラフィック制御 / アクセスリスト 

  - アクセスリストの種類と用途
  - アクセスリストの作成
   - 標準IPアクセスリスト
    - 番号付き標準IPアクセスリスト
    - 名前付き標準IPアクセスリスト
   - 拡張IPアクセスリスト
    - 番号付き拡張IPアクセスリスト
    - 名前付き拡張IPアクセスリスト
   - ハードウェアアクセスリスト
    - ハードウェアIPアクセスリスト
    - ハードウェアMACアクセスリスト
  - アクセスリストの使用
   - 標準IPアクセスリスト
   - 拡張IPアクセスリスト
   - ハードウェアアクセスリスト
アクセスリストは、MACアドレス、IPアドレスなどのアドレス情報に基づいてパケットやトラフィック、アプリケーションセッション、経路エントリーなどを分類・識別し、分類後の処理を指定したり、設定対象IPアドレスを範囲指定したりするための汎用的な仕組みです。

本解説編では、アクセスリストの種類と用途について述べた後、アクセスリストの基本的な作成方法について解説します。

なお、アクセスリスト自体は基本的に分類・識別条件を定義するだけなので、単体では意味をなさず、他の機能と組み合わせて初めて効果を発揮しますが、本解説編では作成したアクセスリストの使用方法については軽く触れるだけにします。各機能におけるアクセスリストの具体的な使用方法については、該当機能の解説編やコマンドリファレンス編をご参照ください。

また、本解説編では、経路情報のフィルタリングを目的としたアクセスリストの作成方法については説明しません。アクセスリストを作成するときの基本的な考え方はどの機能においてもほぼ共通ですが、経路情報をフィルタリングするときだけは若干異なる考え方が必要になるためです。経路フィルタリングにおけるアクセスリストの作成方法と使用方法については、「IPルーティング」の「経路制御（フィルタリング）」をご覧ください。

アクセスリストの種類と用途

 アクセスリストには、大きく分けて「標準IPアクセスリスト」、「拡張IPアクセスリスト」、「ハードウェアアクセスリスト」の3種類があります。

次に示すように、これらはそれぞれ用途が分かれています。したがって、用途が決まれば使用すべきアクセスリストの種類も自動的に決まります。

表 1：アクセスリストの種類と用途
アクセスリストの種類
アクセスリストを利用する機能
用途
標準IPアクセスリスト SNMP SNMPコミュニティーへのアクセス制御
NTP NTPサービスへのアクセス制御
RIP/OSPF 経路情報のフィルタリング（経路エントリーの許可・破棄や属性変更）
PIM-SM 隣接関係の制御（隣接ルーターの制限）
各種機能の設定対象となるマルチキャストグループの指定
IGMP 参加可能なマルチキャストグループの制限
各種機能の設定対象となるマルチキャストグループの指定
拡張IPアクセスリスト PIM-SM ランデブーポイント（RP）におけるRegisterメッセージのフィルタリング
ハードウェアアクセスリスト ハードウェアパケットフィルター 受信スイッチポートにおけるパケットフィルタリング
Quality of Service（QoS） 受信スイッチポートにおけるトラフィック分類


Note - 標準IPアクセスリストと拡張IPアクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。

なお実際には、これら3種類のアクセスリストは、識別子（ID）として番号、文字列のどちらを使うか、あるいは、分類条件としてEthernetヘッダー、IPヘッダー以降のどちらを使うかの違いによって、さらにそれぞれ2つずつ小分類することができます。したがって、厳密にはアクセスリストの種類は次の6つとなります。

表 2：アクセスリストの種類と識別子および設定コマンド
アクセスリストの種類
識別子
設定コマンド
標準IPアクセスリスト
番号付き標準IPアクセスリスト 1〜99、1300〜1999 access-list(standard)コマンド
名前付き標準IPアクセスリスト 名前（文字列） access-list standardコマンド
拡張IPアクセスリスト
番号付き拡張IPアクセスリスト 100〜199、2000〜2699 access-list(extended)コマンド
名前付き拡張IPアクセスリスト 名前（文字列） access-list extendedコマンド
ハードウェアアクセスリスト
ハードウェアIPアクセスリスト 3000〜3699 access-list(hardware ip)コマンド
ハードウェアMACアクセスリスト 4000〜4699 access-list(hardware mac)コマンド


アクセスリストの作成

 以下では、アクセスリストの種類ごとに、その概要と作成方法について説明します。

Note - 経路フィルタリングを目的としたアクセスリストの作成方法についてはここでは触れません。「IPルーティング」の「経路制御（フィルタリング）」をご覧ください。

標準IPアクセスリスト

 標準IPアクセスリストは、IPアドレスを1つだけ指定できるアクセスリストです。
おもに、始点IPアドレスに基づいて、本装置上のサービス（NTPなど）に対するアクセスを制御する場合に使用します。また、マルチキャスト関連機能において、設定対象のグループアドレスを範囲指定する場合にも使用します。

Note - 標準IPアクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。

標準IPアクセスリストは複数のエントリーから構成されるリストで、検索はエントリーの追加順に行われます。検索時には、最初にマッチしたエントリーで処理（permitかdeny）が行われ、マッチした時点で検索は終了します。どのエントリーにもマッチしなかった場合はdenyとなります。

標準IPアクセスリストには、各リストを番号で識別するタイプと名前で識別するタイプがあり、それぞれ以下のコマンドで設定を行います。


両者は分類条件の指定方法が若干異なるだけで、アクセスリストを使用する各機能においてはどちらもほぼ同じように使用できます。ただし、機能によってはどちらか一方しか使えないものもありますので、詳細は各機能の解説編やコマンドリファレンス編で確認してください。

以下では、標準IPアクセスリストの作成方法について解説します。

標準IPアクセスリストを使って経路エントリーの分類・識別や制御を行う方法については、「IPルーティング」の「経路制御（フィルタリング）」をご覧ください。

番号付き標準IPアクセスリスト

 番号で識別するタイプの標準IPアクセスリストを作成するには、access-list(standard)コマンドを使います。標準IPアクセスリストには、1〜99、および、1300〜1999の範囲の番号を使います。

番号付き標準IPアクセスリストでは、通常始点IPアドレスに対してのみマッチングを行います。このとき、ワイルドカードマスク（リバースマスクまたはORマスクともいう）を使うことで、柔軟なアドレス指定が可能です。次にいくつか例を示します。

Note - 番号付き標準IPアクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。


名前付き標準IPアクセスリスト

 名前で識別するタイプの標準IPアクセスリストを作成するには、access-list standardコマンドを使います。

名前付き標準IPアクセスリストでは、通常始点IPアドレスに対してのみマッチングを行います。このとき、マスク長（ANDマスクともいう）を使うことで、柔軟なアドレス指定が可能です。次にいくつか例を示します。

Note - 名前付き標準IPアクセスリストにはexact-matchというオプションがありますが、これは経路エントリーを対象とするときだけ意味を持つオプションなので、ここでは触れません。

Note - 名前付き標準IPアクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。


拡張IPアクセスリスト

 拡張IPアクセスリストは、条件となるIPアドレスを2つ指定できるアクセスリストです。始点IPアドレスと終点IPアドレスに基づくアクセス制御やトラフィック分類が本来の用途ですが、本製品では、PIM-SMのランデブーポイントにおいてRegisterメッセージをフィルタリングするときにだけ拡張IPアクセスリストを使用します。

Note - 拡張IPアクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。

拡張IPアクセスリストは複数のエントリーから構成されるリストで、検索はエントリーの追加順に行われます。検索時には、最初にマッチしたエントリーで処理（permitかdeny）が行われ、マッチした時点で検索は終了します。どのエントリーにもマッチしなかった場合はdenyとなります。

拡張IPアクセスリストには、各リストを番号で識別するタイプと名前で識別するタイプがあり、それぞれ以下のコマンドで設定を行います。


Note - 名前付き拡張IPアクセスリスト（access-list extendedコマンド）では、分類条件としてプロトコルやポート番号、ICMPメッセージタイプなどを指定することもできますが、現状これらは使用しません。

以下では、拡張IPアクセスリストの作成方法について解説します。

なお、拡張IPアクセスリストを使って経路エントリーの分類・識別や制御を行うことはできません。

番号付き拡張IPアクセスリスト

 番号で識別するタイプの拡張IPアクセスリストを作成するには、access-list(extended)コマンドを使います。拡張IPアクセスリストには、100〜199、および、2000〜2699の範囲の番号を使います。

番号付き拡張IPアクセスリストでは、通常始点IPアドレスと終点IPアドレスに対してマッチングを行います。このとき、ワイルドカードマスク（リバースマスクまたはORマスクともいう）を使うことで、柔軟なアドレス指定が可能です。次にいくつか例を示します。

Note - 番号付き拡張IPアクセスリストの末尾には「deny ip any any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。


名前付き拡張IPアクセスリスト

 名前で識別するタイプの拡張IPアクセスリストを作成するには、access-list extendedコマンドを使います。

名前付き拡張IPアクセスリストでは、通常始点IPアドレスと終点IPアドレスに対してマッチングを行います。このとき、マスク長（ANDマスクともいう）を使うことで、柔軟なアドレス指定が可能です。

Note - 名前付き拡張IPアクセスリスト（access-list extendedコマンド）では、分類条件としてプロトコルやポート番号、ICMPメッセージタイプなどを指定することもできますが、現状これらは使用しません。

Note - 名前付き拡張IPアクセスリストの末尾には「deny any any any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。


ハードウェアアクセスリスト

 ハードウェアアクセスリストは、本製品のスイッチングチップ（ASIC）でパケットフィルタリングやトラフィック分類を行うためのアクセスリストです。

ハードウェアアクセスリストでは、パケットヘッダー内の各種フィールドを検査してパケットを分類し、分類したパケットに対しては、許可、破棄だけでなく、パケットのコピーをミラーポートから出力するなどの各種処理を行うことができます。

ハードウェアアクセスリストは、これまで説明してきた他のアクセスリストとは違って、エントリーを1つしか持てません。すなわち、ハードウェアアクセスリストは「リスト」という名を持ってはいますが、実際にはリストではなく単一のエントリーということになります。したがって、ハードウェアアクセスリストには、他のアクセスリストにある「暗黙のdenyエントリー」は存在しません。

ハードウェアアクセスリストを用いてトラフィックの制御を行うときは、複数のハードウェアアクセスリスト（つまりエントリー）をスイッチポート（インターフェース・ハードウェアパケットフィルター）やスイッチ全体（グローバル・ハードウェアパケットフィルター）、あるいは、ポリシーマップ（QoSポリシー）に順序立てて関連付けることで、実際のリストを構成します。

ハードウェアアクセスリストには、IPヘッダー以降をマッチング対象にするものと、Ethernetヘッダーだけをマッチング対象にするものがあり、それぞれ以下のコマンドで設定を行います。


両者は使用できる分類条件が異なるだけで、トラフィックを制御する各機能においてはどちらもほぼ同じように、混在して使用できます。

以下では、ハードウェアアクセスリストを用いてトラフィックを分類する方法について解説します。

なお、ハードウェアアクセスリストを使って経路エントリーの分類・識別や制御を行うことはできません。

ハードウェアIPアクセスリスト

 ハードウェアIPアクセスリストを作成するには、access-list(hardware ip)コマンドを使います。

ハードウェアIPアクセスリストでは、通常始点IPアドレスと終点IPアドレスに対してマッチングを行います。このとき、マスク長（ANDマスクともいう）やワイルドカードマスク（リバースマスクまたはORマスクともいう）を使うことで、柔軟なアドレス指定が可能です。また、TCP/UDPパケットに対しては終点・始点のポート番号を、ICMPパケットに対してはメッセージタイプを指定することもできます。次にいくつか例を示します。

Note - ハードウェアIPアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。


ハードウェアMACアクセスリスト

 ハードウェアMACアクセスリストを作成するには、access-list(hardware mac)コマンドを使います。

ハードウェアMACアクセスリストでは、送信元MACアドレスと宛先MACアドレスに対してマッチングを行います。このとき、ワイルドカードマスク（リバースマスクまたはORマスクともいう）を使うことで、柔軟なアドレス指定が可能です。次にいくつか例を示します。

Note - ハードウェアMACアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。


アクセスリストの使用

 作成したアクセスリストは、以下の機能/コマンドから使用できます（経路フィルタリング関連機能を除く）。

Note - 経路フィルタリングを目的としたアクセスリストの使用方法についてはここでは触れません。「IPルーティング」の「経路制御（フィルタリング）」をご覧ください。

標準IPアクセスリスト

 標準IPアクセスリストを利用したアクセス制御関連の機能としては、以下のものがあります。


また、各種アドレスの指定に標準IPアクセスリストを使う機能としては、以下のものがあります。


■ SNMPの詳細については、「運用・管理」の「SNMP」をご覧ください。

■ NTPの詳細については、「運用・管理」の「NTP」をご覧ください。

■ PIM-SMの詳細については、「IPマルチキャスト」の「PIM」をご覧ください。

■ IGMPの詳細については、「IPマルチキャスト」の「IGMP」をご覧ください。

拡張IPアクセスリスト

 現状、拡張IPアクセスリストは次の用途にしか使用しません。


■ PIM-SMの詳細については、「IPマルチキャスト」の「PIM」をご覧ください。

ハードウェアアクセスリスト

 ハードウェアアクセスリストは、次の機能で使用します。


■ ハードウェアパケットフィルターの詳細については、「トラフィック制御」の「ハードウェアパケットフィルター」をご覧ください。

■ Quality of Service（QoS）の詳細については、「トラフィック制御」の「Quality of Service」をご覧ください。

(C) 2007 - 2008 アライドテレシスホールディングス株式会社

PN: 613-000751 Rev.F