ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張

ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張機能により、ホップ バイ ホップ拡張ヘッダーを含む可能性がある IPv6 トラフィックを制御することができます。アクセス コントロール リスト（ACL）を設定して、すべてのホップ バイ ホップ トラフィックを拒否するか、またはプロトコルに基づいて選択的にトラフィックを許可することができます。

ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張に関する情報

ACL およびトラフィック転送

IPv6 アクセス コントロール リスト（ACL）は、デバイス インターフェイスでブロックされるトラフィックと転送されるトラフィックを決定します。ACL を使用すると、特定のインターフェイスへの着信および発信を、送信元アドレスと宛先アドレスに基づいてフィルタリングできます。ipv6 access-list コマンドを使用して IPv6 ACL を定義し、deny および permit コマンドを使用してその条件を構成します。

ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張機能は、上位層プロトコル タイプでのトラフィック フィルタリングをサポートするために RFC 2460 を実装します。

ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張の設定方法

ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張の設定

SUMMARY STEPS

  1. enable
  2. configure terminal
  3. ipv6 access-list access-list-name
  4. permit protocol {source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [operator [port-number ]] {destination-ipv6-prefix / prefix-length | any | host destination-ipv6-address | auth } [operator [port-number ]] [dest-option-type [header-number | header-type ]] [dscp value ] [flow-label value ] [fragments ] [hbh ] [log ] [log-input ] [mobility ] [mobility-type [mh-number | mh-type ]] [reflect name [timeout value ]] [routing ] [routing-type routing-number ] [sequence value ] [time-range name ]
  5. deny protocol {source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [operator [port-number ]] {destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address | auth } [operator [port-number ]] [dest-option-type [header-number | header-type ]] [dscp value ] [flow-label value ] [fragments ] [hbh ] [log ] [log-input ] [mobility ] [mobility-type [mh-number | mh-type ]] [routing ] [routing-type routing-number ] [sequence value ] [time-range name ] [undetermined-transport ]
  6. end

DETAILED STEPS

  Command or Action Purpose

Step 1

enable

Example:

Device> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

Step 2

configure terminal

Example:

Device# configure terminal

グローバル コンフィギュレーション モードを開始します。

Step 3

ipv6 access-list access-list-name

Example:

Device(config)# ipv6 access-list hbh-acl

IPv6 ACL を定義し、IPv6 アクセス リスト コンフィギュレーション モードを開始します。

Step 4

permit protocol {source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [operator [port-number ]] {destination-ipv6-prefix / prefix-length | any | host destination-ipv6-address | auth } [operator [port-number ]] [dest-option-type [header-number | header-type ]] [dscp value ] [flow-label value ] [fragments ] [hbh ] [log ] [log-input ] [mobility ] [mobility-type [mh-number | mh-type ]] [reflect name [timeout value ]] [routing ] [routing-type routing-number ] [sequence value ] [time-range name ]

Example:

Device(config-ipv6-acl)# permit icmp any any dest-option-type

IPv6 ACL の許可条件を設定します。

Step 5

deny protocol {source-ipv6-prefix / prefix-length | any | host source-ipv6-address | auth } [operator [port-number ]] {destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address | auth } [operator [port-number ]] [dest-option-type [header-number | header-type ]] [dscp value ] [flow-label value ] [fragments ] [hbh ] [log ] [log-input ] [mobility ] [mobility-type [mh-number | mh-type ]] [routing ] [routing-type routing-number ] [sequence value ] [time-range name ] [undetermined-transport ]

Example:

Device(config-ipv6-acl)# deny icmp any any dest-option-type

IPv6 ACL の拒否条件を設定します。

Step 6

end

Example:

Device (config-ipv6-acl)# end

特権 EXEC コンフィギュレーション モードに戻ります。

ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張の設定例

例：ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張


Device(config)# ipv6 access-list hbh_acl
Device(config-ipv6-acl)# permit tcp any any hbh
Device(config-ipv6-acl)# permit tcp any any
Device(config-ipv6-acl)# permit udp any any
Device(config-ipv6-acl)# permit udp any any hbh
Device(config-ipv6-acl)# permit hbh any any
Device(config-ipv6-acl)# permit any any
Device(config-ipv6-acl)# hardware statistics
Device(config-ipv6-acl)# exit

! Assign an IP address and add the ACL on the interface.

Device(config)# interface FastEthernet3/1
Device(config-if)# ipv6 address 1001::1/64
Device(config-if)# ipv6 traffic-filter hbh_acl in
Device(config-if)# exit
Device(config)# exit
Device# clear counters
Clear "show interface" counters on all interfaces [confirm]
Device# 

! Verify the configurations.

Device# show running-config interface FastEthernet3/1

Building configuration...

Current configuration : 114 bytes
!
interface FastEthernet3/1
no switchport
ipv6 address 1001::1/64
ipv6 traffic-filter hbh_acl
end

その他の参考資料

関連資料

関連項目

マニュアル タイトル

IPv6 アドレッシングと接続

『IPv6 Configuration Guide』

IPv6 コマンド

『Cisco IOS IPv6 Command Reference』

Cisco IOS IPv6 機能

『Cisco IOS IPv6 Feature Mapping』

標準および RFC

標準/RFC

タイトル

IPv6 に関する RFC

IPv6 RFCs

MIB

選択したプラットフォーム、Cisco IOS リリース、およびフィーチャ セットに関する MIB を探してダウンロードするには、次の URL にある Cisco MIB Locator を使用します。

http://www.cisco.com/go/mibs

シスコのテクニカル サポート

説明

リンク

右の URL にアクセスして、シスコのテクニカル サポートを最大限に活用してください。これらのリソースは、ソフトウェアをインストールして設定したり、シスコの製品やテクノロジーに関する技術的問題を解決したりするために使用してください。この Web サイト上のツールにアクセスする際は、Cisco.com のログイン ID およびパスワードが必要です。

http://www.cisco.com/cisco/web/support/index.html

ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張に関する機能情報

次の表に、このモジュールで説明した機能に関するリリース情報を示します。この表は、ソフトウェア リリース トレインで各機能のサポートが導入されたときのソフトウェアリリースだけを示しています。その機能は、特に断りがない限り、それ以降の一連のソフトウェアリリースでもサポートされます。

プラットフォームのサポートおよびシスコ ソフトウェアイメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator にアクセスするには、www.cisco.com/go/cfn に移動します。Cisco.com のアカウントは必要ありません。
Table 1. ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張に関する機能情報

機能名

リリース

機能情報

ホップ バイ ホップ フィルタリングに対応するための IPv6 ACL の拡張

Cisco IOS リリース XE 3.4S

Cisco IOS リリース XE 3.5S

Cisco IOS リリース XE 3.6S

Cisco IOS リリース XE 3.3SG

これによって、ホップ バイ ホップ拡張ヘッダーを含む IPv6 トラフィックを制御できます。

次のコマンドが導入または変更されました。deny （IPv6） 、permit （IPv6） 。