コンフィグレーションコマンドレファレンス Vol.2

[目次][索引][前へ][次へ]

deny（ip access-list extended）

IPv4パケットフィルタでのアクセスを拒否する条件を指定します。

フラグメントパケットを検出条件に指定する場合は入力形式が異なるので注意してください。入力形式のフラグメントパケットの場合を参照してください。

［入力形式］

情報の設定・変更
[<sequence>] deny {フィルタ条件} [動作指定]

フィルタ条件
  • 上位プロトコルがTCP，UDP，ICMPおよびIGMP以外の場合
    {ip | <protocol>} {{<source ipv4> | own-address} <source ipv4 wildcard> | host {<source ipv4> | own-address} | any | own | range-address <source ipv4 start> <source ipv4 end>} {{<destination ipv4> | own-address} <destination ipv4 wildcard> | host {<destination ipv4> | own-address} | any | own | range-address <destination ipv4 start> <destination ipv4 end>} [{[tos <tos>] [precedence <precedence>] | dscp <dscp>}] [vlan {<vlan id> | <vlan id list name>}] [user-priority <priority>]
  • 上位プロトコルがTCPの場合
    tcp {{<source ipv4> | own-address} <source ipv4 wildcard> | host {<source ipv4> | own-address} | any | own | range-address <source ipv4 start> <source ipv4 end>} [{{eq | neq} <source port> | range <source port start> <source port end>}] {{<destination ipv4> | own-address} <destination ipv4 wildcard> | host {<destination ipv4> | own-address} | any | own | range-address <destination ipv4 start> <destination ipv4 end>} [{{eq | neq} <destination port> | range <destination port start> <destination port end>}] [{[established] |[{ack|+ack|-ack}] [{fin|+fin|-fin}] [{psh|+psh|-psh}] [{rst|+rst|-rst}] [{syn|+syn|-syn}] [{urg|+urg|-urg}]}] [{[tos <tos>] [precedence <precedence>] | dscp <dscp>}] [vlan {<vlan id> | <vlan id list name>}] [user-priority <priority>]
  • 上位プロトコルがUDPの場合
    udp {{<source ipv4> | own-address} <source ipv4 wildcard> | host {<source ipv4> | own-address} | any | own | range-address <source ipv4 start> <source ipv4 end>} [{{eq | neq} <source port> | range <source port start> <source port end>}] {{<destination ipv4> | own-address} <destination ipv4 wildcard> | host {<destination ipv4> | own-address} | any | own | range-address <destination ipv4 start> <destination ipv4 end>} [{{eq | neq} <destination port> | range <destination port start> <destination port end>}] [{[tos <tos>] [precedence <precedence>] | dscp <dscp>}] [vlan {<vlan id> | <vlan id list name>}] [user-priority <priority>]
  • 上位プロトコルがICMPの場合
    icmp {{<source ipv4> | own-address} <source ipv4 wildcard> | host {<source ipv4> | own-address} | any | own | range-address <source ipv4 start> <source ipv4 end>} {{<destination ipv4> | own-address} <destination ipv4 wildcard> | host {<destination ipv4> | own-address} | any | own | range-address <destination ipv4 start> <destination ipv4 end>} [{<icmp type> [<icmp code>] | <icmp message>}] [{[tos <tos>] [precedence <precedence>] | dscp <dscp>}] [vlan {<vlan id> | <vlan id list name>} ] [user-priority <priority>]
  • 上位プロトコルがIGMPの場合
    igmp {{<source ipv4> | own-address} <source ipv4 wildcard> | host {<source ipv4> | own-address} | any | own | range-address <source ipv4 start> <source ipv4 end>} {{<destination ipv4> | own-address} <destination ipv4 wildcard> | host {<destination ipv4> | own-address} | any | own | range-address <destination ipv4 start> <destination ipv4 end>} [<igmp type>] [{[tos <tos>] [precedence <precedence>] | dscp <dscp>}] [vlan {<vlan id> | <vlan id list name>}] [user-priority <priority>]
  • フラグメントパケットの場合
    {ip | <protocol> | icmp | igmp | tcp | udp} {{<source ipv4> | own-address} <source ipv4 wildcard> | host {<source ipv4> | own-address} | any | own | range-address <source ipv4 start> <source ipv4 end>} {{<destination ipv4> | own-address} <destination ipv4 wildcard> | host {<destination ipv4> | own-address} | any | own | range-address <destination ipv4 start> <destination ipv4 end>} [{[tos <tos>] [precedence <precedence>] | dscp <dscp>}] [fragments] [vlan {<vlan id> | <vlan id list name>} ] [user-priority <priority>]

動作指定
action log

情報の削除
no <sequence>

［入力モード］

(config-ext-nacl)

［パラメータ］

<sequence>
フィルタ条件の適用順序を指定します。
  1. 本パラメータ省略時の初期値
    アクセスリスト内に条件がない場合，初期値は10です。
    条件を設定してある場合，設定してある適用順序の最大値+10です。
    ただし，適用順序の最大値が4294967284より大きい値の場合は省略できません。
  2. 値の設定範囲
    1〜4294967294（10進数）を指定します。

{ip | <protocol> | icmp | igmp | tcp | udp}
IPv4パケットの上位プロトコル条件を指定します。
ただし，すべてのプロトコルを対象とする場合はipを指定します。
  1. 本パラメータ省略時の初期値
    省略できません
  2. 値の設定範囲
    0〜255（10進数）またはプロトコル名称を指定します。
    指定可能なプロトコル名称は「表4-1　指定可能なプロトコル名称（IPv4）」を参照してください。

{{<source ipv4> | own-address} <source ipv4 wildcard> | host {<source ipv4> | own-address} | any | own | range-address <source ipv4 start> <source ipv4 end>}
送信元IPv4アドレスを指定します。
すべての送信元IPv4アドレスを指定する場合はanyを指定します。
  1. 本パラメータ省略時の初期値
    省略できません
  2. 値の設定範囲
    <source ipv4> <source ipv4 wildcard>，host <source ipv4>，any，own-address <source ipv4 wildcard>，host own-address，ownまたはrange-address <source ipv4 start> <source ipv4 end>を指定します。
    <source ipv4>には送信元IPv4アドレスを指定します。
    <source ipv4 wildcard>にはIPv4アドレスの中で任意の値を許可するビットを立てたワイルドカードマスクをIPv4アドレス形式で指定します。
    host <source ipv4>を入力した場合は<source ipv4>の完全一致をフィルタ条件とします。
    anyを指定すると，送信元IPv4アドレスをフィルタ条件とはしません。
    own-addressおよびownは，VLANインタフェースに対してのaccess-groupコマンドだけ有効になります。
    range-addressはイーサネットインタフェースまたはVLANインタフェースに対してのaccess-groupコマンドだけ有効になります。
    own-addressを指定した場合は，対象インタフェースに設定されているIPv4アドレスを送信元IPv4アドレスとしてフィルタ条件にします。
    ownを指定した場合は，対象インタフェースに設定されているIPv4アドレスのネットワークアドレス部をフィルタ条件にします。ホストアドレス部は任意としてフィルタ条件にします。
    なお，own-addressおよびownを指定したインタフェースがマルチホームの場合はプライマリIPv4アドレスが対象になります。
    range-addressを指定した場合は，<source ipv4 start>から<source ipv4 end>の範囲をフィルタ条件とします。
    <source ipv4 end>は<source ipv4 start>より大きいIPv4アドレスを指定してください。
    IPv4アドレス（nnn.nnn.nnn.nnn）：0.0.0.0 〜 255.255.255.255

{{eq | neq} <source port> | range <source port start> <source port end>}
送信元ポート番号を指定します。
プロトコルがTCPおよびUDPだけのオプションです。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    0〜65535（10進数）またはポート名称を指定します。
    指定可能なポート名称は「表4-3　TCPで指定可能なポート名称」および「表4-4　UDPで指定可能なポート名称（IPv4）」を参照してください。
    eqを指定した場合は，<source port>の完全一致をフィルタ条件とします。
    neqを指定した場合は，<source port>以外をフィルタ条件とします。
    rangeを指定した場合は，<source port start>から<source port end>の範囲をフィルタ条件とします。
    <source port end>は<source port start>より大きいポート番号を指定してください。

{{<destination ipv4> | own-address} <destination ipv4 wildcard> | host {<destination ipv4> | own-address} | any | own | range-address <destination ipv4 start> <destination ipv4 end>}
宛先IPv4アドレスを指定します。
すべての宛先IPv4アドレスを指定する場合はanyを指定します。
  1. 本パラメータ省略時の初期値
    省略できません
  2. 値の設定範囲
    <destination ipv4> <destination ipv4 wildcard>，host <destination ipv4>，any，own-address <destination ipv4 wildcard>，host own-address，ownまたはrange-address <destination ipv4 start> <destination ipv4 end>を指定します。
    <destination ipv4>には宛先IPv4アドレスを指定します。
    <destination ipv4 wildcard>にはIPv4アドレスの中で任意の値を許可するビットを立てたワイルドカードマスクをIPv4アドレス形式で指定します。
    host <destination ipv4>を入力した場合は<destination ipv4>の完全一致をフィルタ条件とします。
    anyを指定すると，宛先IPv4アドレスをフィルタ条件とはしません。
    own-addressおよびownは，VLANインタフェースに対してのaccess-groupコマンドだけ有効になります。
    range-addressはイーサネットインタフェースまたはVLANインタフェースに対してのaccess-groupコマンドだけ有効になります。
    own-addressを指定した場合は，対象インタフェースに設定されているIPv4アドレスを宛先IPv4アドレスとしてフィルタ条件にします。
    ownを指定した場合は，対象インタフェースに設定されているIPv4アドレスのネットワークアドレス部をフィルタ条件にします。ホストアドレス部は任意としてフィルタ条件にします。
    なお，own-addressおよびownを指定したインタフェースがマルチホームの場合はプライマリIPv4アドレスが対象になります。
    range-addressを指定した場合は<destination ipv4 start>から<destination ipv4 end>の範囲をフィルタ条件とします。
    <destination ipv4 end>は<destination ipv4 start>より大きいIPv4アドレスを指定してください。
    IPv4アドレス（nnn.nnn.nnn.nnn）：0.0.0.0 〜 255.255.255.255

{{eq | neq} <destination port> | range <destination port start> <destination port end>}
宛先ポート番号を指定します。
プロトコルがTCPおよびUDPだけのオプションです。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    0〜65535（10進数）またはポート名称を指定します。
    指定可能なポート名称は「表4-3　TCPで指定可能なポート名称」および「表4-4　UDPで指定可能なポート名称（IPv4）」を参照してください。
    eqを指定した場合は，<destination port>の完全一致をフィルタ条件とします。
    neqを指定した場合は，<destination port>以外をフィルタ条件とします。
    rangeを指定した場合は，<destination port start>から<destination port end>の範囲をフィルタ条件とします。
    <destination port end>は<destination port start>より大きいポート番号を指定してください。

tos <tos>
本パラメータは，ToSフィールドのビット3〜6の4ビットであるtos値を指定します。
受信パケットのToSフィールドのビット3〜6の4ビットと比較します。
[図データ]
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    0〜15（10進数）またはtos名称を指定します。
    指定可能なtos名称は「表4-6　指定可能なtos名称」を参照してください。

precedence <precedence>
本パラメータは，ToSフィールドの上位3ビットであるprecedence値を指定します。
受信パケットのToSフィールド上位3ビットと比較します。
[図データ]
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    0〜7（10進数）またはprecedence名称を指定します。
    指定可能なprecedence名称は「表4-7　指定可能なprecedence名称」を参照してください。

dscp <dscp>
本パラメータは，ToSフィールドの上位6ビットであるDSCP値を指定します。
受信パケットのToSフィールド上位6ビットと比較します。
[図データ]
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    0〜63（10進数）またはDSCP名称を指定します。
    指定可能なDSCP名称は「表4-8　指定可能なDSCP名称」を参照してください。

established
TCPヘッダのACKフラグまたはRSTフラグが1のパケットの検出を指定します。
プロトコルがTCPだけのオプションです。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    なし

{ack | +ack | -ack}
TCPヘッダのACKフラグの検出を指定します。
プロトコルがTCPだけのオプションです。
ackまたは+ackはACKフラグが1のパケット，-ackはACKフラグが0のパケットとなります。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    なし

{fin | +fin | -fin}
TCPヘッダのFINフラグの検出を指定します。
プロトコルがTCPだけのオプションです。
finまたは+finはFINフラグが1のパケット，-finはFINフラグが0のパケットとなります。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    なし

{psh | +psh | -psh}
TCPヘッダのPSHフラグの検出を指定します。
プロトコルがTCPだけのオプションです。
pshまたは+pshはPSHフラグが1のパケット，-pshはPSHフラグが0のパケットとなります。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    なし

{rst | +rst | -rst}
TCPヘッダのRSTフラグの検出を指定します。
プロトコルがTCPだけのオプションです。
rstまたは+rstはRSTフラグが1のパケット，-rstはRSTフラグが0のパケットとなります。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    なし

{syn | +syn | -syn}
TCPヘッダのSYNフラグの検出を指定します。
プロトコルがTCPだけのオプションです。
synまたは+synはSYNフラグが1のパケット，-synはSYNフラグが0のパケットとなります。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    なし

{urg | +urg | -urg}
TCPヘッダのURGフラグの検出を指定します。
プロトコルがTCPだけのオプションです。
urgまたは+urgはURGフラグが1のパケット，-urgはURGフラグが0のパケットとなります。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    なし

<icmp type>
ICMPタイプを指定します。
プロトコルがICMPだけのオプションです。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    0〜255（10進数）を指定します。

<icmp code>
ICMPコードを指定します。
プロトコルがICMPだけのオプションです。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    0〜255（10進数）を指定します。

<icmp message>
ICMPメッセージ名称を指定します。
プロトコルがICMPだけのオプションです。
指定可能なICMPメッセージ名称は「表4-11　ICMPで指定可能なメッセージ名称（IPv4）」を参照してください。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    なし

<igmp type>
IGMPタイプを指定します。
プロトコルがIGMPだけのオプションです。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    0〜255（10進数）を指定します。

fragments
2番目以降のフラグメントパケットを指定します。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    なし

vlan {<vlan id> | <vlan id list name>}
VLAN IDまたはVLANリスト名称を指定します。
本パラメータはイーサネットインタフェースに適用した場合だけ有効です。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    VLAN IDまたはVLANリスト名称を指定します。
    VLAN IDについては，「パラメータに指定できる値」を参照してください。

user-priority <priority>
ユーザ優先度を指定します。
  1. 本パラメータ省略時の初期値
    なし（検出条件としません）
  2. 値の設定範囲
    0〜7（10進数）を指定します。

動作パラメータ

action
動作パラメータを設定，変更する場合は，必ず本パラメータを動作パラメータ全体の先頭に設定してください。
  1. 本パラメータ省略時の初期値
    なし（動作指定をする場合は省略できません）
  2. 値の設定範囲
    なし

log
指定したアクセスリストで廃棄したパケットをアクセスリストロギングの対象とします。
  1. 本パラメータ省略時の初期値
    なし（アクセスリストロギングを使用しません）
  2. 値の設定範囲
    なし

［コマンド省略時の動作］

なし

［通信への影響］

アクセスリストをインタフェースに適用した状態でエントリを追加または変更すると，エントリがインタフェースに適用されるまでの間，該当インタフェースで受信したパケットが一時的に廃棄される場合があります。

［設定値の反映契機］

設定値変更後，すぐに運用に反映されます。

［注意事項］

  1. 送信元アドレスワイルドカードマスクおよび宛先アドレスワイルドカードマスクに255.255.255.255と入力したときはanyと表示します。
  2. 送信元アドレスおよび宛先アドレスにnnn.nnn.nnn.nnn 0.0.0.0と入力したときはhost nnn.nnn.nnn.nnnと表示します。

［関連コマンド］

access-list

ip access-group

ip access-list resequence

permit（ip access-list extended）

remark

vlan-list

[目次][前へ][次へ]

[他社商品名称に関する表示]

All Rights Reserved, Copyright(C), 2006, 2018, ALAXALA Networks, Corp.