300シリーズマネージドスイッチでのMACベースアクセスコントロールリスト(ACL)およびアクセスコントロールエントリ(ACE)の設定

目的

アクセスコントロールリスト(ACL)は、ネットワークトラフィックフローを許可または拒否するために使用されるセキュリティテクノロジーです。MACベースのACLは、レイヤ2情報を使用して、トラフィックへのアクセスを許可または拒否します。アクセスコントロールエントリ(ACE)には、実際のアクセスルールの基準が含まれます。ACEが作成されると、ACEはACLに適用されます。300シリーズマネージドスイッチは、最大512のACLと512のACEをサポートします。

この記事では、MACベースのACLを作成する方法と、300シリーズマネージドスイッチのACLにACEを適用する方法について説明します。

該当するデバイス

・ SG300-10PP
・ SG300-10MPP
・ SG300-28PP-R
・ SG300-28SFP-R
・ SF302-08MPP
・ SF302-08PP
・ SF300-24PP-R
・ SF300-48PP-R

[Software Version]

・ 1.4.0.00p3 [SG300-28SFP-R]
・ 6.2.10.18 [その他すべての該当デバイス]

MACベースのACL

ステップ1:Web設定ユーティリティにログインし、[Access Control] > [MAC Based ACL]を選択します。[MAC Based ACL]ページが開きます。

ステップ2:[Add]をクリックします。[Add MAC-Based ACL]ウィンドウが表示されます。

ステップ3:[ACL Name]フィールドにACLの名前を入力します。

ステップ4:[Apply]をクリックします。ACLが作成されます。

MACベースのACE

ポートでフレームが受信されると、スイッチは最初のACLを介してフレームを処理します。フレームが最初のACLのACEフィルタに一致すると、ACEアクションが実行されます。フレームがいずれのACEフィルタにも一致しない場合、次のACLが処理されます。関連するすべてのACLのACEに一致するものが見つからなかった場合、フレームはデフォルトで廃棄されます。

注：このデフォルトのアクションは、すべてのトラフィックを許可する低優先度ACEを作成することによって回避できます。

ステップ1:Web設定ユーティリティにログインし、[Access Control] > [MAC Based ACE]を選択します。[MAC Based ACE]ページが開きます。

ステップ2:[ACL Name]ドロップダウンリストから、ルールを適用するACLを選択します。

ステップ3:[Go]をクリックします。すでにACLに設定されているACEが表示されます。

ステップ4:[Add]をクリックして、ACLに新しいルールを追加します。[Add MAC-Based ACE]ウィンドウが表示されます。

[ACL名(ACL Name)]フィールドには、ACLの名前が表示されます。

ステップ5:[Priority]フィールドにACEのプライオリティ値を入力します。プライオリティ値が大きいACEが最初に処理されます。値1が最も高い優先度です。

ステップ6：フレームがACEの必須条件を満たしたときに実行される必要なアクションに対応するオプションボタンをクリックします。

・ Permit：スイッチは、ACEの必須条件を満たすパケットを転送します。

・ Deny：スイッチは、ACEの必須条件を満たしていないパケットをドロップします。

・シャットダウン：スイッチは、ACEの必須条件を満たさないパケットをドロップし、パケットが受信されたポートをディセーブルにします。

注：無効なポートは、[ポートの設定]ページで再アクティブ化することができます。

ステップ7:[Time Range]フィールドの[Enable]チェックボックスをオンにして、ACEに対して時間範囲を設定できるようにします。時間範囲は、ACEが有効な時間を制限するために使用されます。

ステップ8:[Time Range Name]ドロップダウンリストから、ACEに適用する時間範囲を選択します。

注：[編集]をクリックして、[時間範囲]ページに移動し、時間範囲を作成します。

ステップ9:[Destination MAC Address]フィールドで、ACEの目的の条件に対応するオプションボタンをクリックします。

・ Any：すべての宛先MACアドレスがACEに適用されます。

・ User Defined:[Destination MAC Address Value]フィールドと[Destination MAC Wildcard Mask]フィールドに、ACEに適用するMACアドレスとMACワイルドカードマスクを入力します。ワイルドカードマスクは、MACアドレスの範囲を定義するために使用されます。

ステップ10:[Source MAC Address]フィールドで、ACEの目的の条件に対応するオプションボタンをクリックします。

・ Any：すべての送信元MACアドレスがACEに適用されます。

・ User Defined:[Destination MAC Address Value]フィールドと[Destination MAC Wildcard Mask]フィールドに、ACEに適用するMACアドレスとMACワイルドカードマスクを入力します。ワイルドカードマスクは、MACアドレスの範囲を定義するために使用されます。

ステップ11：フレームのVLANタグと一致するVLAN IDを入力します。

ステップ12:（オプション）ACE基準に802.1p値を含めるには、[802.1p]フィールドの[含む]をオンにします。802.1pには、テクノロジークラス(CoS)が含まれます。 CoSは、トラフィックの差別化に使用されるイーサネットフレームの3ビットフィールドです。

ステップ13:802.1p値が含まれている場合は、次のフィールドに入力します。

・ 802.1p Value：照合する802.1p値を入力します。802.1pは、レイヤ2スイッチがトラフィックの優先順位付けとダイナミックマルチキャストフィルタリングを実行できるようにする仕様です。

・ 802.1p Mask — 802.1p値のワイルドカードマスクを入力します。このワイルドカードマスクは、802.1p値の範囲を定義するために使用されます。

ステップ14：一致させるフレームのEthertypeを入力します。Ethertypeは、フレームのペイロードに使用されるプロトコルを示すために使用される、イーサネットフレームの2つのオクテットフィールドです。

ステップ15:[Apply]をクリックします。ACEが作成されます。この例では、作成されたACEは、定義された送信元MACアドレスから送信されるすべての宛先アドレスへのトラフィックを拒否します。 

更新履歴

改定	発行日	コメント
1.0	11-Dec-2018	初版