ACL とは、トラフィックのフィルタリングに使用する順序付きのルール セットのことです。各ルールには、パケットがルールに一致するために満たさなければならない条件のセットが規定されています。デバイスは、ある ACL がパケットに適用されると判断すると、そのすべてのルールの条件にパケットを照合し、テストします。最初に一致したルールで、そのパケットが許可されるか拒否されるかが決定されます。一致するものがなければ、デバイスは適用可能な暗黙のルールを適用します。デバイスは、許可されたパケットの処理を続行し、拒否されたパケットはドロップします。

ACL を使用すると、ネットワークおよび特定のホストを、不要なトラフィックや望ましくないトラフィックから保護できます。たとえば、ACL を使用して、厳重にセキュリティ保護されたネットワークからインターネットに HTTP トラフィックが流入するのを禁止できます。また、特定のサイトへの HTTP トラフィックだけを許可することもできます。その場合は、サイトの IP アドレスが、IP ACL に指定されているかどうかによって判定します。

IP ACL の前提条件は次のとおりです。

• IP ACL を設定するためには、IP アドレッシングおよびプロトコルに関する知識が必要です。

• ACL を設定するインターフェイス タイプについての知識が必要です。

IP ACL の設定に関する注意事項と制約事項は次のとおりです。

（注）	リリース 7.0(3)I7(1) から現在のリリースまでのさまざまな機能をサポートする Cisco Nexus 9000 シリーズ プラットフォーム スイッチの詳細については、Nexus スイッチ プラットフォーム サポート マトリックスを参照してください。

• Cisco NX-OS リリース 10.2（1）F 以降、出力 PACL は N9K-C9364D-GX2A および N9K-C9332D-GX2B プラットフォーム スイッチでサポートされます。

• 出力 PACL と出力 VACL を同じインターフェイスに設定すると、出力 VACL だけが有効になります。

• ACL の設定には Session Manager を使用することを推奨します。この機能によって、ACL の設定を確認し、設定を実行コンフィギュレーションにコミットする前に、その設定が必要とするリソースが利用可能かどうかを確認できます。この機能は、1,000 以上のルールが含まれている ACL に対して特に推奨されます。Session Manager の詳細については、『Cisco Nexus 9000 シリーズ NX-OS システム管理設定ガイド』を参照してください。

• 12K 〜 64K の範囲の IPv4 PACL の設定は、-RX ラインカードを搭載した Cisco Nexus 9500 シリーズ スイッチでサポートされます。

• 異なるシーケンス番号を持つ重複した ACL エントリは、設定で許可されます。ただし、これらの重複エントリはハードウェア アクセス リストにプログラムされません。

• 最大 62 の一意の ACL を設定できます。各 ACL は、1 つのラベルを持ちます。同じ ACL が複数のインターフェイスで設定される場合、同じラベルが共有されます。ただし、各 ACL が一意のエントリを持つ場合、ACL のラベルは共有されず、そのラベルの上限は 62 です。これは、Cisco Nexus 9500 シリーズ スイッチおよび Cisco Nexus 3636C-R スイッチには適用されません。

• 通常、IP パケットに対する ACL 処理は I/O モジュール上で実行されます。これには、ACL 処理を加速化するハードウェアを使用します。場合によっては、スーパーバイザ モジュールで処理が実行されることもあります。この場合、特に多数のルールが設定されている ACL を処理する際には、処理速度が遅くなることがあります。管理インターフェイス トラフィックは、常にスーパーバイザ モジュールで処理されます。次のカテゴリのいずれかに属する IP パケットがレイヤ 3 インターフェイスから出る場合、これらのパケットはスーパーバイザ モジュールに送られて処理されます。

  • レイヤ 3 最大伝送単位チェックに失敗し、そのためにフラグメント化を要求しているパケット

  • IP オプションがある IPv4 パケット（他の IP パケット ヘッダーのフィールドは、宛先アドレス フィールドの後）

  • 拡張 IPv6 ヘッダー フィールドがある IPv6 パケット

  レート制限を行うことで、リダイレクト パケットによってスーパーバイザ モジュールに過剰な負荷がかかるのを回避します。

• 時間範囲を使用する ACL を適用すると、デバイスは、その ACL エントリで参照される時間範囲の開始時または終了時に ACL エントリを更新します。時間範囲によって開始されるアップデートはベストエフォート型のプライオリティで実行されます。時間範囲によってアップデートが生じたときにデバイスの処理負荷が非常に高い場合、デバイスはアップデートを最大数秒間遅らせることがあります。

• IP ACL を VLAN インターフェイスに適用するためには、VLAN インターフェイスをグローバルにイネーブル化する必要があります。VLAN インターフェイスの詳細については、『Cisco Nexus 9000 シリーズ NX-OS インターフェイス設定ガイド』を参照してください。

• VTY ACL 機能はすべての VTY 回線のすべてのトラフィックを制限します。異なる VTY 回線に異なるトラフィックの制限を指定できません。どのルータの ACL も VTY ACL として設定できます。

• 出力 VTY ACL（アウトバウンド方向の VTY 回線に適用される IP ACL）は、ファイル転送プロトコル（TFTP、FTP、SCP、SFTPなど）が出力 VTY ACL 内で明示的に許可されていない限り、スイッチがファイル転送プロトコルによってファイルをコピーするのを禁止します。

• 未定義の ACL をインターフェイスに適用すると、システムは空の ACL と見なし、すべてのトラフィックを許可します。

• IPトンネルは、ACLまたはQoSポリシーをサポートしません。

• VXLAN 向け ACL には次の注意事項が適用されます。

  • アクセスからネットワーク方向（レイヤ 2 からレイヤ 3 のカプセル化パス）のトラフィックに対してレイヤ 2 ポートに適用される入力ポート ACL は、内部ペイロードでサポートされます。

  • アクセス側でポート ACL を使用して、オーバーレイ ネットワークに入るトラフィックをフィルタリングすることを推奨します。

  • ネットワークからアクセス方向（レイヤ 3 からレイヤ 2 へのカプセル化解除パス）の内部または外部ペイロードで照合されるアップリンク レイヤ 3 インターフェイスに適用される入力ルータ ACL はサポートされません。

  • アクセスからネットワーク方向（カプセル化パス）の内部または外部ペイロードで照合されるアップリンク レイヤ 3 インターフェイスに適用される出力ルータ ACL はサポートされません。

• Cisco Nexus 9300 および 9500 シリーズ スイッチ、および Cisco Nexus 9200 および 9300-EX シリーズスイッチには、VXLAN トラフィックで使用できる ACL オプションに関する次の制限があります。

  • ネットワークからアクセス方向（カプセル化解除パス）のトラフィックに対する、レイヤ 2 ポートに適用される出力ポート ACL はサポートされません。

  • アクセスからネットワーク方向（カプセル化パス）のトラフィックに対する、VLAN に適用される入力 VACL はサポートします。

  • ネットワークからアクセス方向（カプセル化解除パス）のトラフィックに対する、VLAN に適用される出力 VACL はサポートします。

  • アクセスからネットワーク方向（カプセル化パス）のトラフィックに対する、SVI に面するテナントまたはサーバに適用される入力 RACL はサポートします。

  • ネットワークのアクセス方向（カプセル化解除パス）へのトラフィック用に、テナントまたはサーバに適用される出力 RACL はサポートします。

• IPv6 ACL ロギングは、出力 PACL ではサポートされません。

• 出力方向の IPv4 ACL ロギングはサポートされていません。

• VACL の ACL ロギングはサポートされていません。

• ACL ロギングは、ip port access-group コマンドで設定されたポート ACL と、ip access-group コマンドで設定されたルータ ACL にのみ適用されます。

• DoS 攻撃を防ぐため、IPv4 ACL フローの総数はユーザ定義の最大値に制限されます。この制限に到達すると、新しいログは既存のフローが終了するまで作成されません。

• IPv4 ACL ロギングによって生成される syslog エントリ数は、ACL ロギング プロセスで設定されたログ レベルによって制限されています。Syslog エントリの数がこの制限を超えると、ロギング機能が一部のロギング メッセージをドロップする場合があります。したがって、IPv4 ACL ロギングは課金ツールやACLとの一致数を正確に把握するための情報源として使用しないでください。

• 出力ルータ ACL はサブインターフェイスと、Cisco Nexus 9300 シリーズ スイッチ アップリンク ポートではサポートされません。

• ネットワーク フォワーディング エンジン（NFE）対応スイッチの場合、トンネル インターフェイスの外部ヘッダーで照合される入力 RACL はサポートされません。

• 複数のインターフェイスに同じ QoS ポリシーと ACL が適用された場合、ラベルが共有されるのは、QoS ポリシーが no-stats オプションで適用されたときだけです。

• スイッチ ハードウェアは、出力 TCAM の範囲チェック（レイヤ 4 動作）をサポートしません。したがって、レイヤ 4 オペレーション ベースの分類をする ACL および QoS ポリシーは、出力 TCAM での複数エントリに拡張する必要があります。

  スイッチ ハードウェアは、最大 16 のレイヤ 4 オペランドのみをサポートします。出力 TCAM スペース計画では、この制限を考慮してください。詳細は、論理演算子と論理演算ユニット のセクションを参照してください。

• N9K-X96136YC-R、N9K-X9636C-RX、N9K-X9636C-RX、N9K-X9636Q-Rの場合は、 hardware profile acl-eg-ext module all コマンドを、eg-racl-v6 を EoR スイッチの SVI またはポートオブジェクトに適用する前に実行します。

• TCAM リソースは次のシナリオでは共有されま。

  • ルーテッド ACL を複数のスイッチ仮想インターフェイス（SVI）に入力方向で適用する場合。

  • ルーテッド ACL を複数のレイヤ 2 インターフェイスに入力または出力方向で適用する場合。

• TCAM リソースは次のシナリオでは共有されません。

  • VACL（VLAN ACL）が複数のVLANに適用される場合。

  • ルーテッド ACL を出力方向の複数の SVI に適用する場合。

• HTTP 方式に基づくアクセス リストは、Cisco Nexus 9200、9300-EX、9300-FX、9300-FX2、9300-FXP、および 9300-GX プラットフォーム スイッチと、N9K-X9700- EX および N9K-X9700-FX ライン カードではサポートされません。これらすべてのスイッチでは、UDF ベースの ACL を使用する必要があります。

• HTTP メソッドは FEX ポートではサポートされません。

• 次の注意事項と制約事項は、Cisco Nexus 9200 および 9200-EX シリーズ スイッチに適用されます。

  • 出力 MAC ACL はサポートされていません。

  • トンネルがトラフィックの発信元となっているデバイスでのトンネル インターフェイスの外部ヘッダーでパケットが照合される場合、出力 RACL はインターフェイスでサポートされません。

  • トンネル インターフェイスの外部ヘッダーで照合される入力 RACL はサポートされません。

  • IP の長さをベースに一致基準はサポートされていません。

  • すべての ACL ベースの機能を同時に有効にすることはできません。

  • 16 の レイヤ 4 操作がサポートされます。

  • レイヤ 4 動作は、出力 TCAM リージョンではサポートされません。

  • MAC 圧縮表サイズは 4096 + 512 オーバーフロー TCAM です。

  • MAC アドレスと MAC マスクのオーバーラップは拒否されます。

  • ACL ログ レート リミッタには、送信またはドロップされたパケット用のハードウェア カウンタはありません。

  • ACL ログ レート リミッタは、集約レート制限を使用する代わりに、TCAM 単位のエントリ レベルで実装され、デフォルトは 1 pps です。

  • ネットワーク アドレス変換（NAT）の例外カウンタはゼロです。

  • TAP アグリゲーションでは PACL リダイレクトだけがサポートされます。VACLリダイレクトはサポートされていません。

  • DHCPv4 スヌーピングまたはリレー、DHCPv6 リレー、ARP スヌーピング、VXLAN の 4 つの機能のうち、同時にサポートできるのは 3 つだけです。適用されるのは最初に設定された 3 つの機能であり、3 つのブリッジ ドメイン ラベル ビットがすべて使用中になるため、4 番目は失敗します。

  • RACLは、マルチキャスト MAC 宛先アドレスを持つパケットでは照合できません。

• 次の注意事項と制約事項は、Cisco Nexus 9364C-GX、Cisco Nexus 9316D-GX、および Cisco Nexus 93600CD-GX シリーズ スイッチに適用されます。

  • MAC 圧縮表サイズは 4096 + 512 オーバーフロー TCAM です。

  • MAC アドレスと MAC マスクのオーバーラップは拒否されます。

• -R ライン カードを備えた Cisco Nexus 9504 および 9508 プラットフォーム スイッチでは、次の TCAM はサポートされません。

  • すべての FEX 関連 TCAM

  • すべての xxx-lite 関連の TCAM リージョン

  • レンジャー関連の TCAM

  • すべての FCoE 関連の TCAM

• ing-netflow リージョンの TCAM カービング設定は、-FX ライン カードでは実行できます。-EX ライン カードでは、デフォルトの ing-netflow リージョン TCAM カービングが 1024 であり、それ以外の場合は設定できません。-EX および -FX ライン カードのポートの場合、ing-netflow リージョンの推奨最大値は 1024 です。

• Cisco Nexus 9200 および 9300-EX プラットフォーム スイッチでは、sup-redirect ACL の方が SUP 宛てのトラフィックに対してより高いプライオリティを持っているため、ACL ログオプションを使用したルータ ACL は有効になりません。

• Cisco Nexus 9300-Gx プラットフォーム スイッチでは、ACL リダイレクトを使用する dot1q VLAN は、1 〜 511 の VLAN ID のみをサポートします。

  PACL リダイレクトまたは TapAgg が設定されている場合、switchport access vlan vlan-id コマンドは 1 〜 511 の VLAN ID のみをサポートします。

• FHRP VIP 宛てのトラフィックで、トラフィックを許可するように設計された ACL ログが有効な ACE と一致する FHRP スタンバイで入力されるトラフィックの場合、Cisco Nexus 9000 シリーズ スイッチはこのパケットをドロップします。

• Cisco Nexus 3172TQ、3172TQ-XL、36180YC -R および 3636C-R スイッチでは、同じ VLAN タグに一致する SVI およびサブインターフェイスがある場合、その SVI でアクセスリストが設定されていると、サブインターフェイスを介してルーティングされるトラフィックはドロップされます。これは ASIC の制限によるもので、L3 サブインターフェイスの出力ルータ ACL はこの制限によりサポートされません。

• Cisco Nexus N9K-C9364D-GX2A および N9K-C9332D-GX2B プラットフォーム スイッチは、出力ルータ ACL で次をサポートしません。

  • ICMP Type Match をサポートするUDF。

  • ACL ログオン出力

  • 追加のフィルタオプション tcp/udp ポートと lt/gt を指定した出力 IPv4 ルータ ACL

  • 追加のフィルタオプション tcp/udp ポートと neq を含む出力 IPv4 ルータ ACL

  • 範囲付きの追加のフィルタオプション tcp/udp ポートを含む出力 IPv4 ルータ ACL

  • フラグ付き出力 IPv4 ルータ ACL

  • 外部 TCAM の出力ルータ ACL

  • 出力 PACL のサポート

  • 統計のサポート

  • ラベル共有

• -R および -RX ライン カードを備えた Cisco Nexus 9500 プラットフォーム スイッチには、次の注意事項があります。

  • アトミック ACL 更新は、マルチホップ BFD および CoPP 機能を除くすべての入力 ACL 機能でサポートされます。

  • アトミック ACL 更新は、出力 ACL 機能ではサポートされません。

  • ラベル共有は、同じ ASIC 内の異なるインターフェイス上の同じポリシーでのみサポートされます。

  • Cisco NX-OS リリース 9.2(3) では、次の ACL 統計情報がサポートされています。

    • PACL：IPv4（内部、外部両方の TCAM を含む）

    • ルータ ACL：IPv4（入力 RACL-IPv4 と出力 RACL-IPv4 の両方の内部 TCAM）

    • 出力では 2K カウンタのみがサポートされます。

  • 次の ACL 統計情報はサポートされていません。

    • BFD

    • DHCP：IPv4およびIPv6

    • PACL：MAC

    • PACL：IPv6

    • PBR：IPv4 および IPv6

    • RACL：Pv6

    • 外部 TCAM を使用する場合の RACL：IPv4

• ACL ラベル共有は、Cisco Nexus 9300-EX/FX/FX2/FX3/GX/GX2 および 9300C プラットフォーム スイッチで機能しますが、次の制限があります。

  • ACL 統計情報はデフォルトで無効になっています。ただし、統計情報は QoS ポリシーに対してのみデフォルトで有効になっています。

  • ACL ターゲット（ポート/VLAN/SVI など）は、同じスライスおよびポート上にある必要があります。

  • さらに、ラベル スペースは次の機能と共有されます。

    • 入力 RACL、PBR、および入力 L3 QoS

    • 入力 PACL、入力 L2 QoS

    • 出力 RACL、出力 QoS

  （注）	ラベル共有を機能させるには、インターフェイスで同じ機能セットがサポートされていることを確認します。

• hardware profile acl-stats module xx コマンドを使用して ACL TCAM エントリのカウンタをイネーブルにすると、show interface の input discard フィールドは常にゼロになります。この制限は、-R および -RX ライン カードを備えた Cisco Nexus 9500 プラットフォーム スイッチにのみ適用されます。

• -R および -RX ライン カードを備えた Cisco Nexus 9500 プラットフォームスイッチは、以下をサポートしません。

  • 出力のアトミック アップデート

  • 外部 TCAM の出力ルータ ACL

  • UDF を伴う出力 ルータ ACL

  • 出力と入力の両方のルータ ACL v6 カウンタ

  • l4 ops による出力および出力ルータ ACL IPv6

  • サブインターフェイスの出力ルータ ACL

  • IPv6 ICMP タイプおよびコードによる出力および入力ルータ ACL

  • tcp-flag を使用した IPv6 入力ルータ ACL

  • 追加オプション付きの IPv4 ルータ ACL

• Cisco NX-OS リリース 9.3(3) では、出力 IPv4 RACL は、-R および -RX ライン カードを備えた Cisco Nexus 9504 および 9508 プラットフォーム スイッチで次をサポートします。

  • TCP フラグ

  • ICMP のタイプとコード

  • ACL ログ

• IPv6 出力 ACL は、-R および -RX ライン カードを備えた Cisco Nexus 9504 および 9508 プラットフォーム スイッチで次をサポートします。

  • レイヤ 4 プロトコル

  • TCP フラグ

  • フラグメント

  • IPv4 の ACL ログ

  • IPv6 ヘッダーのフィールド

  IPv6 出力 ACL には、次の制限が適用されます。

  • ポート グループおよびレイヤ 4 操作はサポートされていません。範囲は eg-racl-ipv6 の複数の ACE エントリに拡張されます。

  • アドレス グループで定義されたホストはサポートされていません。

  • カウンタはサポートされていません。

  • 出力 IPv6 RACL は、サブインターフェイスおよび外部 TCAM ではサポートされません。

  • アトミック更新はサポートされていません。

  • acl-eg-ext が有効になっている場合、VXLAN はサポートされません。

• PACL リダイレクトは Cisco Nexus 9300-GX スイッチでサポートされます。次の制限が適用されます。

  • PACL リダイレクトをサポートするには、入力タップ インターフェイスで mode tap-agg コマンドを実行する必要があります。

  • MPLS ストリップ機能をサポートするには、mpls strip および hardware acl tap-agg コマンドを設定し、スイッチをリロードする必要があります。

  • ダブルタグ VLAN の場合、2番目の VLAN の範囲は 2 〜 510 です。

  • dot1q VLAN を使用した MPLS ストリップはサポートされていません。

  • リダイレク トポートがアクセスポートとして設定されている場合でも、着信パケットがタグ付けされている場合、リダイレクト ポートはタグを伝送します。

  • 拒否 ACE では、TapAgg リダイレクトはサポートされていません。

• Cisco NX-OS リリース 10.1(2) では、N9K-X9736C-FX、N9K-X9788TC-FX、N9K-X97160YC-EX ラインカードの混合モードでは PACL リダイレクト機能はサポートされていません。

• 出力 ACL は、VLAN 間ルーティングフローの 2 番目の VLAN の IP アドレスを宛先とするトラフィックをサポートしません。

• Cisco Nexus 9300-EX/FX/FX2/FX3/GX プラットフォーム スイッチおよび Cisco Nexus N9K-93180YC-FX スイッチでは、レイヤ 3 インターフェイスのマルチキャスト MAC 宛先アドレスを持つパケットで RACL を照合できません。ルーティング可能な修飾子を削除するようにACLを設定する場合は、ignore routable コマンドを使用します。ただし、ignore-routable を RACL に追加して SVI に適用すると、RACL はブリッジされたパケットともマッチします。

• ワイルドカード ビットが A.B.C.D 形式の場合、Get 操作は不完全なデータを提供したり、シーケンス番号を提供しなかったりします。これは既知の動作です。Open Config モデルには、srcPrefixMask/dstPrefixMask がありません。また、連続していないマスクのプレフィックス長にマスクを変換できないため、プレフィックス長に対して意味のある値を返すことはできません。

• ing-sup 領域の最小サイズは 512 エントリで、egr-sup リージョンの最小サイズは 256 エントリです。これらのリージョンを小さい値に設定することはできません。任意のリージョンサイズを、256の倍数のエントリの値だけで切り分けることができます（ただし、spanリージョンは512の倍数のエントリで切り分けることができます）。

• Cisco NX-OS リリース 9.3(9) 以降、レイヤ 3 サブインターフェイス送信側ルーター ACL 機能は、Cisco Nexus 9300-EX、9300-FX、および 9300-FX2 プラットフォーム スイッチでサポートされています。

• 出力 RACL V6 リージョンの場合、hw profile mdb-balanced-exemを設定する必要があります。

• Cisco NX-OS リリース 10.2(2)F 以降、出力 PACL 機能は、Cisco Nexus 9300-GX および N9K-C93108TC-FX3P および N9K-C93180YC-FX3 プラットフォーム スイッチの出力ルータ ACL でサポートされます。

• Cisco NX-OS リリース 10.2(3)F 以降、サブインターフェイスの出力フィルタリング機能は、Cisco Nexus 9300-FX/FX2/FX3/GX/GX2 プラットフォーム スイッチのレイヤ 3 サブインターフェイス出力ルータ ACL をサポートします。

• Cisco NX-OS リリース 10.2(3)F 以降、ACL LOU しきい値の増加機能は、Cisco Nexus 9500-R プラットフォーム スイッチでの ACL 設定の設定可能な LOU しきい値制限をサポートします。

• Cisco NX-OS リリース 10.3(1)F 以降、ITD NAT VRF 構成は Cisco Nexus 9300-GX プラットフォーム スイッチで提供されます。

• Cisco NX-OS リリース 10.3(1)F 以降、ACL 整合性チェッカーのサポートは Cisco Nexus 9808 プラットフォーム スイッチで提供されます。

  • Cisco NX-OS リリース 10.4(1)F 以降、ACL 一貫性チェッカーは、Cisco Nexus 9808 スイッチ（Cisco Nexus X98900CD-A、X9836DM-A ライン カード搭載）サポートされます。

• Cisco NX-OS リリース 10.4(1)F 以降、ACL 一貫性チェッカーは、Cisco Nexus 9804 プラットフォーム スイッチ（Cisco Nexus X98900CD-A、X9836DM-A ライン カード搭載）で提供されます。

• Cisco Nexus 9808/9804 プラットフォーム スイッチには、ACL SUP サポートに関する次の制限があります。

  • ACE では、match COS および match VLAN はサポートされていません。

  • nd-na および nd-ns パケットが IPv6 ACE と一致することを確認してください。

  • TCAM カービングはサポートされません。ただし、個々の機能に現在割り当てられている TCAM を表示できます。現在割り当てられている TCAM を表示するには、show hardware access-list resource usage コマンドを使用します。

  • 中央 TCAM がサポートされています。ただし、入力 ACL と出力 ACL の両方で共有されます。

  • UDF はサポートされていません。

  • LOU はサポートされていません。

  • IPv6 フラグメントは、出力 RACL で一致しません。

  • L2 ACL 機能はサポートされていません。

  • ODM マージはサポートされていません。

  • IPv6 の次のヘッダー照合は、最も内側の次のヘッダーとの照合を行います。パイプラインは解析できます。

  • 一意のバースト値（16 個）のみサポートされています。このため、ユーザーが設定したバースト値は、最も近い 2 電力値（最小 64 から最大 65536）にマッピングされます。

  • 各 IPv6 ACL は 1,000 ACE に制限されています。これは、すべての IPv6 ACL（RACL、QoS、または SPAN フィルタ）に適用されます。このような制限は IPv4 ACL には適用されません。

• Cisco NX-OS リリース10.3(1)F 以降、Cisco Nexus 9808 プラットフォーム スイッチでは、統計付きの RACL (Ingress-IPv4/IPv6 および Egress-IPv4/IPv6) がサポートされています。ただし、UDF はサポートされていません。

  • Cisco NX-OS リリース 10.4(1)F 以降、Cisco Nexus X98900CD-A および Cisco Nexus 9808 スイッチの N9K-X9836DM-A ライン カードの統計情報を使用した RACL（入力 -IPv4/IPv6 および出力 -IPv4/IPv6）がサポートされます。

• Cisco NX-OS リリース 10.4(1)F 以降、Cisco Nexus 9804 プラットフォーム スイッチ、および Cisco Nexus X98900CD-A および X9836DM-A ライン カードの統計情報を使用した RACL（入力 -IPv4/IPv6 および出力 -IPv4/IPv6）がサポートされます。ただし、UDF はサポートされていません。

• Cisco Nexus 9808/9804 プラットフォーム スイッチの ACL 統計を表示するには、hardware access-list tcam per-entry-stats template racl コマンドを有効にする必要があり、hardware access-list tcam per-entry-stats template racl コマンドを構成した後にスイッチのリロードが必要です。

• Cisco Nexus 9808/9804 プラットフォーム スイッチには、CoPP サポートに関する次の制限があります。

  • ステージ 1、ステージ 2、およびステージ 3 の CoPP ポリサー統計は PPS にあります。

    （注）	CoPP ステージ 3 の統計情報は、システムのスイッチオーバー後にゼロにリセットされます。

  • ステージ 2 出力は LC/モジュール レベルで、ステージ 3 出力は SUP/CPU レベルです。

  • カスタム CoPP では、ポリサー レートと cos の変更がサポートされています。

  • ファブリック/FM はインバンド パスに含まれません。

  • CoPP 整合性チェッカーはサポートされていません

  • サポートされる CIR の最小値は 125 PPS です。

  • CIR 0 がサポートされています。

  • CoPP ACL エントリのエントリごとの統計はありません。

  • MACsec パケットは BPDU キューにマッピングされます。

  • 一意のバースト値（16 個）のみサポートされています。このため、ユーザーが設定したバースト値は、最も近い 2 電力値（最小 64 から最大 65536）にマッピングされます。

• リダイレクト オプションを使用した MAC ACL または PACL（ポート ACL）の拒否 ACE は、Cisco Nexus 9000 シリーズ スイッチではサポートされていません。

• Cisco NX-OS リリース 10.3(2)F 以降、ACL 自動名入力機能は Cisco Nexus 9000 シリーズ プラットフォーム スイッチでサポートされています。

• Cisco NX-OS リリース 10.4(1)F 以降では、Cisco Nexus 9300-EX/FX/FX2/FX3/GX/GX2、C9364C、C9332C、および 9700-EX/FX/GX のライン カードを搭載した Cisco Nexus 9500 で、SUP ルールよりも IP または IPv6 ACL ルールを優先して適用するための新しい ACE キーワード（all）が追加されました。

• Cisco NX-OS リリース 10.4(1)F 以降、セキュリティ ACL は Cisco Nexus 9332D-H2R プラットフォーム スイッチでサポートされます。

• Cisco NX-OS リリース 10.4(1)F 以降では、Cisco Nexus 9332D-H2R スイッチで柔軟な TCAM 構成がサポートされています。入力および出力リージョンは、このプラットフォーム スイッチで 14K 共有 TCAM を使用します。

  （注）

  Cisco Nexus 9332D-H2R スイッチでは、Cisco Nexus 9300-FX3、GX2 スイッチのような共有 TCAM モデルの方向ごとの合計 TCAM サイズの制限はありません。制限 14K は、両方向の TCAM サイズの合計に適用されます。 14K は、それぞれ 512 エントリの 28 ブロックに分割されます。入力または出力方向の TCAM への割り当ては、ブロック サイズの粒度で行われます。構成された入力リージョン サイズの合計が 256 の倍数である場合、ブロック レベルの割り当て粒度にさらに 256 が割り当てられます（未使用）。構成されている出力リージョン サイズの合計についても同様です。

次の表に、IP ACL パラメータのデフォルト設定を示します。

IP ACL の設定情報を表示するには、次のいずれかの作業を行います。

permit tcp 100.1.1.0/24 eq 10006 100.1.1.0/24 eq 0x4e24/fffe [0]

permit tcp 100.1.1.0/24 eq 10006 100.1.1.0/24 range 20004 20005 routeable 0x1 [0]

acl-01 という名前の IPv4 ACL を作成し、これをポート ACL としてイーサネット インターフェイス 2/1（レイヤ 2 インターフェイス）に適用する例を示します。

ip access-list acl-01
  permit ip 192.168.2.0/24 any 
interface ethernet 2/1
  ip port access-group acl-01 in

acl-120 という名前の IPv6 ACL を作成し、これをルータ ACL としてイーサネット インターフェイス 2/3（レイヤ 3 インターフェイス）に適用する例を示します。

ipv6 access-list acl-120
  permit tcp 2001:0db8:85a3::/48 2001:0db8:be03:2112::/64
  permit udp 2001:0db8:85a3::/48 2001:0db8:be03:2112::/64
  permit tcp 2001:0db8:69f2::/48 2001:0db8:be03:2112::/64
  permit udp 2001:0db8:69f2::/48 2001:0db8:be03:2112::/64 
interface ethernet 2/3
  ipv6 traffic-filter acl-120 in

次に、single-source という名前の VTY ACL を作成し、それを VTY 回線上の入力 IP トラフィックに対して適用する例を示します。この ACL は、通過するすべての TCP トラフィックを許可し、その他のすべての IP トラフィックをドロップします。

ip access-list single-source
		permit tcp 192.168.7.5/24 any
		exit
		line vty
		ip access-class single-source in
		show ip access-lists

次に、IPv4 ACL ロギングの設定例を示します。

switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
switch(config)# ip access-list logging-test
switch(config-acl)# permit ip any 2001:DB8:1::1/64 log
switch(config-acl)# exit
switch(config)# interface ethernet 1/1
switch(config-if)# ip access-group logging-test in
switch(config-if)# exit
switch(config)# logging ip access-list cache interval 400
switch(config)# logging ip access-list cache entries 100
switch(config)# logging ip access-list cache threshold 900
switch(config)# hardware rate-limiter access-list-log 200
switch(config)# acllog match-log-level 5

以下に、UDF ベース ポート ACL の設定例を示します。

switch# configure terminal
switch(config)# hardware access-list tcam region ing-ifacl 256
switch(config)# udf pktoff10 packet-start 10 2
switch(config)# udf pktoff20 packet-start 10 1
switch(config)# hardware access-list tcam region ing-ifacl qualify udf pktoff10 pktoff20

switch# configure terminal
switch(config)# ip access-list udfacl
switch(config-acl)# statistics per-entry
switch(config-acl)# 10 permit ip any any udf pktoff10 0x1234 0xffff

switch# configure terminal
switch(config)# interface Ethernet1/1
switch(config-if)# ip port access-group udfacl in
switch(config-if)# switchport
switch(config-if)# no shutdown

Cisco Nexus 9500 シリーズ スイッチでは、-R および -RX ライン カードを使用してシステム ACL を設定できます。システム ACL を使用すると、スイッチ内の同じアクセスリストを持つすべてのポートにレイヤ 2 ポート ACL（PACL）を設定できます。システム ACL を設定すると、TCAM の使用率が低下し、ポリシーの適用または変更中に時間とメモリの使用率が低下します。

システム ACL の設定については、次の注意事項と制限事項を参照してください。

• システム PACL は、レイヤ 2 インターフェイスでのみサポートされます。

• -R ライン カードを備えた Cisco Nexus 9500 シリーズ スイッチでスイッチが起動するために、他のすべての基本機能で最大 10K の ACE がサポートされます。-RX ライン カードを搭載した Cisco Nexus 9500 シリーズ スイッチのハードウェア容量は 64K ACE です。

• N3K-C3636C-R および N3K-C36180YC-R ライン カードを搭載した Cisco Nexus 3600 プラットフォーム スイッチでシステム ACL を設定することもできます。

• IPv4 PACL TCAM リージョン（ifacl）を -R ライン カードの合計物理 TCAM 容量（12k）よりも多く設定すると、-R ライン カードのみの電源が切断されます。

• ACE 統計情報は、システム ACL ではまだサポートされていません。

• IPv6 は、システム ACL ではまだサポートされていません。

• システム ACL は、ブレークアウト ポートではサポートされません。

• -R シリーズ ラインカードを搭載した Cisco Nexus シリーズ スイッチでの Quality of Service、ACL、または TCAM カービング設定については、 『Cisco Nexus 3600 NX-OS Quality of Service 設定ガイド、リリース 7.x』を参照してください。

• 非アトミック更新は、すべてのトラフィックをドロップまたは許可します。デフォルトでは、非アトミック更新は ACL 更新が完了するまですべてのトラフィックをドロップします。非アトミック ACL 更新動作は、hardware access-list update default-result permit CLI コマンドを使用して制御できます。この CLI は、物理ポートに対してのみ機能します。次の例を参照してください。

  
  hardware access-list update default-result permit      => #Allows all the traffic during ACL updates. There may be < 10secs traffic drop.
  no hardware access-list update default-result permit   => #This is the default behavior. It denies all the traffic during ACL updates.
  

• Cisco NX-OS リリース 9.2(2) 以前のリリースでは、アトミック ACL 更新は Cisco Nexus -R シリーズ ライン カードではサポートされていませんが、非アトミック更新 hardware access-list update default-result が Cisco Nexus -R シリーズ ライン カードでサポートされます。

IPv4 ACL および IPv6 ACL のルールに送信元と宛先のアドレスおよびプロトコル ポートを指定する際に、オブジェクト グループを使用できます。

オブジェクト グループの設定情報を表示するには、次のいずれかのコマンドを使用します。

時間範囲の設定情報を表示するには、次のいずれかの作業を行います。