deny（advance access-list）

［入力形式］

情報の設定・変更

[<sequence>] deny mac <target flow> [<action specification>]
[<sequence>] deny mac-ip <target flow> [<action specification>]
[<sequence>] deny mac-ipv6 <target flow> [<action specification>]

情報の削除

no <sequence>

action log

［入力モード］

(config-adv-acl)

［パラメータ］

<sequence>

フロー検出条件の適用順序であるシーケンス番号を指定します。

1. 本パラメータ省略時の初期値

   アクセスリスト内に条件がない場合，初期値は10です。

   条件を指定してある場合，指定してあるシーケンス番号の最大値+10です。

   ただし，シーケンス番号の最大値が4294967284より大きい値を指定した場合は省略できません。

2. 値の設定範囲

   1〜4294967294（10進数）を指定します。

<target flow>パラメータ

{<source mac> <source mac mask> | host <source mac> | any}

送信元MACアドレスを指定します。

host <source mac>を指定すると，<source mac>の完全一致をフロー検出条件とします。

すべての送信元MACアドレスを指定する場合はanyを指定します。anyを指定すると，送信元MACアドレスをフロー検出条件とはしません。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <source mac>には送信元MACアドレスを指定します。

   <source mac mask>にはMACアドレスの中で任意の値を許可するビットを立てたマスクをMACアドレス形式で指定します。

   MACアドレス(nnnn.nnnn.nnnn)：0000.0000.0000〜ffff.ffff.ffff（16進数）

{<destination mac> <destination mac mask> | host <destination mac> | any | <destination mac name>}

宛先MACアドレスを指定します。

host <destination mac>を指定すると，<destination mac>の完全一致をフロー検出条件とします。

すべての宛先MACアドレスを指定する場合はanyを指定します。anyを指定すると，宛先MACアドレスをフロー検出条件とはしません。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <destination mac>には宛先MACアドレスを指定します。

   <destination mac mask>にはMACアドレスの中で任意の値を許可するビットを立てたマスクをMACアドレス形式で指定します。

   <destination mac name>には宛先MACアドレス名称を指定します。指定できる宛先MACアドレス名称は「表7‒12　指定可能な宛先MACアドレス名称」を参照してください。

   MACアドレス(nnnn.nnnn.nnnn)：0000.0000.0000〜ffff.ffff.ffff（16進数）

<ethernet type>

イーサネットタイプ番号を指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0x0000〜0xffff（16進数）またはイーサネットタイプ名称を指定します。

   指定できるイーサネットタイプ名称は「表7‒11　指定可能なイーサネットタイプ名称」を参照してください。

interface <interface type> <interface number>

入出力フレームが属するインタフェースを指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   <interface type> <interface number>には，次に示すインタフェース種別グループに対応するインタフェース名およびインタフェース番号を指定できます。詳細は，「パラメータに指定できる値」の「■インタフェースの指定方法」を参照してください。

   ・イーサネットサブインタフェース

   ・ポートチャネルサブインタフェース

   ・VLANインタフェース

untagged

Untaggedフレームの検出を指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

user-priority {<priority> | range <priority start> <priority end>}

1段目のVLAN Tagのユーザ優先度を指定します。

rangeを指定すると，<priority start>から<priority end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜7（10進数）を指定します。

   <priority end>には<priority start>より大きいユーザ優先度を指定してください。

tag-vlan <tag vlan id>

1段目のVLAN TagのVLAN IDを指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜4095（10進数）を指定します。

inner-untagged

2段目のVLAN Tagがないパケットの検出を指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

inner-user-priority {<priority> | range <priority start> <priority end>}

2段目のVLAN Tagのユーザ優先度を指定します。

rangeを指定すると，<priority start>から<priority end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜7（10進数）を指定します。

   <priority end>には<priority start>より大きいユーザ優先度を指定してください。

inner-tag-vlan <tag vlan id>

2段目のVLAN TagのVLAN IDを指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜4095（10進数）を指定します。

{ip | <protocol> | icmp | igmp | tcp | udp}

フロー検出条件種別にmac-ipを指定した場合に選択できます。

IPv4パケットの上位プロトコル条件を指定します。ただし，すべてのプロトコルを対象とする場合はipを指定します。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   0〜255（10進数）またはプロトコル名称を指定します。

   指定できるプロトコル名称は「表7‒3　指定可能なプロトコル名称（IPv4）」を参照してください。

{ipv6 | <protocol> | icmp | tcp | udp}

フロー検出条件種別にmac-ipv6を指定した場合に選択できます。

IPv6パケットの上位プロトコル条件を指定します。ただし，すべてのプロトコルを対象とする場合はipv6を指定します。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   1〜42，45〜49，52〜59，61〜255（10進数）またはプロトコル名称を指定します。

   指定できるプロトコル名称は「表7‒4　指定可能なプロトコル名称（IPv6）」を参照してください。

{{<source ipv4> | own-address} <source ipv4 wildcard> | host {<source ipv4> | own-address} | any | own-prefix | range-address <source ipv4 start> <source ipv4 end>}

送信元IPv4アドレスを指定します。

host <source ipv4>を指定すると，<source ipv4>の完全一致をフロー検出条件とします。

すべての送信元IPv4アドレスを指定する場合はanyを指定します。anyを指定すると，送信元IPv4アドレスをフロー検出条件とはしません。

own-addressを指定すると，対象インタフェースに設定されているIPv4アドレスを送信元IPv4アドレスとしてフロー検出条件にします。

own-prefixを指定すると，対象インタフェースに設定されているIPv4アドレスのネットワークアドレス部をフロー検出条件にします。ホストアドレス部は任意とします。

なお，own-addressおよびown-prefixを指定したインタフェースがマルチホームの場合は，プライマリIPv4アドレスが対象になります。

range-addressを指定すると，<source ipv4 start>から<source ipv4 end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <source ipv4>には送信元IPv4アドレスを指定します。

   <source ipv4 wildcard>にはIPv4アドレスの中で任意の値を許可するビットを立てたワイルドカードマスクをIPv4アドレス形式で指定します。

   <source ipv4 end>には<source ipv4 start>より大きいIPv4アドレスを指定してください。

   IPv4アドレス(nnn.nnn.nnn.nnn)：0.0.0.0〜255.255.255.255

{<source ipv6>/<length>| host {<source ipv6> | own-address} | any | own-address <own address length> | own-prefix | range-address <source ipv6 start> <source ipv6 end>}

送信元IPv6アドレスを指定します。

host <source ipv6>を指定すると，<source ipv6>の完全一致をフロー検出条件とします。

すべての送信元IPv6アドレスを指定する場合はanyを指定します。anyを指定すると，送信元IPv6アドレスをフロー検出条件とはしません。

own-addressを指定すると，対象インタフェースに設定されているIPv6グローバルアドレスを送信元IPv6アドレスとしてフロー検出条件とします。

own-prefixを指定すると，対象インタフェースに設定されているIPv6グローバルアドレスを送信元IPv6アドレス，IPv6グローバルアドレスのプレフィックス長を<length>としてフロー検出条件にします。

range-addressを指定すると，<source ipv6 start>から<source ipv6 end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <source ipv6>には送信元IPv6アドレスを指定します。

   <length>にはIPv6アドレスの中で一致条件となる部分をアドレスの先頭からのbit数で指定します。

   <own address length>にはown-addressの中で一致条件となる部分をアドレスの先頭からのbit数で指定します。

   <source ipv6 end>には<source ipv6 start>より大きいIPv6アドレスを指定してください。

   <source ipv6>(nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn)：0:0:0:0:0:0:0:0〜ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff

   <length>：0〜128

{{eq | neq} <source port> | range <source port start> <source port end>}

送信元ポート番号を指定します。

プロトコルがTCPおよびUDPだけのオプションです。

eqを指定すると，<source port>の完全一致をフロー検出条件とします。

neqを指定すると，<source port>以外をフロー検出条件とします。

rangeを指定すると，<source port start>から<source port end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜65535（10進数）またはポート名称を指定します。

   指定できるポート名称は「表7‒5　TCPで指定可能なポート名称」，「表7‒6　UDPで指定可能なポート名称（IPv4）」および「表7‒7　UDPで指定可能なポート名称（IPv6）」を参照してください。

   <source port end>には<source port start>より大きいポート番号を指定してください。

{{<destination ipv4> | own-address} <destination ipv4 wildcard> | host {<destination ipv4> | own-address} | any | own-prefix | range-address <destination ipv4 start> <destination ipv4 end>}

宛先IPv4アドレスを指定します。

host <destination ipv4>を指定すると，<destination ipv4>の完全一致をフロー検出条件とします。

すべての宛先IPv4アドレスを指定する場合はanyを指定します。anyを指定すると，宛先IPv4アドレスをフロー検出条件とはしません。

own-addressを指定すると，対象インタフェースに設定されているIPv4アドレスを宛先IPv4アドレスとしてフロー検出条件にします。

own-prefixを指定すると，対象インタフェースに設定されているIPv4アドレスのネットワークアドレス部をフロー検出条件にします。ホストアドレス部は任意とします。

なお，own-addressおよびown-prefixを指定したインタフェースがマルチホームの場合は，プライマリIPv4アドレスが対象になります。

range-addressを指定すると，<destination ipv4 start>から<destination ipv4 end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <destination ipv4>には宛先IPv4アドレスを指定します。

   <destination ipv4 wildcard>にはIPv4アドレスの中で任意の値を許可するビットを立てたワイルドカードマスクをIPv4アドレス形式で指定します。

   <destination ipv4 end>には<destination ipv4 start>より大きいIPv4アドレスを指定してください。

   IPv4アドレス(nnn.nnn.nnn.nnn)：0.0.0.0〜255.255.255.255

{<destination ipv6>/<length>| host {<destination ipv6> | own-address} | any | own-address <own address length> | own-prefix | range-address <destination ipv6 start> <destination ipv6 end>}

宛先IPv6アドレスを指定します。

host <destination ipv6>を指定すると，<destination ipv6>の完全一致をフロー検出条件とします。

すべての宛先IPv6アドレスを指定する場合はanyを指定します。anyを指定すると，宛先IPv6アドレスをフロー検出条件とはしません。

own-addressを指定すると，対象インタフェースに設定されているIPv6グローバルアドレスを宛先IPv6アドレスとしてフロー検出条件とします。

own-prefixを指定すると，対象インタフェースに設定されているIPv6グローバルアドレスを宛先IPv6アドレス，IPv6グローバルアドレスのプレフィックス長を<length>としてフロー検出条件にします。

range-addressを指定すると，<destination ipv6 start>から<destination ipv6 end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <destination ipv6>には宛先IPv6アドレスを指定します。

   <length>にはIPv6アドレスの中で一致条件となる部分をアドレスの先頭からのbit数で指定します。

   <own address length>にはown-addressの中で一致条件となる部分をアドレスの先頭からのbit数で指定します。

   <destination ipv6 end>には<destination ipv6 start>より大きいIPv6アドレスを指定してください。

   <destination ipv6>(nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn)：0:0:0:0:0:0:0:0〜ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff

   <length>：0〜128

{{eq | neq} <destination port> | range <destination port start> <destination port end>}

宛先ポート番号を指定します。

プロトコルがTCPおよびUDPだけのオプションです。

eqを指定すると，<destination port>の完全一致をフロー検出条件とします。

neqを指定すると，<destination port>以外をフロー検出条件とします。

rangeを指定すると，<destination port start>から<destination port end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜65535（10進数）またはポート名称を指定します。

   指定できるポート名称は「表7‒5　TCPで指定可能なポート名称」，「表7‒6　UDPで指定可能なポート名称（IPv4）」および「表7‒7　UDPで指定可能なポート名称（IPv6）」を参照してください。

   <destination port end>には<destination port start>より大きいポート番号を指定してください。

tos <tos>

ToSフィールドのビット3〜6の4ビットであるtos値を指定します。

パケットのToSフィールドのビット3〜6の4ビットと比較します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜15（10進数）またはtos名称を指定します。

   指定できるtos名称は「表7‒8　指定可能なtos名称」を参照してください。

precedence {<precedence> | range <precedence start> <precedence end>}

ToSフィールドの上位3ビットであるprecedence値を指定します。

rangeを指定すると，<precedence start>から<precedence end>の範囲をフロー検出条件とします。

パケットのToSフィールド上位3ビットと比較します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜7（10進数）またはprecedence名称を指定します。

   指定できるprecedence名称は「表7‒9　指定可能なprecedence名称」を参照してください。

   rangeを指定する場合，<precedence start>と<precedence end>にはprecedence値を指定し，<precedence end>には<precedence start>より大きいprecedence値を指定してください。

traffic-class <traffic class>

トラフィッククラスフィールド値を指定します。

パケットのトラフィッククラスフィールドと比較します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜255（10進数）を指定します。

dscp {<dscp> | range <dscp start> <dscp end>}

• フロー検出条件種別がmac-ipの場合

  ToSフィールドの上位6ビットであるDSCP値を指定します。

  rangeを指定すると，<dscp start>から<dscp end>の範囲をフロー検出条件とします。

  パケットのToSフィールド上位6ビットと比較します。

• フロー検出条件種別がmac-ipv6の場合

  トラフィッククラスフィールドの上位6ビットであるDSCP値を指定します。

  rangeを指定すると，<dscp start>から<dscp end>の範囲をフロー検出条件とします。

  パケットのトラフィッククラスフィールド上位6ビットと比較します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜63（10進数）またはDSCP名称を指定します。

   指定できるDSCP名称は「表7‒10　指定可能なDSCP名称」を参照してください。

   rangeを指定する場合，<dscp start>と<dscp end>にはDSCP値を指定し，<dscp end>には<dscp start>より大きいDSCP値を指定してください。

established

TCPヘッダのACKフラグまたはRSTフラグが1のパケットの検出を指定します。

プロトコルがTCPだけのオプションです。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+ack | -ack}

TCPヘッダのACKフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+ackはACKフラグが1のパケット，-ackはACKフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+fin | -fin}

TCPヘッダのFINフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+finはFINフラグが1のパケット，-finはFINフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+psh | -psh}

TCPヘッダのPSHフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+pshはPSHフラグが1のパケット，-pshはPSHフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+rst | -rst}

TCPヘッダのRSTフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+rstはRSTフラグが1のパケット，-rstはRSTフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+syn | -syn}

TCPヘッダのSYNフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+synはSYNフラグが1のパケット，-synはSYNフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+urg | -urg}

TCPヘッダのURGフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+urgはURGフラグが1のパケット，-urgはURGフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{<icmp type> | range <icmp type start> <icmp type end>}

ICMPタイプを指定します。

rangeを指定すると，<icmp type start>から<icmp type end>の範囲をフロー検出条件とします。

プロトコルがICMPだけのオプションです。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜255（10進数）を指定します。

   <icmp type end>には<icmp type start>より大きいICMPタイプを指定してください。

<icmp code>

ICMPコードを指定します。

プロトコルがICMPだけのオプションです。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜255（10進数）を指定します。

<icmp message>

ICMPメッセージ名称を指定します。

プロトコルがICMPだけのオプションです。

指定できるICMPメッセージ名称は「表7‒13　ICMPで指定可能なメッセージ名称（IPv4）」および「表7‒14　ICMPで指定可能なメッセージ名称（IPv6）」を参照してください。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

<igmp type>

IGMPタイプを指定します。

プロトコルがIGMPだけのオプションです。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜255（10進数）を指定します。

length {upper | lower} <length>

IPユーザデータ長の上限値または下限値を指定します。

upper：上限値を指定します。<length>以下のパケットをフロー検出条件とします。

lower：下限値を指定します。<length>以上のパケットをフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜65535（10進数）を指定します。

{+mf | -mf}

• フロー検出条件種別がmac-ipの場合

  Flagsフィールドの下位1ビットであるMFフラグの値を指定します。

  +mfはMFフラグが1のパケット，-mfはMFフラグが0のパケットをフロー検出条件とします。

• フロー検出条件種別がmac-ipv6の場合

  フラグメントヘッダのMフラグの値を指定します。

  +mfはMフラグが1のパケット，-mfはMフラグが0のパケットをフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+fo | -fo}

Fragment Offsetフィールドの値を指定します。

+foはFragment Offsetフィールドの値が0以外のパケット，-foはFragment Offsetフィールドの値が0のパケットをフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{layer2 | layer3}

中継種別を指定します。

layer2はレイヤ2中継するパケット，layer3はレイヤ3中継するパケットを指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

<action specification>パラメータ

action

フロー検出したパケットの動作を指定します。

<action specification>パラメータ全体の先頭に指定してください。

1. 本パラメータ省略時の初期値

   なし（動作を指定しません）

2. 値の設定範囲

   なし

log

指定したアクセスリストで廃棄したパケットをアクセスリストロギングの対象とします。

1. 本パラメータ省略時の初期値

   なし（アクセスリストロギングを使用しません）

2. 値の設定範囲

   なし

［コマンド省略時の動作］

なし

［通信への影響］

アクセスリストをインタフェースに適用した状態でエントリを変更すると，エントリがインタフェースに適用されるまでの間，該当インタフェースで受信したパケットが一時的に廃棄される場合があります。

［設定値の反映契機］

設定値変更後，すぐに運用に反映されます。

［注意事項］

1. 送信元MACアドレスおよび宛先MACアドレスにnnnn.nnnn.nnnn ffff.ffff.ffffと入力したときはanyと表示します。

2. 宛先MACアドレスに宛先MACアドレス名称または宛先MACアドレス名称のアドレスを入力した場合は，宛先MACアドレス名称を表示します。

   上記以外の送信元MACアドレスおよび宛先MACアドレスにnnnn.nnnn.nnnn 0000.0000.0000と入力したときはhost nnnn.nnnn.nnnnと表示します。

3. 送信元IPv4アドレスワイルドカードマスクおよび宛先IPv4アドレスワイルドカードマスクに255.255.255.255と入力したときはanyと表示します。

4. 送信元IPv4アドレスワイルドカードマスクおよび宛先IPv4アドレスワイルドカードマスクに0.0.0.0と入力したときはhost nnn.nnn.nnn.nnn，host own-addressと表示します。

5. 送信元IPv6アドレスおよび宛先IPv6アドレスの<length>，<own address length>に0と入力したときはanyと表示します。

6. 送信元IPv6アドレスおよび宛先IPv6アドレスの<length>，<own address length>に128と入力したときはhost nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn，host own-addressと表示します。

［関連コマンド］

advance access-group
advance access-list resequence
permit (advance access-list)
remark