Cisco IE 3000 スイッチ ソフトウェア コンフィギュ レーション ガイド,12.2(55)SE

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

ipv6 access-list access-list-name

IPv6 アクセス リスト名を定義し、IPv6 アクセスリスト コンフィギュレーション モードを開始します。

ステップ 3 a

deny | permit protocol
{ source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/ prefix-length | any |
host destination-ipv6-address } [ operator [ port-number ]]
[ dscp value ] [ fragments ] [ log ] [ log-input ] [ sequence value ] [ time-range name ]

deny または permit を入力して、条件が一致した場合にパケットを拒否するのか許可するのかを指定します。次に、条件について説明します。

• protocol には、インターネット プロトコルの名前（ ahp 、 esp 、 icmp 、 ipv6 、 pcp 、 stcp 、 tcp 、または udp ）、または番号（IPv6 プロトコル番号を示す 0 ～ 255 の範囲の整数）を入力します。ICMP、Transmission Control Protocol（TCP; 伝送制御プロトコル）、および User Datagram Protocol（UDP; ユーザ データグラム プロトコル）の具体的なパラメータについては、ステップ 3b ～ 3d を参照してください。

• source-ipv6-prefix / prefix-length または destination-ipv6-prefix / prefix-length は、拒否または許可の条件を設定する送信元または宛先 IPv6 ネットワーク（またはネットワーク クラス）で、コロンで区切られた 16 ビット値を使用した 16 進数形式で指定されます（RFC 2373 を参照してください）。

• IPv6 プレフィクス ::/0 の省略形として any を入力します。

• host source-ipv6-address または destination-ipv6-address には、拒否または許可の条件を設定する発信元または宛先の IPv6 ホスト アドレスを、コロンで区切られた 16 ビット値を使用した 16 進数形式で入力します。

• （任意） operator には、指定のプロトコルの送信元または宛先ポートを比較するオペランドを指定します。オペランドは、 lt （less than：未満）、 gt （greater than：より大きい）、 eq （equal：一致）、 neq （not equal：不一致）、 range です。

source-ipv6-prefix / prefix-length 引数の後ろに演算子が続く場合、送信元ポートと一致する必要があります。 destination-ipv6-prefix/prefix-length 引数の後ろに演算子が続く場合、宛先ポートと一致する必要があります。

• （任意） port-number 値は 0 ～ 65535 の範囲の 10 進数値か、TCP または UDP をフィルタリングするための TCP ポート名または UDP ポート名です。

• （任意） dscp value を入力して、各 IPv6 パケット ヘッダーのトラフィック クラス フィールドのトラフィック クラス値と DiffServ コード ポイント（DSCP）値を照合します。指定できる範囲は 0 ～ 63 です。

• （任意） fragments を入力して、非初期フラグメントを確認します。このキーワードは、プロトコルが ipv6 の場合に限り表示されます。

• （任意） log を入力すると、エントリと一致するパケットを示すロギング メッセージがコンソールに送信されます。 log-input を入力して、ログ エントリに入力インターフェイスを含めます。ロギングは、ルータ ACL に対してだけサポートされます。

• （任意） sequence value を入力して、アクセス リスト ステートメントのシーケンス番号を指定します。指定できる範囲は 1 ～ 4294967295 です。

• （任意） time-range name を入力して、ステートメントの時間範囲を指定します。

ステップ 3 b

deny | permit tcp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6- prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ ack ] [ dscp value ] [ established ] [ fin ] [ log ] [ log-input ] [ neq { port | protocol }] [ psh ] [ range { port | protocol }] [ rst ] [ sequence value ] [ syn ] [ time-range name ] [ urg ]

（任意）TCP アクセス リストおよびアクセス条件を定義します。

TCP の場合は tcp を入力します。パラメータはステップ 3a で説明されているパラメータと同じですが、次に示す任意のパラメータが追加されています。

• ack ： 確認応答ビット設定。

• established ： 確立された接続。TCP データグラムに ACK または RST ビットが設定されている場合、照合が行われます。

• fin ： 終了ビット設定。送信元からのデータはこれ以上ありません。

• neq { port | protocol } ： 指定のポート番号上にないパケットだけを照合します。

• psh ： プッシュ機能ビット設定。

• range { port | protocol }： ポート番号範囲のパケットだけを照合します。

• rst ： リセット ビット設定。

• syn ： 同期ビット設定。

• urg ： 緊急ポインタ ビット設定。

ステップ 3 c

deny | permit udp
{ source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ dscp value ] [log ] [log-input] [ neq { port | protocol }] [ range { port | protocol }] [ sequence value ] [ time-range name ]

（任意）UDP アクセス リストおよびアクセス条件を定義します。

UDP の場合は、 udp を入力します。UDP パラメータは TCP に関して説明されているパラメータと同じですが、[ operator [ port ]] のポート番号またはポート名は、UDP ポートの番号または名前でなければなりません。また、UDP の場合、 established パラメータは無効です。

ステップ 3 d

deny | permit icmp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ icmp-type [ icmp-code ] | icmp-message ] [ dscp value ] [ log ] [log-input] [ sequence value ] [ time-range name ]

（任意）ICMP アクセス リストおよびアクセス条件を定義します。

ICMP の場合は、 icmp を入力します。ICMP パラメータはステップ 3a の IP プロトコルに関して説明されているパラメータとほとんど同じですが、ICMP メッセージ タイプおよびコード パラメータが追加されています。任意のキーワードの意味は次のとおりです。

• icmp-type ：ICMP メッセージ タイプを基準にしてフィルタリングします。0 ～ 255 の値を使用できます。

• icmp-code ：ICMP メッセージ コード タイプを基準にしてフィルタリングします。0 ～ 255 の値を使用できます。

• icmp-message ：ICMP メッセージ タイプ名、または ICMP メッセージのタイプおよびコード名を基準にして、ICMP パケットをフィルタリングします。ICMP メッセージのタイプ名およびコード名のリストについては、? キーを使用するか、またはこのリリースのコマンド リファレンスを参照してください。

ステップ 4

end

特権 EXEC モードに戻ります。

ステップ 5

show ipv6 access-list

アクセス リスト コンフィギュレーションを確認します。

ステップ 6

copy running-config startup-config

（任意）設定をコンフィギュレーション ファイルに保存します。

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

interface interface-id

アクセス リストを適用するレイヤ 2 インターフェイス（ポート ACL 用）またはレイヤ 3 インターフェイス（ルータ ACL 用）を指定し、インターフェイス コンフィギュレーション モードを開始します。

ステップ 3

no switchport

ルータ ACL を適用する場合は、インターフェイスをレイヤ 2 モード（デフォルト）からレイヤ 3 モードに変更します。

ステップ 4

ipv6 address ipv6-address

レイヤ 3 インターフェイス（ルータ ACL 用）で IPv6 アドレスを設定します。

このコマンドは、レイヤ 2 インターフェイスでは、またはインターフェイスに明示的な IPV6 アドレスが設定されている場合には、必要ありません。

ステップ 5

ipv6 traffic-filter access-list-name { in | out }

インターフェイスの着信トラフィックまたは発信トラフィックにアクセス リストを適用します。

out キーワードはレイヤ 2 インターフェイス（ポート ACL）ではサポートされません。

ステップ 6

end

特権 EXEC モードに戻ります。

ステップ 7

show running-config

アクセス リスト コンフィギュレーションを確認します。

ステップ 8

copy running-config startup-config

（任意）設定をコンフィギュレーション ファイルに保存します。