IPv4 ACLの基礎

この単元で学ぶこと

IPv4 ACLは、ルータやL3スイッチを通過するパケットを条件に応じて許可または拒否するためのルール一覧です。アクセス制御リストとも呼ばれます。

ACLでは、送信元アドレス、宛先アドレス、プロトコル、ポート番号などを条件として使います。ルールの順番と適用する方向を理解することが重要です。

ACLの基本動作

ACLは上から順番に評価されます。パケットが条件に一致した時点で、その行の許可または拒否が決まり、以降の行は評価されません。

どの行にも一致しないパケットは、末尾にある暗黙の拒否によって拒否されます。このため、必要な通信を許可する行を忘れると、意図せず通信が止まることがあります。

標準アクセス制御リスト

標準アクセス制御リストは、主に送信元IPv4アドレスだけを条件として判定します。条件が少ないため、特定の送信元ネットワークをまとめて許可または拒否したい場合に向いています。

拡張アクセス制御リスト

拡張アクセス制御リストは、プロトコル、送信元アドレス、宛先アドレス、TCPやUDPのポート番号などを組み合わせて判定できます。

たとえば、特定ネットワークからWebサーバへのHTTPSだけを許可し、それ以外を拒否するような細かな制御に使います。

ワイルドカードマスク

Cisco IOSのIPv4 ACLでは、アドレス条件にワイルドカードマスクを使います。ワイルドカードマスクの0は、そのビットがアドレスと一致する必要があることを表します。1は、そのビットを判定しないことを表します。

192.168.10.0 0.0.0.255
↓
192.168.10.0/24 に含まれる送信元を指定

サブネットマスク255.255.255.0に対応するワイルドカードマスクは0.0.0.255です。サブネットマスクをビット単位で反転したものとして考えると理解しやすくなります。

anyとhost

anyはすべてのIPv4アドレスを表す省略形です。host 192.168.10.10は、その1台だけを指定する省略形です。

permit any
permit host 192.168.10.10

受信方向と送信方向

インターフェースの受信方向にACLを適用すると、パケットはルーティング判断より前に評価されます。送信方向に適用すると、ルーティング判断の後、送信インターフェースから出る前に評価されます。

どちらの方向に適用するかで、同じACLでも対象となる通信が変わります。

配置の考え方

拡張アクセス制御リストは不要な通信を早い段階で止めるため、一般に送信元の近くへ配置する考え方があります。標準アクセス制御リストは送信元アドレスだけで判定するため、意図しない通信まで止めないよう、一般に宛先の近くへ配置する考え方があります。

基本設定例

次の例では、192.168.10.0/24から受信する通信を許可する名前付き標準ACLを作成し、GigabitEthernet0/1の受信方向へ適用します。

ip access-list standard ALLOW-LAN10
 permit 192.168.10.0 0.0.0.255
!
interface GigabitEthernet0/1
 ip access-group ALLOW-LAN10 in

このACLでは、許可行に一致しない通信は暗黙の拒否によって許可されません。実運用では、必要な管理通信や業務通信を先に整理してからルールを作成します。

確認コマンド

show access-lists
show ip interface GigabitEthernet0/1

show access-listsではACLの内容と一致件数を確認できます。show ip interfaceでは、インターフェースへ適用されているACLと方向を確認できます。

まず覚えたいポイント

IPv4 ACLはパケットを条件で許可・拒否する仕組みです。上から順番に評価され、最初に一致した行で結果が決まり、最後には暗黙の拒否があります。標準ACLは送信元アドレス中心、拡張ACLはより細かい条件を使えます。