ISE,DACLについて

[sumikawa.tomoki]

MABで認証後、DACLを使用して接続したクライアントPCのIPアドレスのみ通信可能のDACLを設定したいと思ったのですが

ソースを接続したクライアントPCのIPアドレスで指定すると下記エラーがでます

日本語

1行目-「permitiphost 172.99.99.99 any」で、次の警告が見つかりました。
1. DACLの作成中、キーワード「Any」はDACLのすべてのACEのソースである必要があります。
DACLがプッシュされると、ソースの「Any」は、スイッチに接続しているクライアントのIPアドレスに置き換えられます。

英語

Line 1 - In "permit ip host 172.99.99.99 any", found the following warning(s):
1. While creating DACL, the keyword 'Any' must be the source in all ACE in DACL.
Once the DACL is pushed, the 'Any' in the source is replaced with the IP address of the client that is connecting to the switch

ソースは接続したクライアントＰＣでありanyでも書き換えるとありますがやはり無理でしょうか？

チェックを無視すればそのまま入るのですが適用されるでしょうか？

実機で試せる環境が今はありません。

ISEのみでMAC認証後にクライアントIPアドレスで接続制御は難しいでしょうか？

また他に何か良い方法ありましたらご教授頂きたいです。

宜しくお願い致します。

[TUN88]

はじめまして。ISEのDACLではソースにIPアドレスやIPアドレスレンジの指定はできないそうです。こちらの投稿がご参考になると思われます。

https://community.cisco.com/t5/network-access-control/ise-dacl-to-switch/td-p/2269096

もしMACアドレスで認証したクライアントを特定のDACLでアクセス制御したい場合は、Authorization Profileを作成してクライアント用のDACLを設定し、PolicyのAuthorizationルールで作成したAuthorization Profileを設定してください。

そうするとDACLのソースはAnyですが、実際の動作ではAnyがクライアントのIPアドレスとなってアクセスを制御できます。