[index] CentreCOM x930シリーズ コマンドリファレンス 5.4.7
Noteまた、本解説編では、経路情報のフィルタリングを目的としたアクセスリストの作成方法については説明しません。アクセスリストを作成するときの基本的な考え方はどの機能においてもほぼ共通ですが、経路情報をフィルタリングするときだけは若干異なる考え方が必要になるためです。経路フィルタリングにおけるアクセスリストの作成方法と使用方法については、「IP」の「経路制御（フィルタリング）」をご覧ください。
| SNMPコミュニティーへのアクセス制御 | ||
| 経路情報のフィルタリング（経路エントリーの許可・破棄や属性変更） | ||
| 隣接関係の制御（隣接ルーターの制限） | ||
| 各種機能の設定対象となるマルチキャストグループの指定 | ||
| 隣接関係の制御（隣接ルーターの制限） | ||
| 参加可能なマルチキャストグループの制限 | ||
| 各種機能の設定対象となるマルチキャストグループの指定 | ||
| リモートアクセス（Telnet/SSH）の制御 | ||
| ランデブーポイント（RP）におけるRegisterメッセージのフィルタリング | ||
| 経路情報のフィルタリング（経路エントリーの許可・破棄や属性変更） | ||
| ランデブーポイント（RP）におけるRegisterメッセージのフィルタリング | ||
| 隣接関係の制御（隣接ルーターの制限） | ||
| 各種機能の設定対象となるマルチキャストグループの指定 | ||
| 参加可能なマルチキャストグループの制限 | ||
| 各種機能の設定対象となるマルチキャストグループの指定 | ||
| リモートアクセス（Telnet/SSH）の制御 | ||
| 受信スイッチポートにおけるパケットフィルタリング | ||
| 受信スイッチポートにおけるトラフィック分類 |
Note標準IPアクセスリスト、拡張IPアクセスリスト、標準IPv6アクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
NoteSNMPアクセス制御を使用するとき、アクセスリストのDenyアクションが動作しません。
NoteAMFとアクセスリストを併用する場合、AMFマネージメントサブネット（atmf management subnet）内の通信を許可するようにしてください。
| 1～99、1300～1999 | access-list(standard)コマンド | |
| 名前（文字列） | access-list standardコマンド | |
| 100～199、2000～2699 | access-list(extended)コマンド | |
| 名前（文字列） | access-list extendedコマンド | |
| 名前（文字列） | ipv6 access-list standardコマンド | |
| 3000～3699 | access-list(hardware ip)コマンド | |
| 4000～4699 | access-list(hardware mac)コマンド | |
| 名前（文字列） | ipv6 access-list(list)コマンド | |
access-list standard MYLIST permit 10.0.0.4/32 access-list standard MYLIST permit 10.0.0.5/32 access-list standard MYLIST deny any
access-list standard MYLIST 10 permit 10.0.0.4/32 30 permit 10.0.0.5/32 1000 deny anyなお、ハードウェアアクセスリストでのサブモード指定は、LISTNAMEで作成した時のみ可能です。
NoteハードウェアIPv6アクセスリストはシーケンス番号対応版しか存在しません。
| access-list(standard)コマンド | access-list(standard)(list)コマンド、access-list(standard)(seq entry)コマンド | |
| access-list standardコマンド | access-list standard(list)コマンド、access-list standard(seq entry)コマンド | |
| access-list(extended)コマンド | access-list(extended)(list)コマンド、access-list(extended)(seq entry)コマンド | |
| access-list extendedコマンド | access-list extended(list)コマンド、access-list extended(seq entry)コマンド | |
| ipv6 access-list standardコマンド | ipv6 access-list standard(list)コマンド、ipv6 access-list standard(seq entry)コマンド | |
| access-list(hardware ip)コマンド | access-list hardware(list)コマンド、access-list hardware(seq entry)コマンド | |
| access-list(hardware mac)コマンド | access-list hardware(list)コマンド、access-list hardware(seq entry)コマンド | |
| なし | ipv6 access-list(list)コマンド、ipv6 access-list(seq entry)コマンド | |
Note経路フィルタリングを目的としたアクセスリストの作成方法についてはここでは触れません。「IP」の「経路制御（フィルタリング）」をご覧ください（「IP」の章ですが、共通のコマンドが多いため同章ではIPv6の経路フィルタリングについても触れています）。
Note標準IPアクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
Note番号付き標準IPアクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list 1 permit host 192.168.10.2 ↓ awplus(config)# access-list 1 permit host 192.168.20.2 ↓
awplus(config)# access-list 2 deny 192.168.30.0 0.0.0.255 ↓ awplus(config)# access-list 2 permit any ↓
Note名前付き標準IPアクセスリストにはexact-matchというオプションがありますが、これは経路エントリーを対象とするときだけ意味を持つオプションなので、ここでは触れません。
Note名前付き標準IPアクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list standard n1 permit 192.168.10.2/32 ↓ awplus(config)# access-list standard n1 permit 192.168.20.2/32 ↓
awplus(config)# access-list standard n2 deny 192.168.30.0/24 ↓ awplus(config)# access-list standard n2 permit any ↓
Note拡張IPアクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
Note名前付き拡張IPアクセスリスト（access-list extendedコマンド）では、分類条件としてプロトコルやポート番号、ICMPメッセージタイプなどを指定することもできますが、現状これらは使用しません。
Note番号付き拡張IPアクセスリストの末尾には「deny ip any any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list 100 deny ip host 172.16.10.100 any ↓ awplus(config)# access-list 100 permit ip any any ↓
Note名前付き拡張IPアクセスリスト（access-list extendedコマンド）では、分類条件としてプロトコルやポート番号、ICMPメッセージタイプなどを指定することもできますが、現状これらは使用しません。
Note名前付き拡張IPアクセスリストの末尾には「deny any any any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# access-list extended only105 permit ip 172.16.10.5/32 any ↓
Note標準IPv6アクセスリストは、一般的なパケットフィルタリング（本製品を通過するパケット全般を対象としたフィルタリング）には使用されませんのでご注意ください。パケットフィルタリングには、ハードウェアアクセスリストを使用します。
Note名前付き標準IPv6アクセスリストにはexact-matchというオプションがありますが、これは経路エントリーを対象とするときだけ意味を持つオプションなので、ここでは触れません。
Note名前付き標準IPv6アクセスリストの末尾には「deny any」、すなわち、すべてをdenyする暗黙のエントリーが存在していることにご注意ください。
awplus(config)# ipv6 access-list standard gb deny ff1e::d017/128 ↓ awplus(config)# ipv6 access-list standard gb permit any ↓
awplus(config)# ipv6 access-list standard gj permit ff1e::bf:109f/128 ↓ awplus(config)# ipv6 access-list standard gj permit ff1e::bf:110e/128 ↓
NoteハードウェアIPアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。
awplus(config)# access-list 3000 deny ip 192.168.10.100/32 192.168.10.1/32 ↓
awplus(config)# access-list 3001 deny tcp any 192.168.10.1/32 eq 80 ↓
awplus(config)# access-list 3002 deny icmp 192.168.20.0/24 192.168.10.1/32 icmp-type 8 ↓
NoteハードウェアIPv6アクセスリストはシーケンス番号対応版しか存在しません。
NoteハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定が「ipv4-full-ipv6」になっている必要があります。初期設定の「ipv4-limited-ipv6」でもハードウェアIPv6アクセスリストは使用できますが、「ipv4-limited-ipv6」では始点・終点IPv6アドレスの指定ができないため、限られた使い方しかできません。ハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定を「ipv4-full-ipv6」に変更し、設定を保存した上で、システムを再起動してください。以下の説明は「ipv4-full-ipv6」で動作していることを前提としています。
NoteハードウェアIPv6アクセスリストは複数のエントリーから構成されるリストですが、ハードウェアIPアクセスリスト、ハードウェアMACアクセスリストと同様に、暗黙のdenyエントリーは存在しません。そのため、どのエントリーともマッチしなかったパケットはpermitされます。
awplus(config)# ipv6 access-list deny100to1 ↓ awplus(config-ipv6-hw-acl)# deny ipv6 2001:db8:10:10::100/128 2001:db8:10:10::1/128 ↓
awplus(config)# ipv6 access-list deny1tcp80 ↓ awplus(config-ipv6-hw-acl)# deny tcp any 2001:db8:10:10::1/128 eq 80 ↓
awplus(config)# ipv6 access-list deny1ping ↓ awplus(config-ipv6-hw-acl)# deny icmp 2001:db8:10:20::/64 2001:db8:10:10::1/128 icmp-type 128 ↓
NoteハードウェアMACアクセスリストは、実際にはリストでなく単一エントリーにすぎないため、他のアクセスリストにある暗黙のdenyエントリーは存在しません。
NoteハードウェアMACアクセスリストを設定しても、ハードウェアパケットフィルターではARPブロードキャスト（宛先MACアドレス ffff.ffff.ffff、プロトコルタイプ 0x0806）が破棄されません。ARPブロードキャストを破棄するにはポリシーマップを使用してください。
awplus(config)# access-list 4000 deny 000a.7934.0b33 0000.0000.0000 any ↓
awplus(config)# access-list 4001 deny 0011.2233.4455 0000.0000.0000 000a.7934.0b33 0000.0000.0000 ↓
Note経路フィルタリングを目的としたアクセスリストの使用方法についてはここでは触れません。「IP」の「経路制御（フィルタリング）」をご覧ください（「IP」の章ですが、共通のコマンドが多いため同章ではIPv6の経路フィルタリングについても触れています）。
(C) 2015 - 2017 アライドテレシスホールディングス株式会社
PN: 613-002105 Rev.L