Re: アクセスリストでのプロトコルの考え方や理解について

YokokawaRyo · ‎2021-11-08

拡張アクセスリストの設定の考え方について教えて下さい。

例えばネットワーク層＝インターネット層から上位のレイヤーの

全ての通信をpermitして欲しい場合、下記のドキュメント

次の例では、最後のエントリだけで十分です。TCPにはTelnetが含まれ、IPにはTCP、UserDatagramProtocol（UDP；ユーザデータグラムプロトコル）、およびInternetControlMessageProtocol（ICMP；インターネット制御メッセージプロトコル）が含まれるため、最初の3つのエントリは必要ありません。

!--- This command is used to permit Telnet traffic !--- from machine 10.1.1.2 to machine 172.16.1.1.

access-list 101 permit tcp host 10.1.1.2 host 172.16.1.1 eq telnet

!--- This command is used to permit tcp traffic from !--- 10.1.1.2 host machine to 172.16.1.1 host machine.

access-list 101 permit tcp host 10.1.1.2 host 172.16.1.1

!--- This command is used to permit udp traffic from !--- 10.1.1.2 host machine to 172.16.1.1 host machine.

access-list 101 permit udp host 10.1.1.2 host 172.16.1.1

!--- This command is used to permit ip traffic from !--- 10.1.1.0 network to 172.16.1.10 network.

access-list 101 permit ip 10.1.1.0 0.0.0.255 172.16.1.0 0.0.0.255

上記の説明は標準アクセスリストについて説明している内容ですが、

拡張アクセスリストであっても、

ネットワーク層＝インターネット層から上位のレイヤーの全ての

通信をpermitして良いという条件であれば、

permit ip "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク"

という行が1行あれば良いという理解をしていますが、その理解に

間違いないでしょうか？もしその理解で良いならば

10 permit ip "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク"
20 permit tcp "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク" eq ftp
30 permit tcp "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク" eq ftp-data
40 permit tcp "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク" eq 123
50 permit udp "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク" eq ntp
50 permit tcp "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク" eq 443
60 permit tcp "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク" eq www
70 permit udp "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク" eq domain
80 permit tcp "送信元IPアドレス"　"ワイルドカードマスク" "宛先IPアドレス" "ワイルドカードマスク" eq domain

20番〜80番までのいわゆるアプリケーション層に含まれる類の

行は必要ない。つまり10番の1行で20番〜80番をカバーする

という理解で良いのでしょうか？

Akira Muranaka · ‎2022-01-14

こんにちは！その認識で問題ないとおもいます！

ちなみに、ACLは通常、設定された「上」から順にチェックと処理（permit or deny）がされていきます。そのため、一番上の10が特定IPやセグメント間の全IP通信を許可する設定の場合、その10のルールに該当通信はマッチしてしまい、その下のルールは参照されません。このような動作をすることで、素早くACLルールの適用と、ACL処理の負荷軽減ができるメリットもあります。