リフレクシブ(Reflexive)ACLの設定例

概要

プライベートネットワークのPC1からインターネット上のSRV宛ての通信の戻りだけを許可するパケットフィルタリングを行います。戻りの通信だけを自動的に許可するためにリフレクシブACLの設定を行います。

リフレクシブACLの設定と確認コマンドのついて、以下の記事もあわせてご覧ください。

ネットワークのおべんきょしませんか？

リフレクシブ(Reflexive)ACL ～戻りの通信を自動的に許可～ | ネットワークのおべ...

https://www.n-study.com/security-fundamentals/reflexive-acl/

リフレクシブACLは、行きの通信についての戻りの通信を自動的に許可するACLです。

ネットワーク構成

設定条件

R1では、プライベートネットワークからインターネット宛ての戻りパケットのみを許可するようにします。

初期設定

R1

ホスト名
IPアドレス/サブネットマスク
NAT
RIPv2
デフォルトルート

R2

ホスト名
IPアドレス/サブネットマスク
プライベートアドレスの範囲でのRIPv2

ISP

ホスト名
IPアドレス/サブネットマスク

PC1/SRV

ホスト名
IPアドレス/サブネットマスク、デフォルトゲートウェイ

ダウンロード

初期設定の設定ファイルは、ボタンをクリックするとダウンロードできます。

reflexive-acl-init.zip

設定と確認

Step1:リフレクシブアクセスリストの設定

R1でプライベートネットワークからインターネット宛ての戻りパケットのみを許可するために、リフレクシブアクセスリストの設定を行います。

interface FastEthernet0/1
 ip access-group FROM_INET in
 ip access-group TO_INET out
!
ip access-list extended FROM_INET
 evaluate REF
 deny   ip any any
ip access-list extended TO_INET
 permit ip any any reflect REF

Step2:リフレクシブアクセスリストの確認

R1でshow ip access-listおよびshow ip interface FastEthernet0/1コマンドでリフレクシブアクセスリストの設定を確認します。

R1#show ip access-lists
Standard IP access list 1
    10 permit 192.168.0.0, wildcard bits 0.0.255.255 (11 matches)
Extended IP access list FROM_INET
    10 evaluate REF
    20 deny ip any any
Reflexive IP access list REF
Extended IP access list TO_INET
    10 permit ip any any reflect REF
R1#show ip interface FastEthernet 0/1
FastEthernet0/1 is up, line protocol is up
  Internet address is 100.0.0.1/24
  Broadcast address is 255.255.255.255
  Address determined by non-volatile memory
  MTU is 1500 bytes
  Helper address is not set
  Directed broadcast forwarding is disabled
  Outgoing access list is TO_INET
  Inbound  access list is FROM_INET
～省略～

PC1からSRVへPingを実行すると応答が返ってきます。

PC1

PC1#ping 100.100.100.100

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 100.100.100.100, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 136/141/144 ms

そして、R1でshow ip access-listコマンドを見ると、PC1からSRV宛てのPingの返事を許可する条件が自動的に作成されていることがわかります。

R1#show ip access-lists
Standard IP access list 1
    10 permit 192.168.0.0, wildcard bits 0.0.255.255 (23 matches)
Extended IP access list FROM_INET
    10 evaluate REF
    20 deny ip any any
Reflexive IP access list REF
     permit icmp host 100.100.100.100 host 100.0.0.1  (16 matches) (time left 257)
Extended IP access list TO_INET
    10 permit ip any any reflect REF (9 matches)

以下の図は、リフレクシブアクセスリストで自動的に戻りパケットを許可する条件を作成している様子を表しています。

ネットワークのおべんきょしませんか？

2022年ページビューランキング | ネットワークのおべんきょしませんか？

https://www.n-study.com/2022-pv-ranking/

2022年「ネットワークのおべんきょしませんか？」コンテンツのページビューランキングTOP10です。

ネットワーク技術解説記事のアップデートや新規記事をTwitterでお知らせしています。
Follow @Gene2016Nstudy

CCNAを目指すなら『基礎からのCCNA(200-301)攻略テキスト』

詳細な解説と実践的な演習シナリオでスキルアップ

「ネットワークのおべんきょしませんか？」内の記事を検索