#access-list

[paptimus-scirocco-blog]

ACLの設定

標準ACL・・・送信元IPでフィルタリング

◆　番号付き標準ACLの作成 (config)# access-list number [ permit | deny ] source wildcard

number

　標準ACLの番号を 1 ～ 99、1300 ～ 1999 の範囲で指定する。通常は 1 ～ 99 を使用していき、　1 ～ 99 全てを使用した場合1300 ～ 1999 を使用するので、1300以降は一般的に使用されない。同じACLにする場合は、条件文を2行目以降も同じACL番号にします。1行に1番号ではありません。

permit | deny

　許可は permit、拒否は deny キーワードを使用。

◆　ACLのインターフェースへの適用 (config-if)# ip access-group number [ in | out ]

------------

拡張ACL・・・送信元IPアドレス、宛先IPアドレス、プロトコル番号、送信元ポート番号、宛先ポート番号等をチェックするACLです。

◆　番号付き拡張ACLの作成 (config)# access-list number [ permit | deny ] protocol source wildcard port destination wildcard port [ established | log ]

number

　拡張ACLの番号を 100 ～ 199、2000 ～ 2699 の範囲で指定する。通常は 100 ～ 199 を使用して、　100 ～ 199 全てを使用した場合に 2000 ～ 2699 を使用するので2000以降はあまり使用されない。同じACLにする場合は、条件文を2行目以降も同じACL番号にします。1行に1番号ではありません。

protocol　

プロトコル名を指定する。（ 例 ： ip / icmp / tcp / udp )

port

　以下の演算子の後にポート番号を指定する。最も使用されるキーワードが eq です。

　eq （ equal = 等しい）

　neq （ not equal = 等しくない）

　gt （ greater than = より大きい ）

　lt （ less than = より小さい ）

　range （ ポート番号の範囲 ）

◆　ACLのインターフェースへの適用 (config-if)# ip access-group number [ in | out ]

例＞

　「192.168.1.1」 から 「10.1.1.1」 へのIP通信を許可

access-list 100 permit ip host 192.168.1.1 host 10.1.1.1

　「192.168.1.0/24」 から 「10.1.1.0/24」 へのIP通信を許可

access-list 100 permit ip 192.168.1.0 0.0.0.255 10.1.1.0 0.0.0.255

　「192.168.1.0/24」 から 「10.1.1.1」 へのIP通信を拒否

access-list 100 deny ip 192.168.1.0 0.0.0.255 host 10.1.1.1

　「192.168.1.0/24」 から全ての宛先へのIP通信を拒否

access-list 100 deny ip 192.168.1.0 0.0.0.255 any

　全ての送信元から 「10.1.1.1」 へのHTTP通信を許可

access-list 100 permit tcp any host 10.1.1.1 eq 80

　「10.1.1.1」 のWebサーバから全ての宛先への通信を許可

access-list 100 permit tcp host 10.1.1.1 eq 80 any

　「192.168.0.0/24」 から 「10.1.1.1」 へのTFTP通信を拒否

access-list 100 deny udp 192.168.0.0 0.0.0.255 host 10.1.1.1 eq 69

　「192.168.1.0/24」 から 「10.1.1.1」 へのtelnet通信を拒否

access-list 100 deny tcp 192.168.1.0 0.0.0.255 host 10.1.1.1 eq 23

　全てのICMP通信を許可

　access-list 100 permit icmp any any

　「192.168.1.1」 から 「10.1.1.0/24」 へのICMP通信を許可

access-list 100 permit icmp host 192.168.1.1 10.1.1.0 0.0.0.255

　全てのIP通信を許可

access-list 100 permit ip any any

　全てのIP通信を拒否

access-list 100 deny ip any any　(最終行に自動で追加される）

[firewallcx]

VLAN Deployment considerations - Secure design and implementation of VLANs in your network. This article covers key-topics and practices to get the best security and performance out of your VLAN network.

[ciscohite]

Sometimes you are dealing with some applications which works on broadcast but such traffic is generally blocked at the layer 3 network boundries so, one way to help such traffic cross the network boundary is to converting it to multicast. Lets see how this can be done - Cisco has a special feature called an IP Multicast Helper, which you can use to convert broadcast packets to multicast packets. Then you can use PIM to send these packets throughout the network. At the last-hop routers you can then convert the multicast packets back to broadcast. This is useful for older broadcast-based applications that do...

[ciscohite]

With the proliferation of worms, viruses, and DoS attacks, it is not surprising that security is one critical consideration for the Internet module. Many network managers associate security at the Internet module with the placement of a firewall. However, you need more than just a box to protect the network from malicious attacks. Because attacks such as worms and DoS can cripple a network, their effect is the same as that of a hardware failure or link failure to the Internet. Hence, you can no longer discuss resiliency to the Internet module without talking about security.