番号付き標準ACLの条件設定方法は、「送信元IPアドレス」だけを条件とするもので、4種類のACLの基礎となるものです。宛先アドレスを条件として宣言できないため、宛先に一番近いインターフェースに適用します。
「どこから」は判断できますが「どこへ」が判断できないので、宛先ネットワークアドレスをチェックする必要がない、宛先ネットワークと同じネットワークセグメントのルーターのインターフェースに設定します。
拡張ACLは、標準ACLより細かい条件設定ができます。「送信元IPアドレス」の他に「宛先IPアドレス」「プロトコル種別」「ポート番号」「established」などが指定できます。
1行のACL文に複数の条件を列挙します。それぞれの条件は「OR演算(AまたはBならば真)」ではなく「AND演算(AかつBならば真)」です。
例えば「送信元IPアドレス」「宛先IPアドレス」「宛先ポート番号」の3つを指定した場合、宛先IPアドレスが条件と異なっていたら、送信元IPアドレスや宛先ポート番号が条件を満たしていても、全体では条件を満たさないことになり、次の行のACLの判定に移ります。
適用場所は、送信元ネットワークに一番近いルーターのインターフェースです。破棄すべきパケットを極力ネットワークに通過させないために、送信元に近い場所で判断するためです。
名前付き標準ACLは、ACL文を「番号」ではなく「文字列」で区別する標準ACLです。
名前付きACLの長所は、文字通り「名前でACL文を区別できる」ことです。SSHだけ許可する「ONLY_SSH」やループバックアドレスを拒否する「DENY_LOOPBACK」など任意の名前を付けられます。
名前付き拡張ACLは、名前付き標準ACLと同様、拡張ACLを名前で区別します。
名前付きACLのもう一つの特徴は「ACL文の編集機能」で、行番号を使用して定義済みのACL文を編集できます。
番号付きACLでACL文の順序を変える場合には、ACLの条件を全て消した後に一から作り直さなければなりませんが、名前付きACLは、行番号を指定すれば、「任意の位置にACL文を追加」したり、「特定のACL文のみを削除」したりできます。
Copyright © ITmedia, Inc. All Rights Reserved.