permit（advance access-list）

［入力形式］

情報の設定・変更

[<sequence>] permit mac <target flow> [<action specification>]
[<sequence>] permit mac-ip <target flow> [<action specification>]
[<sequence>] permit mac-ipv6 <target flow> [<action specification>]

情報の削除

no <sequence>

［入力モード］

(config-adv-acl)

［パラメータ］

<sequence>

フロー検出条件の適用順序であるシーケンス番号を指定します。

1. 本パラメータ省略時の初期値

   アクセスリスト内に条件がない場合，初期値は10です。

   条件を指定してある場合，指定してあるシーケンス番号の最大値+10です。

   ただし，シーケンス番号の最大値が4294967284より大きい値を指定した場合は省略できません。

2. 値の設定範囲

   1〜4294967294（10進数）を指定します。

<target flow>パラメータ

{<source mac> <source mac mask> | host <source mac> | any}

送信元MACアドレスを指定します。

host <source mac>を指定すると，<source mac>の完全一致をフロー検出条件とします。

すべての送信元MACアドレスを指定する場合はanyを指定します。anyを指定すると，送信元MACアドレスをフロー検出条件とはしません。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <source mac>には送信元MACアドレスを指定します。

   <source mac mask>にはMACアドレスの中で任意の値を許可するビットを立てたマスクをMACアドレス形式で指定します。

   MACアドレス(nnnn.nnnn.nnnn)：0000.0000.0000〜ffff.ffff.ffff（16進数）

{<destination mac> <destination mac mask> | host <destination mac> | any | <destination mac name>}

宛先MACアドレスを指定します。

host <destination mac>を指定すると，<destination mac>の完全一致をフロー検出条件とします。

すべての宛先MACアドレスを指定する場合はanyを指定します。anyを指定すると，宛先MACアドレスをフロー検出条件とはしません。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <destination mac>には宛先MACアドレスを指定します。

   <destination mac mask>にはMACアドレスの中で任意の値を許可するビットを立てたマスクをMACアドレス形式で指定します。

   <destination mac name>には宛先MACアドレス名称を指定します。指定できる宛先MACアドレス名称は「表7‒11　指定可能な宛先MACアドレス名称」を参照してください。

   MACアドレス(nnnn.nnnn.nnnn)：0000.0000.0000〜ffff.ffff.ffff（16進数）

<ethernet type>

イーサネットタイプ値を指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0x0000〜0xffff（16進数）またはイーサネットタイプ名称を指定します。

   指定できるイーサネットタイプ名称は「表7‒10　指定可能なイーサネットタイプ名称」を参照してください。

interface <interface type> <interface number>

入出力フレームが属するインタフェースを指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   <interface type> <interface number>には，次に示すインタフェース種別グループに対応するインタフェース名およびインタフェース番号を指定できます。詳細は，「パラメータに指定できる値」の「■インタフェースの指定方法」を参照してください。

   ・イーサネットサブインタフェース

   ・ポートチャネルサブインタフェース

   ・VLANインタフェース

untagged

Untaggedフレームの検出を指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

user-priority {<priority> | range <priority start> <priority end>}

1段目のVLAN Tagのユーザ優先度を指定します。

rangeを指定すると，<priority start>から<priority end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜7（10進数）を指定します。

   <priority end>には<priority start>より大きいユーザ優先度を指定してください。

tag-vlan <tag vlan id>

1段目のVLAN TagのVLAN IDを指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜4095（10進数）を指定します。

inner-untagged

2段目のVLAN Tagがないパケットの検出を指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

inner-user-priority {<priority> | range <priority start> <priority end>}

2段目のVLAN Tagのユーザ優先度を指定します。

rangeを指定すると，<priority start>から<priority end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜7（10進数）を指定します。

   <priority end>には<priority start>より大きいユーザ優先度を指定してください。

inner-tag-vlan <tag vlan id>

2段目のVLAN TagのVLAN IDを指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜4095（10進数）を指定します。

{ip | <protocol> | icmp | igmp | tcp | udp}

フロー検出条件種別にmac-ipを指定した場合に選択できます。

IPv4パケットの上位プロトコル条件を指定します。ただし，すべてのプロトコルを対象とする場合はipを指定します。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   0〜255（10進数）またはプロトコル名称を指定します。

   指定できるプロトコル名称は「表7‒2　指定可能なプロトコル名称（IPv4）」を参照してください。

{ipv6 | <protocol> | icmp | tcp | udp}

フロー検出条件種別にmac-ipv6を指定した場合に選択できます。

IPv6パケットの上位プロトコル条件を指定します。ただし，すべてのプロトコルを対象とする場合はipv6を指定します。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   1〜42，45〜49，52〜59，61〜255（10進数），またはプロトコル名称を指定します。

   指定できるプロトコル名称は「表7‒3　指定可能なプロトコル名称（IPv6）」を参照してください。

{{<source ipv4> | own-address} <source ipv4 wildcard> | host {<source ipv4> | own-address} | any | own-prefix | range-address <source ipv4 start> <source ipv4 end>}

送信元IPv4アドレスを指定します。

host <source ipv4>を指定すると，<source ipv4>の完全一致をフロー検出条件とします。

すべての送信元IPv4アドレスを指定する場合はanyを指定します。anyを指定すると，送信元IPv4アドレスをフロー検出条件とはしません。

own-addressを指定すると，対象インタフェースに設定されているIPv4アドレスを送信元IPv4アドレスとしてフロー検出条件にします。

own-prefixを指定すると，対象インタフェースに設定されているIPv4アドレスのネットワークアドレス部をフロー検出条件にします。ホストアドレス部は任意とします。

なお，own-addressおよびown-prefixを指定したインタフェースがマルチホームの場合は，プライマリIPv4アドレスが対象になります。

range-addressを指定すると，<source ipv4 start>から<source ipv4 end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <source ipv4>には送信元IPv4アドレスを指定します。

   <source ipv4 wildcard>にはIPv4アドレスの中で任意の値を許可するビットを立てたワイルドカードマスクをIPv4アドレス形式で指定します。

   <source ipv4 end>には<source ipv4 start>より大きいIPv4アドレスを指定してください。

   IPv4アドレス(nnn.nnn.nnn.nnn)：0.0.0.0〜255.255.255.255

{<source ipv6>/<length>| host {<source ipv6> | own-address} | any | own-address <own address length> | own-prefix | range-address <source ipv6 start> <source ipv6 end>}

送信元IPv6アドレスを指定します。

host <source ipv6>を指定すると，<source ipv6>の完全一致をフロー検出条件とします。

すべての送信元IPv6アドレスを指定する場合はanyを指定します。anyを指定すると，送信元IPv6アドレスをフロー検出条件とはしません。

own-addressを指定すると，対象インタフェースに設定されているIPv6グローバルアドレスを送信元IPv6アドレスとしてフロー検出条件とします。

own-prefixを指定すると，対象インタフェースに設定されているIPv6グローバルアドレスを送信元IPv6アドレス，IPv6グローバルアドレスのプレフィックス長を<length>としてフロー検出条件にします。

range-addressを指定すると，<source ipv6 start>から<source ipv6 end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <source ipv6>には送信元IPv6アドレスを指定します。

   <length>にはIPv6アドレスの中で一致条件となる部分をアドレスの先頭からのbit数で指定します。

   <own address length>にはown-addressの中で一致条件となる部分をアドレスの先頭からのbit数で指定します。

   <source ipv6 end>には<source ipv6 start>より大きいIPv6アドレスを指定してください。

   <source ipv6>(nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn)：0:0:0:0:0:0:0:0〜ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff

   <length>：0〜128

{{eq | neq} <source port> | range <source port start> <source port end>}

送信元ポート番号を指定します。

プロトコルがTCPおよびUDPだけのオプションです。

eqを指定すると，<source port>の完全一致をフロー検出条件とします。

neqを指定すると，<source port>以外をフロー検出条件とします。

rangeを指定すると，<source port start>から<source port end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜65535（10進数）またはポート名称を指定します。

   指定できるポート名称は「表7‒4　TCPで指定可能なポート名称」，「表7‒5　UDPで指定可能なポート名称（IPv4）」および「表7‒6　UDPで指定可能なポート名称（IPv6）」を参照してください。

   <source port end>には<source port start>より大きいポート番号を指定してください。

{{<destination ipv4> | own-address} <destination ipv4 wildcard> | host {<destination ipv4> | own-address} | any | own-prefix | range-address <destination ipv4 start> <destination ipv4 end>}

宛先IPv4アドレスを指定します。

host <destination ipv4>を指定すると，<destination ipv4>の完全一致をフロー検出条件とします。

すべての宛先IPv4アドレスを指定する場合はanyを指定します。anyを指定すると，宛先IPv4アドレスをフロー検出条件とはしません。

own-addressを指定すると，対象インタフェースに設定されているIPv4アドレスを宛先IPv4アドレスとしてフロー検出条件にします。

own-prefixを指定すると，対象インタフェースに設定されているIPv4アドレスのネットワークアドレス部をフロー検出条件にします。ホストアドレス部は任意とします。

なお，own-addressおよびown-prefixを指定したインタフェースがマルチホームの場合は，プライマリIPv4アドレスが対象になります。

range-addressを指定すると，<destination ipv4 start>から<destination ipv4 end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <destination ipv4>には宛先IPv4アドレスを指定します。

   <destination ipv4 wildcard>にはIPv4アドレスの中で任意の値を許可するビットを立てたワイルドカードマスクをIPv4アドレス形式で指定します。

   <destination ipv4 end>には<destination ipv4 start>より大きいIPv4アドレスを指定してください。

   IPv4アドレス(nnn.nnn.nnn.nnn)：0.0.0.0〜255.255.255.255

{<destination ipv6>/<length>| host {<destination ipv6> | own-address} | any | own-address <own address length> | own-prefix | range-address <destination ipv6 start> <destination ipv6 end>}

宛先IPv6アドレスを指定します。

host <destination ipv6>を指定すると，<destination ipv6>の完全一致をフロー検出条件とします。

すべての宛先IPv6アドレスを指定する場合はanyを指定します。anyを指定すると，宛先IPv6アドレスをフロー検出条件とはしません。

own-addressを指定すると，対象インタフェースに設定されているIPv6グローバルアドレスを宛先IPv6アドレスとしてフロー検出条件とします。

own-prefixを指定すると，対象インタフェースに設定されているIPv6グローバルアドレスを宛先IPv6アドレス，IPv6グローバルアドレスのプレフィックス長を<length>としてフロー検出条件にします。

range-addressを指定すると，<destination ipv6 start>から<destination ipv6 end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   省略できません

2. 値の設定範囲

   <destination ipv6>には宛先IPv6アドレスを指定します。

   <length>にはIPv6アドレスの中で一致条件となる部分をアドレスの先頭からのbit数で指定します。

   <own address length>にはown-addressの中で一致条件となる部分をアドレスの先頭からのbit数で指定します。

   <destination ipv6 end>には<destination ipv6 start>より大きいIPv6アドレスを指定してください。

   <destination ipv6>(nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn)：0:0:0:0:0:0:0:0〜ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff

   <length>：0〜128

{{eq | neq} <destination port> | range <destination port start> <destination port end>}

宛先ポート番号を指定します。

プロトコルがTCPおよびUDPだけのオプションです。

eqを指定すると，<destination port>の完全一致をフロー検出条件とします。

neqを指定すると，<destination port>以外をフロー検出条件とします。

rangeを指定すると，<destination port start>から<destination port end>の範囲をフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜65535（10進数）またはポート名称を指定します。

   指定できるポート名称は「表7‒4　TCPで指定可能なポート名称」，「表7‒5　UDPで指定可能なポート名称（IPv4）」および「表7‒6　UDPで指定可能なポート名称（IPv6）」を参照してください。

   <destination port end>には<destination port start>より大きいポート番号を指定してください。

tos <tos>

ToSフィールドのビット3〜6の4ビットであるtos値を指定します。

パケットのToSフィールドのビット3〜6の4ビットと比較します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜15（10進数）またはtos名称を指定します。

   指定できるtos名称は「表7‒7　指定可能なtos名称」を参照してください。

precedence {<precedence> | range <precedence start> <precedence end>}

ToSフィールドの上位3ビットであるprecedence値を指定します。

rangeを指定すると，<precedence start>から<precedence end>の範囲をフロー検出条件とします。

パケットのToSフィールド上位3ビットと比較します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜7（10進数）またはprecedence名称を指定します。

   指定できるprecedence名称は「表7‒8　指定可能なprecedence名称」を参照してください。

   rangeを指定する場合，<precedence start>と<precedence end>にはprecedence値を指定し，<precedence end>には<precedence start>より大きいprecedence値を指定してください。

traffic-class <traffic class>

トラフィッククラスフィールド値を指定します。

パケットのトラフィッククラスフィールドと比較します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜255（10進数）を指定します。

dscp {<dscp> | range <dscp start> <dscp end>}

• フロー検出条件種別がmac-ipの場合

  ToSフィールドの上位6ビットであるDSCP値を指定します。

  rangeを指定すると，<dscp start>から<dscp end>の範囲をフロー検出条件とします。

  パケットのToSフィールド上位6ビットと比較します。

• フロー検出条件種別がmac-ipv6の場合

  トラフィッククラスフィールドの上位6ビットであるDSCP値を指定します。

  rangeを指定すると，<dscp start>から<dscp end>の範囲をフロー検出条件とします。

  パケットのトラフィッククラスフィールド上位6ビットと比較します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜63（10進数）またはDSCP名称を指定します。

   指定できるDSCP名称は「表7‒9　指定可能なDSCP名称」を参照してください。

   rangeを指定する場合，<dscp start>と<dscp end>にはDSCP値を指定し，<dscp end>には<dscp start>より大きいDSCP値を指定してください。

established

TCPヘッダのACKフラグまたはRSTフラグが1のパケットの検出を指定します。

プロトコルがTCPだけのオプションです。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+ack | -ack}

TCPヘッダのACKフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+ackはACKフラグが1のパケット，-ackはACKフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+fin | -fin}

TCPヘッダのFINフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+finはFINフラグが1のパケット，-finはFINフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+psh | -psh}

TCPヘッダのPSHフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+pshはPSHフラグが1のパケット，-pshはPSHフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+rst | -rst}

TCPヘッダのRSTフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+rstはRSTフラグが1のパケット，-rstはRSTフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+syn | -syn}

TCPヘッダのSYNフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+synはSYNフラグが1のパケット，-synはSYNフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+urg | -urg}

TCPヘッダのURGフラグの検出を指定します。

プロトコルがTCPだけのオプションです。

+urgはURGフラグが1のパケット，-urgはURGフラグが0のパケットとなります。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{<icmp type> | range <icmp type start> <icmp type end>}

ICMPタイプを指定します。

rangeを指定すると，<icmp type start>から<icmp type end>の範囲をフロー検出条件とします。

プロトコルがICMPだけのオプションです。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜255（10進数）を指定します。

   <icmp type end>には<icmp type start>より大きいICMPタイプを指定してください。

<icmp code>

ICMPコードを指定します。

プロトコルがICMPだけのオプションです。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜255（10進数）を指定します。

<icmp message>

ICMPメッセージ名称を指定します。

プロトコルがICMPだけのオプションです。

指定できるICMPメッセージ名称は「表7‒12　ICMPで指定可能なメッセージ名称（IPv4）」および「表7‒13　ICMPで指定可能なメッセージ名称（IPv6）」を参照してください。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

<igmp type>

IGMPタイプを指定します。

プロトコルがIGMPだけのオプションです。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜255（10進数）を指定します。

length {upper | lower} <length>

IPユーザデータ長の上限値または下限値を指定します。

upper：上限値を指定します。<length>以下のパケットをフロー検出条件とします。

lower：下限値を指定します。<length>以上のパケットをフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   0〜65535（10進数）を指定します。

{+mf | -mf}

• フロー検出条件種別がmac-ipの場合

  Flagsフィールドの下位1ビットであるMFフラグの値を指定します。

  +mfはMFフラグが1のパケット，-mfはMFフラグが0のパケットをフロー検出条件とします。

• フロー検出条件種別がmac-ipv6の場合

  フラグメントヘッダのMフラグの値を指定します。

  +mfはMフラグが1のパケット，-mfはMフラグが0のパケットをフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{+fo | -fo}

Fragment Offsetフィールドの値を指定します。

+foはFragment Offsetフィールドの値が0以外のパケット，-foはFragment Offsetフィールドの値が0のパケットをフロー検出条件とします。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

{layer2 | layer3}

中継種別を指定します。

layer2はレイヤ2中継するパケット，layer3はレイヤ3中継するパケットを指定します。

1. 本パラメータ省略時の初期値

   なし（検出条件としません）

2. 値の設定範囲

   なし

<action specification>パラメータ

action

フロー検出したパケットの動作を指定します。<action specification>パラメータ全体の先頭に指定してください。

1. 本パラメータ省略時の初期値

   なし（動作を指定しません）

2. 値の設定範囲

   なし

policy-mirror-list <destination interface list name>

ポリシーベースミラーリングの送信先インタフェースリスト名を指定します。

1. 本パラメータ省略時の初期値

   なし（ポリシーベースミラーリングを使用しません）

2. 値の設定範囲

   destination-interface-listコマンドで設定済みの送信先インタフェースリスト名を指定します。

policy-list <policy list name>

ポリシーベースルーティングリスト名を指定します。

1. 本パラメータ省略時の初期値

   なし（ポリシーベースルーティングを使用しません）

2. 値の設定範囲

   フロー検出条件種別がmac-ipの場合，ip policy-listコマンドで設定済みのポリシーベースルーティングリスト名を指定します。

   フロー検出条件種別がmac-ipv6の場合，ipv6 policy-listコマンドで設定済みのポリシーベースルーティングリスト名を指定します。

［コマンド省略時の動作］

なし

［通信への影響］

アクセスリストをインタフェースに適用した状態でエントリを変更すると，エントリがインタフェースに適用されるまでの間，該当インタフェースで受信したパケットが一時的に廃棄される場合があります。

［設定値の反映契機］

設定値変更後，すぐに運用に反映されます。

［注意事項］

1. 送信元MACアドレスおよび宛先MACアドレスにnnnn.nnnn.nnnn ffff.ffff.ffffと入力したときはanyと表示します。

2. 宛先MACアドレスに宛先MACアドレス名称または宛先MACアドレス名称のアドレスを入力した場合は，宛先MACアドレス名称を表示します。

   上記以外の送信元MACアドレスおよび宛先MACアドレスにnnnn.nnnn.nnnn 0000.0000.0000と入力したときはhost nnnn.nnnn.nnnnと表示します。

3. 送信元IPv4アドレスワイルドカードマスクおよび宛先IPv4アドレスワイルドカードマスクに255.255.255.255と入力したときはanyと表示します。

4. 送信元IPv4アドレスワイルドカードマスクおよび宛先IPv4アドレスワイルドカードマスクに0.0.0.0と入力したときはhost nnn.nnn.nnn.nnn，host own-addressと表示します。

5. 送信元IPv6アドレスおよび宛先IPv6アドレスの<length>，<own address length>に0と入力したときはanyと表示します。

6. 送信元IPv6アドレスおよび宛先IPv6アドレスの<length>，<own address length>に128と入力したときはhost nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn:nnnn，host own-addressと表示します。

7. ポリシーベースルーティングを指定する場合，フロー検出条件に指定する送信元IPv4アドレスおよび宛先IPv4アドレスに次のアドレスは指定できません。

   送信元IPv4アドレス

   マルチキャストアドレス

   宛先IPv4アドレス

   マルチキャストアドレス，制限付きブロードキャストアドレス，host own-addressパラメータ

8. ポリシーベースルーティングを指定する場合，フロー検出条件に指定する送信元IPv6アドレスおよび宛先IPv6アドレスに次のアドレスは指定できません。

   送信元IPv6アドレス

   マルチキャストアドレス，リンクローカルアドレス

   宛先IPv6アドレス

   マルチキャストアドレス，リンクローカルアドレス，host own-addressパラメータ

［関連コマンド］

advance access-group
advance access-list resequence
deny (advance access-list)
remark
ip policy-list
ipv6 policy-list
destination-interface-list