IPv6 コンフィギュレーション ガイド、Cisco IOS Release 15.1S

IPv6 トラフィック フィルタリングのアクセス コントロール リスト

IPv6 での標準の ACL 機能は、IPv4 での標準の ACL に似ています。アクセス リストによって、ルータ インターフェイスでブロックされるトラフィックおよび転送されるトラフィックが決定され、送信元アドレスと宛先アドレスに基づいて、特定のインターフェイスへの着信と発信をフィルタリングできます。各アクセス リストの最後には、暗黙的な deny 文が指定されています。IPv6 ACL を定義し、拒否条件と許可条件を設定するには、グローバル コンフィギュレーション モードで deny キーワードと permit キーワードを指定して ipv6 access-list コマンドを使用します。

Cisco IOS Release 12.0(23)S および 12.2(13)T 以降では、標準 IPv6 ACL 機能が拡張されて、IPv6 オプション ヘッダー、および任意でより細かい制御を行うための上位層プロトコル タイプ情報に基づくトラフィック フィルタリングがサポートされています（IPv4 での拡張 ACL に似た機能）。

IPsec 認証ヘッダーの IPv6 ACL 拡張

この機能によって、Authentication Header（AH; 認証ヘッダー）の有無にかかわらず、TCP、User Datagram Protocol（UDP; ユーザ データグラム プロトコル）、ICMP、SCTP などの Upper Layer Protocol（ULP; 上位層プロトコル）でマッチングを実行できます。

TCP または UDP トラフィックは、AH が存在する場合でも存在しない場合でも、TCP、UDP、ICMP、SCTP などの Upper Layer Protocol（ULP; 上位層プロトコル）に対してマッチングできます。この機能が導入されるまでは、このようなマッチングは AH が存在しない場合にだけ使用できました。

この機能によって、キーワード auth が permit コマンドと deny コマンドに導入されました。 auth キーワードを指定すると、特定のプロトコル、つまり TCP や UDP とともに認証ヘッダーが存在するかどうかに照らしてトラフィックをマッチングできます。

AH ヘッダーが存在する場合は、IPv6 トラフィックを ULP に対してマッチングできます。このマッチングを実行するには、 permit コマンドまたは deny コマンドを使用するときに、 protocol 引数に ahp オプションを入力します。

IPv6 でのアクセス クラス フィルタリング

IPv6 ACL に基づく、ルータとの間の着信接続と発信接続のフィルタリングは、ライン コンフィギュレーション モードで ipv6 access-class コマンドを使用して実行します。 ipv6 access-class コマンドは、IPv6 ACL が名前で定義される点を除き、 access-class コマンドに似ています。IPv6 ACL が着信トラフィックに適用される場合、ACL 内の送信元アドレスは、着信接続の送信元アドレスに照らしてマッチングされ、ACL 内の宛先アドレスは、インターフェイス上のローカル ルータ アドレスと照合されます。IPv6 ACL が発信トラフィックに適用される場合、ACL 内の送信元アドレスは、インターフェイス上のローカル ルータ アドレスに照らしてマッチングされ、ACL 内の宛先アドレスは、発信接続の送信元アドレスと照合されます。ユーザが任意の接続を試行できるように、すべての仮想端末回線で同じ制限を設定することを推奨します。

Cisco IOS Firewall for IPv6

Cisco IOS Firewall 機能を使用すると、高度なトラフィック フィルタリング機能をネットワークのファイアウォールの不可欠な部分として組み込むことができます。Cisco IOS Firewall for IPv6 によって、Cisco IOS Firewall を IPv6 ネットワークに実装できます。Cisco IOS Firewall は、IPv4 ネットワーク用の Cisco IOS Firewall と共存し、すべてのデュアル スタック ルータでサポートされています。

Cisco IOS Firewall for IPv6 機能は、次のとおりです。

• フラグメント化されたパケット インスペクション：フラグメント ヘッダーを使用して、フラグメント処理をトリガーします。Cisco IOS Firewall Virtual Fragment Reassembly（VFR）は、シーケンスから外れたフラグメントを調べ、それらのパケットを正しい順序に切り替え、一意の識別子が設定された単一の IP からのフラグメント数を調べ（Denial-of-Service（DoS; サービス拒絶）攻撃）、仮想再アセンブリを実行して、パケットを上位層プロトコルに移動します。

• IPv6 DoS 攻撃の軽減：SYN 半開接続を含む、IPv4 実装と同じ方法で、軽減メカニズムが実装されています。

• トンネル化パケット インスペクション：Cisco IOS Firewall ルータで終端するトンネル化 IPv6 パケットは、Cisco IOS Firewall for IPv6 によって検査できます。

• ステートフル パケット インスペクション：この機能によって、TCP、UDP、Internet Control Message Protocol version 6（ICMPv6; インターネット制御メッセージ プロトコル バージョン 6）、および FTP の各セッションのステートフル パケット インスペクションを実行できます。

• IPv4 ネットワークから発信され、IPv6 環境で終端するパケットのステートフル インスペクション：この機能では、IPv4 から IPv6 への変換サービスを使用します。

• 大半の IPv6 拡張ヘッダー情報の解釈または認識：この機能によって、ルーティング ヘッダー、ホップバイホップ オプション ヘッダー、およびフラグメント ヘッダーを含む、IPv6 拡張ヘッダー情報が解釈または認識されます。

• Port-to-Application Mapping（PAM）：Cisco IOS Firewall for IPv6 には PAM が含まれています。

Cisco IOS Firewall for IPv6 での PAM

PAM を使用して、ネットワーク サービスとアプリケーション用の TCP または UDP ポート番号をカスタマイズできます。PAM ではこの情報を使用して、アプリケーションに関連する登録済み、つまり既知のポートと異なるポートを使用しているサービスを実行するネットワーク環境をサポートします。

PAM では、ポート情報を使用して、ポートからアプリケーションへのデフォルト マッピング情報のテーブルをファイアウォールで確立します。PAM テーブルの情報によって、Context-Based Access Control（CBAC; コンテキストベース アクセス コントロール）がサポートしているサービスを非標準ポートで実行できます。CBAC での調査は、アプリケーションに関連付けられている既知のポート、つまり登録済みのポートだけを使用するトラフィックに限定されますが、PAM を使用すると、ネットワーク管理者は、特定のアプリケーションおよびサービスのネットワーク アクセス コントロールをカスタマイズできます。

PAM では、ホストまたはサブネット固有のポート マッピングもサポートしています。これにより、標準 ACL を使用して単一のホストまたはサブネットに PAM を適用できます。ホストまたはサブネット固有のポート マッピングは、標準の ACL を使用して行われます。

Cisco IOS Firewall アラート、監査証跡、およびシステム ロギング

Cisco IOS Firewall によって、ファイアウォールで追跡されたイベントに基づくリアルタイム アラートおよび監査証跡が生成されます。拡張された監査証跡機能では、システム ロギングを使用して、すべてのネットワーク トランザクションを追跡したり、タイムスタンプ、送信元ホスト、宛先ホスト、および使用されたポートを記録したり、高度なセッションベースのレポート用に送信バイト総数を記録したりします。リアルタイム アラートは、システムで疑わしいアクティビティが検出されると、システム ロギング エラー メッセージを中央管理コンソールに送信します。Cisco IOS Firewall インスペクション ルールを使用して、アプリケーション プロトコル単位でアラートと監査証跡情報を設定できます。たとえば、TCP トラフィック用の監査証跡情報を生成する場合、TCP インスペクションを定義する Cisco IOS Firewall ルールで、この情報の生成を指定できます。

Cisco IOS Firewall によって、検査されたセッションの詳細を記録する監査証跡メッセージが提供されます。監査証跡情報は、CBAC インスペクション ルールを使用してアプリケーション単位で設定できます。検査されたプロトコルを識別するには、応答側に関連付けられているポート番号を使用します。ポート番号は、アドレスの直後に表示されます。

IPv6 パケット インスペクション

ヘッダー フィールド（トラフィック クラス、フロー ラベル、ペイロード長、次ヘッダー、ホップ リミット、および送信元アドレスや宛先アドレス）は、すべて IPv6 インスペクション用に使用されます。IPv6 ヘッダー フィールドの詳細および説明については、RFC 2474 を参照してください。

トンネリング サポート

IPv4 でトンネルされる IPv6 パケットは、検査されません。トンネルがルータで終端され、そのトンネルからの IPv6 出トラフィックが終端されない場合、そのトラフィックは検査されます。

仮想フラグメント再アセンブリ

VFR がイネーブルの場合、VFR 処理は、ACL 入力リストが着信パケットに照らしてチェックされたあとに開始されます。入力パケットには、適切な VFR 情報がタグ付けされます。

Cisco IOS Firewall の制約事項

IPv6 では、Cisco IOS Intrusion Detection System（IDS; 侵入検知システム）がサポートされていません。

Cisco IOS Zone-Based Firewall for IPv6

IPv6 トラフィックをサポートするために、Cisco IOS Zone-Based Firewall for IPv6 は Cisco IOS Zone-Based Firewall for IPv4 と共存します。この機能では、TCP、UDP、ICMPv6、および FTP の各セッションに対して MIB サポートが提供されます。

Zone-Based Firewall の詳細については、『 Cisco IOS Security Configuration Guide: Securing the Data Plane 』の「 Zone-Based Policy Firewall 」を参照してください。

IPv6 トラフィック フィルタリングの設定

ここでは、IPv6 トラフィック フィルタリングをイネーブルにする方法について説明します。

• 「トラフィック フィルタリング用の IPv6 ACL の作成および設定」

• 「インターフェイスへの IPv6 ACL の適用」

制約事項

• Cisco IOS Release 12.2(13)T、12.0(23)S、または以降のリリースを実行している場合は、「トラフィック フィルタリング用の IPv6 ACL の作成および設定」の項に進みます。Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースを実行している場合は、「Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースにおけるトラフィック フィルタリング用 IPv6 ACL の作成」の項に進みます。

• IPv6 ACL は、一意な名前で定義されています（IPv6 では番号付き ACL はサポートしていません）。IPv4 ACL および IPv6 ACL は、同じ名前を共有できません。

トラフィック フィルタリング用の IPv6 ACL の作成および設定

ここでは、トラフィックをフィルタリングし、ファイアウォールとして機能し、または潜在的なウイルスを検出するようにネットワーキング デバイスを設定する方法について説明します。次の作業では、IPv6 ACL を作成し、Cisco IOS Release 12.2(13)T および 12.0(23)S または以降のリリースでトラフィックをフィルタリングするようにその IPv6 ACL を設定する方法について説明します。

前提条件

Cisco IOS Release 12.2(13)T および 12.0(23)S または以降のリリースでは、下位互換性のために、グローバル コンフィギュレーション モードでの deny キーワードと permit キーワードを指定した ipv6 access-list コマンドが引き続きサポートされています。ただし、グローバル コンフィギュレーション モードで拒否条件と許可条件を使用して定義された IPv6 ACL は、IPv6 アクセス リスト コンフィギュレーション モードに変換されます。変換された IPv6 ACL 設定の例については、「例：IPv6 ACL の作成および適用」の項を参照してください。

制約事項

• 各 IPv6 ACL には、IPv6 ネイバー探索をイネーブルにするための暗黙的な許可ルールが含まれています。ユーザは、ACL 内に deny ipv6 any any 文を配置することでこれらのルールを上書きできます。IPv6 ネイバー探索プロセスでは、IPv6 ネットワーク層サービスを利用するため、デフォルトで、インターフェイス上での IPv6 ネイバー探索パケットの送受信が IPv6 ACL によって暗黙的に許可されます。IPv4 の場合、IPv6 ネイバー探索プロセスに相当する Address Resolution Protocol（ARP; アドレス解決プロトコル）では、個別のデータ リンク レイヤ プロトコルを利用するため、デフォルトで、インターフェイス上での ARP パケットの送受信が IPv4 ACL によって暗黙的に許可されます。

• 時間ベースの ACL および再帰 ACL は、Cisco 12000 シリーズ プラットフォーム上の IPv4 または IPv6 ではサポートされていません。Cisco 12000 シリーズでは、IPv6 の permit コマンドの reflect キーワード、 timeout キーワード、および time-range キーワードが除外されています。

手順の概要

1. enable

2. configure terminal

3. ipv6 access-list access-list-name

4. permit protocol { source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [ operator [ port-number ]] { destination-ipv6-prefix / prefix-length | any | host destination-ipv6-address | auth } [ operator [ port-number ]] [ dest-option-type [ doh-number | doh-type ]] [ dscp value ] [ flow-label value ] [ fragments ] [ log ] [ log-input ] [ mobility ] [ mobility-type [ mh-number | mh-type ]] [ reflect name [ timeout value ]] [ routing ] [ routing-type routing-number ] [ sequence value ] [ time-range name ]
または
deny protocol { source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address | auth } [ operator [ port-number ]] [ dest-option-type [ doh-number | doh-type ]] [ dscp value ] [ flow-label value ] [ fragments ] [ log ] [ log-input ] [ mobility ] [ mobility-type [ mh-number | mh-type ]] [ routing ] [ routing-type routing-number ] [ sequence value ] [ time-range name ] [ undetermined-transport ]

手順の詳細

インターフェイスへの IPv6 ACL の適用

ここでは、Cisco IOS Release 12.2(13)T および 12.0(23)S または以降のリリースで IPv6 ACL をインターフェイスに適用する方法について説明します。

手順の概要

1. enable

2. configure terminal

3. interface type number

4. ipv6 traffic-filter access-list-name { in | out }

手順の詳細

vty へのアクセスの制御

ここでは、ルータ上の vty へのアクセスを制限する方法について説明します。

• 「IPv6 ACL の作成によるアクセス クラス フィルタリングの提供」

• 「仮想端末回線への IPv6 ACL の適用」

IPv6 ACL の作成によるアクセス クラス フィルタリングの提供

ここでは、IPv6 ACL を作成してアクセス クラス フィルタリングを提供することで、ルータ上の vty へのアクセスを制限する方法について説明します。

手順の概要

1. enable

2. configure terminal

3. ipv6 access-list access-list-name

4. permit protocol { source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address | auth } [ operator [ port-number ]] [ dest-option-type [ doh-number | doh-type ]] [ dscp value ] [ flow-label value ] [ fragments ] [ log ] [ log-input ] [ mobility ] [ mobility-type [ mh-number | mh-type ]] [ reflect name [ timeout value ]] [ routing ] [ routing-type routing-number ] [ sequence value ] [ time-range name ]
または
deny protocol { source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address | auth } [ operator [ port-number ]] [ dest-option-type [ doh-number | doh-type ]] [ dscp value ] [ flow-label value ] [ fragments ] [ log ] [ log-input ] [ mobility ] [ mobility-type [ mh-number | mh-type ]] [ routing ] [ routing-type routing-number ] [ sequence value ] [ time-range name ] [ undetermined-transport ]

手順の詳細

仮想端末回線への IPv6 ACL の適用

アクセス クラス フィルタリング用の IPv6 ACL を作成したあとに、指定した仮想端末回線にその ACL を適用する必要があります。次の作業では、仮想端末回線に ACL を適用する方法を示します。

手順の概要

1. enable

2. configure terminal

3. line [ aux | console | tty | vty ] line-number [ ending-line-number ]

4. ipv6 access-class ipv6-access-list-name { in | out }

手順の詳細

TCP または UDP マッチングの設定

AH の有無に関係なく、TCP または UDP トラフィックを ULP（TCP、UDP、ICMP、SCTP など）に対してマッチングできます。この機能が導入されるまでは、このようなマッチングは AH が存在しない場合にだけ使用できました。

AH が存在する場合は、 permit icmp コマンドおよび deny icmp コマンドで auth キーワードを使用すると、TCP または UDP トラフィックを ULP に対してマッチングできます。AH が存在しない TCP または UDP トラフィックでは、マッチングは実行されません。

AH ヘッダーが存在する場合は、IPv6 トラフィックを ULP に対してマッチングできます。このマッチングを実行するには、 permit コマンドまたは deny コマンドを使用するときに、 protocol 引数に ahp オプションを入力します。

この作業では、AH が存在する場合に、TCP または UDP トラフィックを ULP に対してマッチングできます。

手順の概要

1. enable

2. configure terminal

3. ipv6 access-list access-list-name

4. permit icmp auth

または
deny icmp auth

手順の詳細

Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースにおけるトラフィック フィルタリング用 IPv6 ACL の作成

ここでは、Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースで ACL を作成および適用する方法について説明します。

• 「Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースにおける IPv6 ACL の作成」

• 「Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースのインターフェイスへの IPv6 ACL の適用」

Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースにおける IPv6 ACL の作成

ここでは、IPv6 ACL を作成し、Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースのトラフィックを通過またはブロックするようにこの IPv6 ACL を設定する方法について説明します。

制約事項

• source-ipv6-prefix 引数によって、トラフィックがパケット送信元アドレス別にフィルタリングされ、 destination-ipv6-prefix 引数によって、トラフィックがパケット宛先アドレス別にフィルタリングされます。

• Cisco IOS ソフトウェアでは、アクセス リスト内の許可および拒否の条件文に照らして、IPv6 プレフィクスを比較します。すべての IPv6 アクセス リスト（許可および拒否の条件文が含まれていないアクセス リストを含む）には、最後の一致条件として暗黙的な deny any any 文が含まれています。各条件文に適用されるプライオリティ値またはシーケンス値は、文がアクセス リストで適用される順番を示しています。

手順の概要

1. enable

2. configure terminal

3. ipv6 access-list access-list-name { permit | deny } { source-ipv6-prefix / prefix-length | any } { destination-ipv6-prefix / prefix-length | any } [ priority value ]

手順の詳細

Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースのインターフェイスへの IPv6 ACL の適用

ここでは、Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースのインターフェイスに IPv6 ACL を適用する方法について説明します。

手順の概要

1. enable

2. configure terminal

3. interface type number

4. ipv6 traffic-filter access-list-name { in | out }

手順の詳細

Cisco IOS Firewall for IPv6 の設定

ここでは、IPv6 環境用の Cisco IOS Firewall を設定する方法について説明します。この設定シナリオでは、パケット インスペクションと ACL の両方を使用します。

手順の概要

1. enable

2. configure terminal

3. ipv6 unicast-routing

4. ipv6 inspect name inspection-name protocol [ alert { on | off }] [ audit-trail { on | off }] [ timeout seconds ]

5. interface type number

6. ipv6 address { ipv6-address / prefix-length | prefix-name sub-bits / prefix-length }

7. ipv6 enable

8. ipv6 traffic-filter access-list-name { in | out }

9. ipv6 inspect inspect-name

10. ipv6 access-list access-list-name

11. permit protocol { source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address | auth } [ operator [ port-number ]] [ dest-option-type [ doh-number | doh-type ]] [ dscp value ] [ flow-label value ] [ fragments ] [ log ] [ log-input ] [ mobility ] [ mobility-type [ mh-number | mh-type ]] [ reflect name [ timeout value ]] [ routing ] [ routing-type routing-number ] [ sequence value ] [ time-range name ]
または
deny protocol { source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address | auth } [ operator [ port-number ]] [ dest-option-type [ doh-number | doh-type ]] [ dscp value ] [ flow-label value ] [ fragments ] [ log ] [ log-input ] [ mobility ] [ mobility-type [ mh-number | mh-type ]] [ routing ] [ routing-type routing-number ] [ sequence value ] [ time-range name ] [ undetermined-transport ]

手順の詳細

PAM for IPv6 の設定

• 「PAM 用の IPv6 アクセス クラス フィルタの作成」

• 「PAM への IPv6 アクセス クラス フィルタの適用」

PAM 用の IPv6 アクセス クラス フィルタの作成

ここでは、PAM 環境で使用する IPv6 アクセス クラス フィルタを作成する方法について説明します。

手順の概要

1. enable

2. configure terminal

3. ipv6 access-list access-list-name

4. permit protocol { source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address | auth } [ operator [ port-number ]] [ dest-option-type [ doh-number | doh-type ]] [ dscp value ] [ flow-label value ] [ fragments ] [ log ] [ log-input ] [ mobility ] [ mobility-type [ mh-number | mh-type ]] [ reflect name [ timeout value ]] [ routing ] [ routing-type routing-number ] [ sequence value ] [ time-range name ]
または
deny protocol { source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address | auth } [ operator [ port-number ]] [ dest-option-type [ doh-number | doh-type ]] [ dscp value ] [ flow-label value ] [ fragments ] [ log ] [ log-input ] [ mobility ] [ mobility-type [ mh-number | mh-type ]] [ routing ] [ routing-type routing-number ] [ sequence value ] [ time-range name ] [ undetermined-transport ]

手順の詳細

PAM への IPv6 アクセス クラス フィルタの適用

手順の概要

1. enable

2. configure terminal

3. ipv6 port-map application-name port port-num [ list acl-name ]

手順の詳細

IPv6 でのゾーンベースのファイアウォールの設定

次の作業では、IPv6 環境に対して Cisco IOS のゾーンベースのファイアウォールを設定する方法を示します。

• 「検査タイプ パラメータ マップの設定」

• 「検査タイプ クラス マップの作成と使用」

• 「検査タイプ ポリシー マップの作成と使用」

• 「セキュリティ ゾーンとゾーン ペアの作成」

検査タイプ パラメータ マップの設定

手順の概要

1. enable

2. configure terminal

3. parameter-map type inspect { parameter-map-name | global | default }

4. sessions maximum sessions

5. ipv6 routing-enforcement-header loose

手順の詳細

検査タイプ クラス マップの作成と使用

手順の概要

1. enable

2. configure terminal

3. class-map type inspect { match-any | match-all } class-map-name

4. match protocol tcp

5. match protocol udp

6. match protocol icmp

7. match protocol ftp

手順の詳細

検査タイプ ポリシー マップの作成と使用

手順の概要

1. enable

2. configure terminal

3. policy-map type inspect policy-map-name

4. class type inspect class-map-name

5. inspect [ parameter-map-name ]

手順の詳細

セキュリティ ゾーンとゾーン ペアの作成

手順の概要

1. enable

2. configure terminal

3. zone security 1

4. zone security 2

5. zone-pair security zone-pair-name source { source-zone-name | self | default } destination { destination-zone-name | self | default }

6. service-policy type inspect policy-map-name

手順の詳細

IPv6 セキュリティの設定と動作の確認

ここでは、IPv6 セキュリティ オプションの設定と動作を確認するための情報を表示する方法について説明します。必要に応じて次のコマンドを使用して、設定と動作を確認します。

手順の概要

1. show crypto ipsec sa [ map map-name | address | identity | interface interface-type interface-number | peer [ vrf fvrf-name ] address | vrf ivrf-name | ipv6 [ interface-type interface-number ]] [ detail ]

2. show crypto isakmp peer [ config | detail ]

3. show crypto isakmp profile

4. show crypto isakmp sa [ active | standby | detail | nat ]

5. show ipv6 access-list [ access-list-name ]

6. show ipv6 inspect { name inspection-name | config | interfaces | session [ detail ] | all }

7. show ipv6 port-map [ application | port port-number ]

8. show ipv6 prefix-list [ detail | summary ] [ list-name ]

9. show ipv6 virtual-reassembly interface interface-type

10. show logging [ slot slot-number | summary ]

手順の詳細

IPv6 セキュリティの設定と動作のトラブルシューティング

この任意の作業では、IPv6 セキュリティ オプションの設定と動作をトラブルシューティングするための情報を表示する方法について説明します。次のコマンドを必要なときにだけ使用して、設定と動作を確認します。

手順の概要

1. enable

2. clear ipv6 access-list [ access-list-name ]

3. cle ar ipv6 inspect { session session-number | all }

4. clear ipv6 prefix-list [ prefix-list-name ] [ ipv6-prefix / prefix-length ]

5. debug crypto ipsec

6. debug crypto engine packet [ detail ]

7. debug ipv6 inspect { function-trace | object-creation | object-deletion | events | timers | protocol | detailed }

8. debug ipv6 packet [ access-list access-list-name ] [ detail ]

手順の詳細

	コマンドまたはアクション	目的
ステップ 1	enable   Router# enable	特権 EXEC モードをイネーブルにします。 • 必要に応じてパスワードを入力します。
ステップ 2	clear ipv6 access-list [ access-list-name ]   Router# clear ipv6 access-list tin	IPv6 アクセス リストの一致カウンタをリセットします。
ステップ 3	clea r ipv6 inspect { session session-number | all}   Router# clear ipv6 inspect all	特定の IPv6 セッションまたはすべての IPv6 インスペクション セッションを削除します。
ステップ 4	clear ipv6 prefix-list [ prefix-list-name ] [ ipv6-prefix / prefix-length ]   Router# clear ipv6 prefix-list	IPv6 プレフィクス リスト エントリのヒット カウントをリセットします。
ステップ 5	debug crypto ipsec   Router# debug crypto ipsec	IPsec ネットワーク イベントを表示します。
ステップ 6	debug crypto engine packet [ detail ]   Router# debug crypto engine packet	IPv6 パケットの内容を表示します。 注意 複数のパケットが暗号化される場合、このコマンドを使用すると、システムのフラッディングが発生し、CPU 使用率が高くなる可能性があります。
ステップ 7	debug ipv6 inspect { function-trace | object-creation | object-deletion | events | timers | protocol | detailed }   Router# debug ipv6 inspect timers	Cisco IOS Firewall イベントに関するメッセージを表示します。
ステップ 8	debug ipv6 packet [ access-list access-list-name ] [ detail ]   Router# debug ipv6 packet access-list PAK-ACL	IPv6 パケットのデバッグ メッセージを表示します。

例

ここでは、次の出力例について説明します。

• 「show crypto ipsec sa ipv6 コマンドの出力例」

• 「show crypto isakmp peer コマンドの出力例」

• 「show crypto isakmp profile コマンドの出力例」

• 「show crypto isakmp sa コマンドの出力例」

• 「show ipv6 access-list コマンドの出力例」

• 「show ipv6 prefix-list コマンドの出力例」

• 「show ipv6 virtual-reassembly コマンドの出力例」

• 「show logging コマンドの出力例」

• 「clear ipv6 access-list コマンドの出力例」

show crypto ipsec sa ipv6 コマンドの出力例

次に、 show crypto ipsec sa ipv6 コマンドの出力例を示します。

show crypto isakmp peer コマンドの出力例

次の出力例は、IPv6 ルータ上のピアの説明を示しています。

show crypto isakmp profile コマンドの出力例

次の出力例は、IPv6 ルータで定義されている ISAKMP プロファイルを示しています。

show crypto isakmp sa コマンドの出力例

次の出力例は、アクティブな IPv6 デバイスの SA を示しています。IPv4 デバイスは非アクティブです。

Router# show crypto isakmp sa detail

Codes: C - IKE configuration mode, D - Dead Peer Detection

K - Keepalives, N - NAT-traversal

X - IKE Extended Authentication

psk - Preshared key, rsig - RSA signature

renc - RSA encryption

IPv4 Crypto ISAKMP SA

C-id Local Remote I-VRF Status Encr Hash Auth DH

Lifetime Cap.

IPv6 Crypto ISAKMP SA

dst: 3FFE:2002::A8BB:CCFF:FE01:2C02

src: 3FFE:2002::A8BB:CCFF:FE01:9002

conn-id: 1001 I-VRF: Status: ACTIVE Encr: des Hash: sha Auth:

psk

DH: 1 Lifetime: 23:45:00 Cap: D Engine-id:Conn-id = SW:1

dst: 3FFE:2002::A8BB:CCFF:FE01:2C02

src: 3FFE:2002::A8BB:CCFF:FE01:9002

conn-id: 1002 I-VRF: Status: ACTIVE Encr: des Hash: sha Auth:

psk

DH: 1 Lifetime: 23:45:01 Cap: D Engine-id:Conn-id = SW:2

show ipv6 access-list コマンドの出力例

次の例では、 show ipv6 access-list コマンドを使用して、IPv6 ACL が正しく設定されていることを確認しています。

show ipv6 prefix-list コマンドの出力例

次に、 detail キーワードを指定した show ipv6 prefix-list コマンドの出力例を示します。

show ipv6 virtual-reassembly コマンドの出力例

次に、 interface キーワードを指定した show ipv6 virtual-reassembly コマンドの出力例を示します。

show logging コマンドの出力例

次の例では、 show logging コマンドを使用して、list1 という名前のアクセス リストの最初の行（シーケンス 10）に一致するロギング エントリを表示します。

clear ipv6 access-list コマンドの出力例

次の例では、 show ipv6 access-list コマンドを使用して、list1 という名前のアクセス リスト用の一部の一致カウンタを表示します。 clear ipv6 access-list コマンドを発行して、list1 という名前のアクセス リスト用の一致カウンタをリセットします。 show ipv6 access-list コマンドを再度使用して、一致カウンタがリセットされたことを示します。

例：IPv6 ACL の作成および適用

• 「例：Release 12.2(13)T または 12.0(23)S 用の IPv6 ACL の作成および適用」

• 「例：12.2(11)T、12.0(22)S、または以前のリリース用の IPv6 ACL の作成および適用」

例：Release 12.2(13)T または 12.0(23)S 用の IPv6 ACL の作成および適用

次に、Cisco IOS Release 12.2(13)T を実行しているルータの例を示します。

この例では、OUTBOUND および INBOUND という名前の 2 つの IPv6 ACL を設定し、両方の ACL をイーサネット インターフェイス 0 上の発信トラフィックと着信トラフィックに適用します。OUTBOUND リスト内の最初と 2 番めの許可エントリは、ネットワーク 2001:0DB8:0300:0201::/32 から送信されたすべての TCP および User Datagram Protocol（UDP; ユーザ データグラム プロトコル）パケットがイーサネット インターフェイス 0 から出て行くことを許可します。また、エントリは REFLECTOUT という名前の一時的な IPv6 リフレクシブ ACL を設定して、イーサネット インターフェイス 0 上で回帰（着信）TCP および UDP パケットをフィルタリングします。OUTBOUND リストの最初の拒否エントリは、ネットワーク fec0:0:0:0201::/64 から送信されたすべてのパケット（送信元 IPv6 アドレスの最初の 64 ビットとしてサイトローカル プレフィクス fec0:0:0:0201 を持つパケット）がイーサネット インターフェイス 0 から出て行くことを拒否します。

INBOUND リストの evaluate コマンドは、REFLECTOUT という名前の一時的な IPv6 リフレクシブ ACL をイーサネット インターフェイス 0 上の着信 TCP および UDP パケットに適用します。OUTBOUND リストによって発信 TCP または UDP パケットがイーサネット インターフェイス 0 上で許可された場合、INBOUND リストは REFLECTOUT リストを使用して、回帰（着信）TCP および UDP パケットを照合（評価）します。

（注） OUTBOUND または INBOUND ACL の最後のエントリとして permit any any 文が含まれていないので、イーサネット インターフェイス 0 への出入りが許可されるのは、ACL に設定された許可エントリに一致する TCP と UDP パケット、および ACL 内の暗黙的な許可条件に一致する ICMP パケットだけになります（ACL の末尾にある暗黙的な deny all 条件は、インターフェイス上の他のすべてのパケット タイプを拒否します）。

次の例は、Cisco IOS Release 12.2(13)T または 12.0(23)S を実行するルータ上で実行できます。

次の例は、HTTP アクセスを日中の特定の時間に制限し、許可時間外のアクティビティを記録するように設定します。

例：12.2(11)T、12.0(22)S、または以前のリリース用の IPv6 ACL の作成および適用

次に、Cisco IOS Release 12.2(11)T、12.0(22)S、または以前のリリースを実行するルータでの例を示します。

この例では、list2 という名前の IPv6 ACL を設定し、その ACL をイーサネット インターフェイス 0 上の発信トラフィックに適用します。特に、最初の ACL エントリは、ネットワーク fec0:0:0:2::/64（送信元 IPv6 アドレスの最初の 64 ビットとしてサイトローカル プレフィクス fec0:0:0:2 を持つパケット）がイーサネット インターフェイス 0 から出て行くことを拒否します。2 番めの ACL エントリは、その他のすべてのトラフィックがイーサネット インターフェイス 0 から出て行くことを許可します。2 番めのエントリは、各 IPv6 ACL の末尾に暗黙的な deny all 条件があるため、必要となります。

同じ設定が、Cisco IOS Release 12.2(13)T、12.0(23)S、または以降のリリースを実行しているルータで使用されていた場合、その設定は次のように IPv6 アクセス リスト コンフィギュレーション モードに変換されます。

（注） IPv6 は、グローバル コンフィギュレーション モードから IPv6 アクセス リスト コンフィギュレーション モードに変換される permit any any 文および deny any any 文でプロトコル タイプとして自動的に設定されます。

例：vty へのアクセスの制御

次の例では、仮想端末回線 0 ～ 4 に着信する接続は、acl1 という名前の IPv6 アクセス リストに基づいてフィルタリングされます。

例：TCP または UDP マッチングの設定

次の例では、AH の有無にかかわらず、すべての TCP トラフィックを許可しています。

次の例では、AH ヘッダーが存在する場合にだけ TCP または UDP 解析を許可しています。AH が存在しない TCP または UDP トラフィックでは、マッチングは実行されません。

次の例では、認証ヘッダーを持つすべての IPv6 トラフィックを許可しています。

例：Cisco IOS Firewall for IPv6 の設定

この Cisco IOS Firewall 設定例では、インバウンド フィルタおよびアウトバウンド フィルタを検査に使用し、アクセス リストを利用してトラフィックを管理しています。この検査メカニズムは、状態が維持される、既存のセッションの間有効なパケットに基づいて、戻されてくるトラフィックを許可する方法です。

例：Cisco IOS Zone-Based Firewall for IPv6 の設定

次に、ゾーンベースのファイアウォールをイネーブルにし、ルータを通過する IPv6 トラフィックの検査を実現する例を示します。

関連資料

規格

MIB

RFC

シスコのテクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、および図は、説明のみを目的として使用されています。説明の中に実際のアドレスが使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2001-2011 Cisco Systems, Inc.
All rights reserved.

Copyright © 2001-2011, シスコシステムズ合同会社.
All rights reserved.