助け合いフォーラム

Cisco

CCNP ENARSI(300-410)

ACL ICMP 解釈

投稿日 2025/12/02

問題ID:26240

設問からACL  permit icmp any any echo
deny icmp any any echo-reply
これを in 方向に設定すれば 来るピングは通す、
返す方は、暗黙のdenyで拒否されるんじゃないでしょうか、結果ping失敗でしょ

許可しているけど、回答と言葉のチョイスが紛らわしいと思います

2025/12/02 20:59

設問からACL  permit icmp any any echo
deny icmp any any echo-reply
これを in 方向に設定すれば 来るピングは通す、
返す方は、暗黙のdenyで拒否されるんじゃないでしょうか、結果ping失敗でしょ

仰っている内容の問題とされている点がよくわからないのですが、解説のこの部分はご理解の助けになりますか?

なお、「echo-reply」を拒否していますが、「192.168.1.0/24」からRouterAに送るのは「echo-reply」ではなく「echo(request)」なので、「192.168.1.0/24」からRouterAへのpingは成功します。

設問の ACL:120 と「暗黙の deny」がどう関わるのかが私が理解できていないためかと思うので、もし上記の解説の一文がご理解の助けにならなかったら、もう少し問題とされている点を噛み砕いていただけないかなと思うのですが、いかがでしょうか?


コメント

この返信に対して
コメントを記入できます

2025/12/03 11:27

arashi1977 さんと同じで質問の意図がいまいち理解できなかったので、助けになるかわかりませんが...

返す方は、暗黙のdenyで拒否されるんじゃないでしょうか

と仰っているのは、もしかしてRouterAから「192.168.1.0/24」へのPing応答について何か勘違いされていることがあるのかもしれないと思いましたので、Pingの流れを整理します。

設問の要件:2.「192.168.1.0/24」からRouterAへのpingを許可する
①「192.168.1.0/24」からRouterAへPingを実行し、RouterAのFa0/0がPingの「echo」パケットを受信
②Fa0/0のin方向に適用されているACL120の「permit icmp any any echo」に合致するため、パケットを通す
③RouterAが「192.168.1.0/24」の送信元に向けてPing応答の「echo-reply」パケットを送信
④「echo-reply」パケットはout方向でFa0/0を通る(ACL120はin方向に適用されていて、方向が逆なので関係ない)
※ACLを適用しているルータ自身が発信するパケットはACLの対象外となるため、たとえFa0/0のout方向にもACLが適用されていたとしても、RouterAが送信する「echo-reply」パケットはフィルタリング対象にはなりません

それから、暗黙のdenyについてももしかしたら何か勘違いがあるのかもしれないので、補足説明します。
全てのパケットを許可する「permit ip any any」をACLの一番下に設定することで、暗黙のdenyを回避することができます。
設問のACL120には「permit ip any any」が設定されているので、暗黙のdenyの前に全てのパケットを許可します。


コメント

この返信に対して
コメントを記入できます

この投稿に対して返信しませんか?