CISCOコミュのアクセスコントロールリストの仕組み

TFTPサーバを使用したACLの再設定として
下記のような手順で設定をしています。

cisco#
cisco#conf t
Enter configuration commands, one per line. End with CNTL/Z.
cisco(config)#no access-list 111
cisco(config)#
cisco(config)#interface FastEthernet0/2
cisco(config-if)#no ip access-group 111 out
cisco(config-if)#exit
cisco(config)#exit
cisco#write
Building configuration...
[OK]
cisco#copy tftp running-config

この後、
show access-list 111
で設定が入っている事を確認して再設定(修正)をした
ACLの動作確認を取ります。

今まで上記の方法で再設定をしてきましたが
今回、この方法で設定がうまく反映されていなかったので質問をしたいと思います。
ACLを変更した際、反映されるタイミングはいつなのでしょうか？

show access-listで
修正された行には(28 matches)と言うようにマッチングしている記録が見えました。

その他のACLには変更をしていませんし、
今回設定したACLと関わりがあるACLは無いと言う前提（成りすまし拒否位しかしてい
ません）で
192.168.10.0/24から192.168.2.72から79までのsshとtelnetの許可設定を追加しまし
た。
下記1行になります。
access-list 111 permit tcp 192.168.10.0 0.0.0.255 192.168.2.72 0.0.0.7 range
ssh telnet log
当然ながらこの行より前にマッチングする行はありません。

記述の仕方が間違っているのか、
反映の仕方が悪いのか、
ACLの行数が多いのがいけないのか、

現用機なので再起動はしておりません。

自分が見る限りでは設定に問題があるとは思わないのですが
ACLを設定する上で何か気をつけなければいけない事などもありましたら
教えて頂ければ幸いです。

コメント(17)

最初
全て
最新の40件

[1] mixiユーザー 01月11日 01:13

なんだか、言葉ばかりでどんな設定がされてるのか良くわかりませんね。

ACLは変更した時点で反映されるはずですが・・・？
再起動なんていりませんし。

言葉で「～していない」とか「問題ない」と思っていても、別の人の目で見ると落とし穴があったりするものです。言葉ではなくコンフィグだとか各コマンドのログとかを貼り付けたほうがコメント得られやすいと思いますよ。

表に出て問題のある情報は適宜修正すればいいことですし。

[5] mixiユーザー 01月11日 13:32

「設定がうまく反映されない」というのは、通信を許可するホスト以外からも通信ができてしまう状態なんでしょうか。

言葉だけなのでなんともわかりにくいんですが、一つだけ。

tftpのconfigにはinterfaceに「ip access-group 111 out」って入ってますか？
上のLogだといったん削除しているようなので……。

現状のrunning-configを確認してみて、ACLに関するinterfaceとACL本文を見直してみるのはどうでしょう。

[6] mixiユーザー 01月12日 02:22

＞ご回答いただいたみなさん

回答する側に立場になれば、
これがどんなに曖昧な質問なのかは一目瞭然でした。

もっと詳細に書きたかったのですが、
ACLの行数が多い事、その他、色々と注釈をつけていかなければいけなかったので
なるべく短縮して質問したのが失敗でした。

ご迷惑をおかけしてすいませんでした。

原因は「ルータのCONFIG」ではなく「ホスト」側にありました。
（ちょっとだけ言い訳させていただくと）
質問をした段階では
ホスト側の設定確認を取りつらかった事。
パケットをダンプする環境を作るのに手間が多かった事。
があり、ついついルータのACL修正が問題であると思い込んでいました。
動作確認が非常にしづらい状況でした。）

＞☆よーいち☆ さん

各コマンドのログと言う事ですが、
あるパケットがどのACLの行にマッチングしたのかを確認するためのコマンドと言うのはありますでしょうか？
「show access-list 番号」による「( xx matches)」しか私には思いつかないのですが、
何か他にありましたら、教えていただけませんでしょうか？

＞embryoさん

matchが記録される事は特に不都合だとは感じていませんが
matchを消す方法を知らなかったので教えていただき非常に助かりました。

「弾かれたコマンドが見えない」と言う事ですが
弾かれたコマンドって見えていると思うんですが、
私が思う「弾かれたコマンド」とembryoさんが考える「弾かれたコマンド」
と言うのは違うのでしょうか？
弾かれるとエラーで出力されています。

＞みゆきさん
tftpサーバに保存してあるCONFIGの見直しは
今回、何度となく行いましたが、失敗したため、質問をさせてもらいました。

ただ、みゆきさんの仰る通り、思い込みで、大丈夫だと思っている事は
多々ありましたので今後も、より一層、気をつけていこうと思います。

コメントありがとうございました。

＞Neun（ノイン）。さん

「Configを投入した際のlog」と言うのは具体的にはどういったログでしょうか？
勉強不足で、ちょっと分かりませんでした。

それとTeratermからCONFIGを投入するにしても
一旦、ACLを消去しないと、ACLを途中の行に追加する事は出来ないと認識しているのですが
追加する方法があるという事でしょうか？

CONFIGのバックアップも１０世代以上前のものもバックアップしてあります。
またCONFIGの更新履歴を取っておりますが、その他に取っておいたほうが良いものがありますでしょうか？

＞ゆにさん

ホスト側のネットワーク設定に問題があることが分かり問題が解決しました。
今回、コメントありがとうございました。

[7] mixiユーザー 01月12日 02:58

はじめまして。
僕はいつも下記の要領でアクセスリスト書き換えてますよ。

１.access-list 111とaccess-list 112のように同様のやつを
　２つ作成しておく。
２.現用でaccess-list 111を適用している場合には、追加・
　修正分を含めaccess-list 112を作り直す。
３.最後に適用interfaceでip access-group 111 in ⇒ip access-group 112 in
　として切替える。

次にまた変更するときは、111側を作り直して...と同じ要領で交互にやってます。これならすぐに元に戻せるので便利だと思いますよ。アドバイスになれば幸いです。

[8] mixiユーザー 01月12日 12:34

もともとの質問にはあまり関係ないのですが、ACLの付け替えって、昔、次のような順番でって習ったんですが、最近のはどうなんでしょうか？

その１．interface につけられているACLをはずす
(cisco(config-if)#no ip access-group 111 out)

その２．ACL本体をはずす
(cisco(config)#no access-list 111 )

その３．ACL本体をいれる。
(cisco(config)# access-list 111 xxx )

その４．ACLをインターフェースに適用する
(cisco(config-if)#ip access-group 111 out)

[9] mixiユーザー 02月11日 14:57

初めまして

みなさんすでにいろいろ書かれていますのでご存知かとおもいますが、少しだけかかせていただきます。ちょっと話がそれますが。。。

ACLはみなさん言われるとおおりルータ、SWでえすと途中に追加、また途中行だけ削除は出来ないので違うACL No.をつくり変更するか、ACL自体を書き換えるしかありません。

ただしPIX系の機器ですと削除だけは１行ずつ削除する事が可能です。
そこでまた注意ですがPIXの場合ACL自体を削除すると自動的にinterfaceに適用しているaccess-groupも削除されます。なのでACL全体を削除して書き換えた時は注意してください

[10] mixiユーザー 08月24日 16:56

はじめまして。

ちょっと便乗で質問させてください。

show access-lists 110 でACLをみたときmatchが表示されるのは
わかるのですが、これは適用された行全てにおいて表示されるという
ものではないのでしょうか。

私のところではdenyの行しか表示されず、permitに関しては一切
matchがありません。
これですと全て弾かれているように思えますがpermitの行に従い通信
はできています。

また別の機器では適用されたと思われる行はpermit、denyに関わらず
match表示があります。

IOSのバージョンの問題でしょうか。ちなみに12.2(25)SEです。
googleで検索をかけてみたんですがそれらしい記事が見当たらずこ
ちらで質問させていただきました。
ご容赦ください。

[11] mixiユーザー 08月26日 08:07

ルータのACLってコンフィグは
ACL番号で作成しても名前つきACLとして管理されてるから
　　ip access-list ext 101
　　no permit tcp any any eq 23
とかで、特定行を消せた気がします。

自分は手間が掛かるんで、sh runのACLをエディタで編集して
番号ごとACL消去→更新を同時にかけてますが、、

[12] mixiユーザー 08月27日 09:22

上でしげさんが言われている通り、
IOSのバージョン（どのver以上か忘れました）にもよりますが、
名前付アクセスリストを使うとルータやスイッチでも
PIXと同じように１行ずつ消せますよ。

ip access-list {standard | extended} name

ってのが、１行余分に入ることになりますが。

お客さんから、既存の通信は止めたくないと
言われるので、この方法を使ってます(´-`)

あと、cat3550のhitcntが、ちゃんとカウントされないようで、ちょっとどたばたしたことがありました･･･

[13] mixiユーザー 08月27日 09:47

VieR さん、

まず、match表示がある機器とない機器の違いは何ですか？
IOS version? H/W が異なる？設定が違う？

などわかれば少しはコメントができると思います。

[15] mixiユーザー 10月10日 00:06

葱坊主さんへ

ありがとうございます！
スイッチでカウントアップされないのは、
仕様なのかなぁ程度にしか思ってませんでしたが
葱坊主さんのレスで勉強させてもらいました！

[16] mixiユーザー 10月10日 00:20

PIX以外でも行単位で削除できたんですね、知りませんでした。
いつも新しいACLを１２０あたりで用意してたので現行通信は瞬断、と説明してました。

ACLは運用のため１期前のものはConfigで残してあとはログ保存ですね～。
場合によっちゃACL管理表、なんてものもつくってました。。。

[17] mixiユーザー 12月03日 01:55