Cisco CCNA アクセスリストって何?

アクセスリストの用途

まず、アクセスリストの用途をいくつか挙げてみましょう。アクセスリストの用途として、次のようなことが挙げられます。


・パケットフィルタリング
・ルートフィルタリング
・QoS(Quality of Service)を行うためのトラフィック分類
・DDR(Dial on Demand Routing)でのインタレスティングパケットの指定



アクセスリストの最も一般的な用途は、パケットフィルタリング
を行うことです。ネットワーク管理者が、アクセスリストによって条件を定義し、その条件に一致したパケットを通過させる、または拒否するという動作を行います。これによって、望ましくないパケットをフィルタリングしてセキュリティを確保することが可能になります。





ルートフィルタリングとは、
ルータがルーティングプロトコルを利用して交換する経路情報を選択的に送信したり、受信するための機能です。アクセスリストでネットワークアドレスを指定することによって、ルートフィルタリングを行います。

QoSとは、トラフィックの種類に応じて、帯域幅を割り当てたり遅延を保証したりすることを指しています。QoSを利用すると、VoIPや動画などのリアルタイムデータを優先的に送信することができるようになります。QoSを行う際にトラフィックを分類する必要があるのですが、これをアクセスリストで行うことができます。

DDRはISDNで用いる技術です。ISDNは、通信を行っている間通信料金が発生します。ですから、
必要のないトラフィックのためにISDN回線を上げるのは無駄です。そこで、必要なトラフィックを流すときだけISDN回線を上げることをDDRといいます。この必要なトラフィックのことを「インタレスティングパケット」と呼びますが、アクセスリストを利用してインタレスティングパケットを指定することができます。

このようにアクセスリストには、さまざまな用途があります。CCNAで問われるのは「パケットフィルタリング」と「DDRでのインタレスティングパケットの指定」です。「ルートフィルタリング」「QoSを行うためのトラフィック分類」は上位のCCNPレベルの内容です。



アクセスリストによるパケットフィルタリング

アクセスリストによって、パケットフィルタリングを行うときのステップは、

1.条件(アクセスリスト)の定義
2.アクセスリストをインタフェースに適用


という2つのステップがあります。

まずパケットの条件を指定します。このときにアクセスリストを使って条件を定義するのですが、IPのアクセスリストには「標準アクセスリスト」「拡張アクセスリスト」の2種類あります。

標準アクセスリストは、アクセスリスト番号1〜99で設定され、パケットの送信元IPアドレスを基にフィルタリングを行うことができます。
拡張アクセスリストは、アクセスリスト番号100~199で設定され、パケットの送信元/送信先IPアドレス、送信元/送信先ポート番号、プロトコル、IP TOSフィールド、TCPフラグといったさまざまな要素を基にフィルタリングを行うことができます。

以下の表に、標準アクセスリストと拡張アクセスリストをまとめています。


表 標準アクセスリストと拡張アクセスリストのまとめ

アクセスリスト アクセスリスト番号 フィルタリングの条件
標準アクセスリスト 1〜99 送信元IPアドレス
拡張アクセスリスト 100〜199 送信元/送信先IPアドレス、送信元/送信先ポート番号、プロトコル、IP TOS、TCPフラグ



アクセスリストの設定を行うときには、1行につき1つの条件を記述します。
複数の条件を指定するときには、複数の行のアクセスリストを記述すればいいです。このとき、アクセスリスト番号を同じものを指定してください。複数の条件の場合、上から順番に処理が行われていきます。そして、重要なことは最後に「暗黙のdeny」が入ります。暗黙のdenyはどこにも表示されることはないのですが、最後に「すべて拒否する」という条件があるので注意してください。





さて、条件を定義したら次にどのインタフェースでその条件をチェックするかを決めます。このとき、
アクセスリストを適用する方向を考えなくてはいけません。適用する方向は、「インバウンド(入力)」と「アウトバウンド(出力)」の2つあります。

インバウンドでアクセスリストを適用すると、パケットがルータのインタフェースに到着した時点で条件のチェックを行い、パケットの許可/拒否を判断します。許可されたパケットだけが、ルーティングプロセスによってルーティングされることになります。
アウトバウンドは、あるパケットがルータのインタフェースに到着し、ルーティングプロセスによって出力インタフェースが決定され、インタフェースからパケットが出て行くときに条件のチェックを行います。許可されたパケットは、そのインタフェースからネットワークに送信されます。





インバウンドで適用するか、それともアウトバウンドで適用するかということは、難しいところです。どちらで適用しても、アクセスリストの書き方次第ではパケットの許可/拒否の判断結果は変わらないようにすることができます。
この2つの適用方法の使い分けは、一般的にセキュリティを確保するためのフィルタリングであればインバウンドで、トラフィックコントロールを行うためのフィルタリングはアウトバウンドで適用することが多いです。






『ネットワークのおべんきょしませんか?』 を購読しませんか?
めろんぱん E-mail
メールマガジンも購読してくださいね!!購読者限定のプレゼントあり!!


(C) Copyright 2000-2004 Gene All Rights Reserved