助け合いフォーラム

Cisco

CCNA(200-301)

アクセスリストの ip の有無について

公開日 2024/01/29

RouterA>enable
RouterA#configure terminal
①RouterA(config)#ip access-list extended pingACL
RouterA(config-ext-nacl)#deny icmp host 192.168.1.100 host 192.168.3.100
②RouterA(config-ext-nacl)#permit ip any any
RouterA(config-ext-nacl)#exit
RouterA(config)#interface ethernet 0
③RouterA(config-if)#ip access-group pingACL in

コマ問の問題を解いています。
アクセスリストの作成でipが頭に付く時と付かない時の差が分かりません。

①ここにあるipは省略しても構わないでしょうか。
RouterA(config)#ip access-list extended pingACL
②ここのip any anyですが、ip があってもなくても構わないでしょうか。
RouterA(config-ext-nacl)#permit ip any any
③最後にethernetに適用する時は毎回 ip が付く。
RouterA(config-if)#ip access-group pingACL in

④拡張リストの場合だけ、ipが付くのかと思ったのですが、
標準アクセスリストの場合もip が付いているものがあります。
なぜ★が付いている箇所だけipが書かれているのでしょうか。icmp any anyでもよさそうですが。
RouterA>enable
RouterA#configure terminal
RouterA(config)#access-list 100 deny icmp host 192.168.1.100 host 192.168.3.100
★RouterA(config)#access-list 100 permit ip any any
RouterA(config)#interface ethernet 0
★RouterA(config-if)#ip access-group 100 in

⑤以下のものはipが付いている箇所がありません。
付いていない理由をご教授いただきたいです。

RouterB>enable
RouterB#configure terminal
RouterB(config)#access-list 1 deny host 192.168.1.100
RouterB(config)#access-list 1 permit any
RouterB(config)#line vty 0 4
★RouterB(config-line)#access-class 1 in

2024/01/30 16:05

アクセスリストの作成でipが頭に付く時と付かない時の差が分かりません。

番号付きACLか名前付きACLかでコマンド構文は異なります。

■番号付きACL
(config)# access-list number [ permit | deny ] source wildcard

■名前付きACL
(config)# ip access-list standard name
(config-std-nacl)# number [ permit | deny ] source wildcard

①ここにあるipは省略しても構わないでしょうか。
RouterA(config)#ip access-list extended pingACL

「ip access-list extended pingACL」で一つのコマンド構文なので、省略はできません。

②ここのip any anyですが、ip があってもなくても構わないでしょうか。
RouterA(config-ext-nacl)#permit ip any any

ここでは「IP」プロトコルのトラフィックを指定しているので、あるとないでは制限する内容が変わってしまいます。
このコマンド単体では、IPプロトコルの通信を全て許可しているだけで、他のプロトコルについては許可していません。

③最後にethernetに適用する時は毎回 ip が付く。
RouterA(config-if)#ip access-group pingACL in

毎回ipが付くというより、インターフェースへのコマンド構文「(config-if)# ip access-group name [ in | out ]」です。
一つのコマンド構文なので、もちろん省略もできません。

④拡張リストの場合だけ、ipが付くのかと思ったのですが、
標準アクセスリストの場合もip が付いているものがあります。

書かれている「RouterA(config)#access-list 100 deny icmp host 192.168.1.100 host 192.168.3.100」は拡張ACLです。
ACL番号100~199は拡張ACLで使用される番号ですし、プロトコルを指定しているので拡張ACLです。

「RouterA(config)#access-list 100 permit ip any any」このコマンドは
access-list 100に「IPのトラフィックを許可する」という新たな条件文を追加しているコマンドです。

なので、このコマンド入力時点で、ACL番号100には
・192.168.1.100から192.168.3.100へのICMP通信を拒否する
・全ての送信元から宛先へのIP通信を拒否する
という2つの条件があるこおになります。

⑤以下のものはipが付いている箇所がありません。
付いていない理由をご教授いただきたいです。

これはVTYに対してACLを適用するコマンド構文です。ipが省略されているわけではなく、そういうコマンド構文です。
■VTY回線へのACLの適用
 (config)# line vty 0 15
 (config-line)# access-class [ number | name ] [ in | out ]

 


コメント

y yorimi9

2024/01/31 14:01

ありがとうございます。もともと、そういった構文なのですね。 もう少し調べてみます。丁寧にありがとうございました!

y yorimi9

2024/02/05 14:11

すみません、調べてみたのですが、どういう時にipを付けて使うのかが分かっていません。 ip はIPアドレスの通信を制限するものならば、毎回ipを付ける気がするのですが、付けるか付けないかの判断が、検索してもはっきり分かりませんでした。 どこでipを付ける構文か判断するのでしょうか。

t tmomo1109

2024/02/06 10:19

ipを付ける付けないではなく、コマンド構文として覚えましょう。 ■番号付きACLを作成する (config)# access-list number [ permit | deny ] source wildcard ■名前付きACLを作成する (config)# ip access-list standard name ■インターフェースにACLを適用する (config-if)# ip access-group name [ in | out ] ■VTY回線へのACLの適用する (config-line)# access-class [ number | name ] [ in | out ] ・ip はIPアドレスの通信を制限するものならば、毎回ipを付ける気がするのですが →IPプロトコルの制限かどうかはコマンド構文には関係ありません。 拡張ACLにおいてIPプロトコルの制限をかける場合は (config)#access-list 100 permit 【ip】 any any のように、ACLの条件にプロトコルの指定を含めればよいだけです。 どのプロトコルを制限する場合でもコマンド構文は変わりません。

この返信に対して
コメントを記入できます

この投稿に対して返信しませんか?