ダイヤルインターフェイスのアクセスリストのトラブルシューティング

概要

このドキュメントでは、ダイヤル インターフェイスのアクセス リストをトラブルシューティングする方法について説明します。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

この文書の情報は、Cisco 2500 ルータおよび Cisco IOS(R) ソフトウェア リリース 12.0.5.T に基づいています。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

トラブルシュートのヒント

• アクセスリストが正しく動作しない場合は、次のようにリストをインターフェイスに直接適用してみてください。

  interface async 1
  ip access-group 101 in|out

  インターフェイスに直接適用されるロジックが動作しない場合、サーバから渡されたロジックは動作しません。show ip interface [name] コマンドを使用すると、インターフェイスにアクセス リストが適用されているかどうかを確認できます。出力は、access-listコマンドの適用方法によって異なりますが、次の内容を含めることができます。

  Outgoing access list is not set
  Inbound access list is 101
  
  Outgoing access list is not set
  Inbound access list is 101, default is not set
  
  Outgoing access list is Async1#1, default is not set
  Inbound access list is Async1#0, default is not set

• 一部のアクセスリストのデバッグは、インターフェイスからルートキャッシュを一時的に削除することで実行できます。

  interface async 1
  no ip route-cache

  イネーブル モードで次のように入力します。

  debug ip packet access-list #

  terminal monitorコマンドを有効にすると、通常、ヒットの出力が画面に送信されます。

  ICMP: dst (15.15.15.15) administratively prohibited unreachable sent to 1.1.1.2

• また、show ip access-list 101を実行して、ヒット数の増加を表示することもできます。ルータに拒否が表示されるようにするには、access-listコマンドの最後にlogパラメータを追加します。

  access-list 101 permit icmp 1.1.1.0 0.0.0.255 9.9.9.0 0.0.0.255 log

• インターフェイスに直接適用する際にロジックが機能する場合は、インターフェイスからアクセスリストを削除し、aaa authorization network default tacacs|radius、debug aaa author(およびユーザごとのアクセスコントロールリストを使用する場合はdebug aaa per-user)コマンドを有効にしてterminal monitorします。

  RADIUSのみ：RADIUSサーバで属性11(Filter-id)を#.inまたは#.outとして指定できない場合、デフォルトはoutです。たとえば、サーバが属性111を送信する場合、これはルータによって「111.out」と推定されます。

• アクセスリストの内容を表示します。

  ユーザごとのタイプ以外のリストの場合は、show ip access-list 101コマンドを使用して、アクセスリストの内容を表示します。

  Extended IP access list 101
  deny tcp any any (1649 matches)
  deny udp any any (35 matches)
  deny icmp any any (36 matches)

  ユーザごとのリストタイプの場合は、show ip access-listsまたはshow ip access-listを使用します | per-userまたはshow ip access-list Async1#1:

  Extended IP access list Async1#1 (per-user)
  deny icmp host 171.68.118.244 host 9.9.9.10
  deny ip host 171.68.118.244 host 9.9.9.9
  permit ip host 171.68.118.244 host 9.9.9.10
  permit icmp host 171.68.118.244 host 9.9.9.9

• すべてのデバッグが正常に動作しているのに、access-listコマンドが予期したとおりに動作しない場合：

  • ブロックされるブロックが少なすぎる場合は、アクセスリストをdeny ip any anyに変更します。もし前の問題が解決しなかった場合、問題はリストの論理にあります。

  • ブロックが多すぎる場合は、アクセスリストをpermit ip any anyに変更してください。もし前の問題が解決しなかった場合、問題はリストの論理にあります。

関連情報

• TACACS/TACACS+サポート
• RADIUS のサポート
• Requests for Comments(RFC)
• テクニカル サポートとドキュメント – Cisco Systems