Catalyst 3560 スイッチ ソフトウェア コンフィギュレーション ガイド Cisco IOS Release 12.2(25)SEE

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

ipv6 access-list access-list-name

名前を使用して IPv6 アクセス リストを定義し、IPv6 アクセス リスト コンフィギュレーション モードを開始します。

ステップ 3a

deny | permit protocol { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ dscp value ] [ fragments ] [ log ] [ log-input ] [ sequence value ] [ time-range name ]

deny または permit を入力し、条件と一致した場合にパケットを拒否するか、または許可するかを指定します。次に、条件について説明します。

• protocol には、インターネット プロトコルの名前または番号を入力します。 ahp 、 esp 、 icmp 、 ipv6 、 pcp 、 stcp 、 tcp 、 udp 、または IPv6 プロトコル番号を表す 0 ～ 255 の整数を使用できます。

（注） ICMP、TCP、およびUDP の具体的なパラメータについては、ステップ 3b ～ 3d を参照してください。

• source-ipv6-prefix / prefix-length または
destination-ipv6-prefix / prefix-length は、拒否条件または許可条件を設定する送信元または宛先 IPv6 ネットワークあるいはネットワーク クラスで、16 ビット値を使用したコロン区切りの 16 進形式で指定されます（RFC 2373 を参照）。

（注） CLI（コマンドライン インターフェイス）ヘルプでは、/0 ～/128 の範囲のプレフィクス長が表示されますが、スイッチは、集約可能なグローバル ユニキャスト アドレスとリンクに対してローカルなホスト アドレスの/0 ～/64 の範囲のプレフィクス、および EUI ベースの/128 プレフィクスに対する IPv6 アドレス照合のみをサポートします。

• IPv6 プレフィクス ::/0 の短縮形として、 any を入力します。

• host source-ipv6-address o r destination-ipv6-address には、拒否条件または許可条件を設定する送信元または宛先 IPv6 ホスト アドレスを入力します。アドレスは 16 ビット値を使用したコロン区切りの 16 進形式で指定されます。

• （任意） operator には、指定のプロトコルの送信元ポートまたは宛先ポートを比較するオペランドを指定します。オペランドは、 lt （より小さい）、 gt （より大きい）、 eq （等しい）、 neq （等しくない）、 range （包含範囲）などです。

source-ipv6-prefix / prefix-length 引数のあとのオペレータは、送信元ポートに一致する必要があります。 destination-ipv6- prefix/prefix-length 引数のあとのオペレータは、宛先ポートに一致する必要があります。

• （任意） port-number は、0 ～ 65535 の 10 進数または TCP あるいは UDP ポートの名前です。TCP ポート名を使用できるのは、TCP のフィルタリング時のみです。UDP ポート名を使用できるのは、UDP のフィルタリング時のみです。

• （任意） dscp value を入力して、各 IPv6 パケット ヘッダーの Traffic Class フィールド内のトラフィック クラス値と DiffServ コード ポイント値を照合します。指定できる範囲は 0 ～ 63 です。

• （任意） fragments を入力して、先頭ではないフラグメントを確認します。このキーワードが表示されるのは、プロトコルが ipv6 の場合のみです。

• （任意） log を指定すると、エントリと一致するパケットに関するロギング メッセージがコンソールに送信されます。 log-input を指定すると、ログ エントリに入力インターフェイスが追加されます。ロギングはルータ ACL でのみサポートされます。

• （任意） sequence value を入力して、アクセス リスト ステートメントのシーケンス番号を指定します。指定できる範囲は 1 ～ 4294967295 です。

• （任意） time-range name を入力して、拒否または許可ステートメントに適用される時間の範囲を指定します。

ステップ 3b

deny | permit tcp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6- prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ ack ] [ dscp value ] [ established ] [ fin ] [ log ] [ log-input ] [ neq { port | protocol }] [ psh ] [ range { port | protocol }] [ rst ] [ sequence value ] [ syn ] [ time-range name ] [ urg ]

（任意）TCP アクセス リストおよびアクセス条件を定義します。

TCP の場合は tcp を入力します。パラメータはステップ 3a で説明されているパラメータと同じですが、次に示すオプションのパラメータが追加されています。

• ack ― 確認応答ビット セット

• established ― 確立された接続TCP データグラムに ACK または RST ビット セットが含まれる場合は、照合が行われます。

• fin ― 終了ビット セット。送信元からのデータはそれ以上ありません。

• neq { port | protocol } ― 所定のポート番号上にないパケットのみを照合します。

• psh ― プッシュ機能ビット セット

• range { port | protocol } ― ポート番号の範囲内のパケットのみを照合します。

• rst ― リセット ビット セット

• syn ― 同期ビット セット

• urg ― 緊急ポインタ ビット セット

ステップ 3c

deny | permit udp
{ source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ dscp value ] [log ] [log-input] [ neq { port | protocol }] [ range { port | protocol }] [ sequence value ] [ time-range name ]

（任意）UDP アクセス リストおよびアクセス条件を定義します。

UDP の場合は、 udp を入力します。UDP パラメータは TCP に関して説明されているパラメータと同じです。ただし、[ operator [ port ]] のポート番号またはポート名は、UDP ポートの番号または名前でなければなりません。UDP の場合、 established パラメータは無効です。

ステップ 3d

deny | permit icmp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ icmp-type [ icmp-code ] | icmp-message ] [ dscp value ] [ log ] [log-input] [ sequence value ] [ time-range name ]

（任意）ICMP アクセス リストおよびアクセス条件を定義します。

ICMP の場合は、 icmp を入力します。ICMP パラメータはステップ 3a の IP プロトコルの説明にあるパラメータとほとんど同じですが、ICMP メッセージ タイプおよびコード パラメータが追加されています。オプションのキーワードの意味は次のとおりです。

• icmp-type ― ICMP メッセージ タイプを基準にしてフィルタリングします。0 ～ 255 の値を使用できます。

• icmp-code ― ICMP メッセージ コード タイプを基準にしてフィルタリングします。0 ～ 255 の値を使用できます。

• icmp-message ― ICMP メッセージ タイプ名または ICMP メッセージのタイプ名およびコード名を基準にして、ICMP パケットをフィルタリングします。ICMP メッセージのタイプ名およびコード名のリストについては、? キーを使用するか、またはこのリリースのコマンド リファレンスを参照してください。

ステップ 4

end

イネーブル EXEC モードに戻ります。

ステップ 5

show ipv6 access-list

アクセス リストの設定を確認します。

ステップ 6

copy running-config startup-config

（任意）コンフィギュレーション ファイルに設定を保存します。

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

interface interface-id

アクセス リストを適用するレイヤ 2 インターフェイス（ポート ACL 用）またはレイヤ 3 インターフェイス（ルータ ACL 用）を特定して、インターフェイス コンフィギュレーション モードを開始します。

ステップ 3

no switchport

ルータ ACL を適用する場合は、インターフェイスをレイヤ 2 モード（デフォルト）からレイヤ 3 モードに変更します。

ステップ 4

ipv6 address ipv6-address

レイヤ 3 インターフェイス（ルータ ACL 用）で IPv6 アドレスを設定します。

（注） このコマンドは、レイヤ 2 インターフェイスでは、またはインターフェイスに明示的な IPV6 アドレスが設定されている場合には、必要ありません。

ステップ 5

ipv6 traffic-filter access-list-name { in | out }

インターフェイスの着信トラフィックまたは発信トラフィックにアクセス リストを適用します。

（注） out キーワードはレイヤ 2 インターフェイス（ポート ACL）ではサポートされません。

ステップ 6

end

イネーブル EXEC モードに戻ります。

ステップ 7

show running-config

アクセス リストの設定を確認します。

ステップ 8

copy running-config startup-config

（任意）コンフィギュレーション ファイルに設定を保存します。