# ACL

## 1. 機能概要

アクセスリスト(ACL)とは、フレームの許可・拒否を決めるための条件文のことです。
インターフェースに対してアクセスリストを適用すると、許可したフレームのみを転送し、拒否したフレームを破棄します。
これにより、特定のフレームのみを転送対象とすることができるため、主にセキュリティを確保するために使用されます。
本製品では、アクセスリストとして下表に示す3種類をサポートします。

- アクセスリストの種類

  アクセスリストの 種類 | 判断基準 | アクセスリストID | 用　途
  --- | --- | --- | ---
  IPv4 アクセスリスト | 送信元IPv4アドレス 宛先IPv4アドレス IPプロトコル種別 | 1～2000 | 特定のホスト、ネットワークからのアクセスをフィルタリングします。また、TCP/UDPなどのIPプロトコル種別を特定してフィルタリングします。
  IPv6 アクセスリスト | 送信元IPv6アドレス | 3001～4000 | 特定のホスト、ネットワークからのアクセスをフィルタリングします。
  MAC アクセスリスト | 送信元MACアドレス 宛先MACアドレス | 2001～3000 | 特定のデバイスからのアクセス、転送に対してフィルタリングします。

## 2. 用語の定義

ACL

Access Control List の略。

ワイルドカードマスク

指定したIPv4アドレス, MACアドレスのどこを読み取るかを指定した情報です。ACLの条件で IPv4アドレス, MACアドレスの範囲を指定する際に使用 します。

- ワイルドカードマスクのビットが "0" の場合 ：　該当ビットをチェックします

- ワイルドカードマスクのビットが "1" の場合 ：　該当ビットをチェックしません

ワイルドカードマスクを使用した設定例を以下に示します。 (下線部分がワイルドカードマスク)

- サブネット 192.168.1.0/24 に対して条件を指定する場合 : 192.168.1.0 0.0.0.255 (10進で指定)

- ベンダーコード 00-A0-DE-*-*-* に対して条件を指定する場合: 00A0.DE00.0000 0000.00FF.FFFF (16進で指定)

## 3. 機能詳細

### 3.1. アクセスリストの生成

アクセスリストは、各アクセスリストのID数の分、生成することができます。 ( 1 機能概要 の表を参照ください)
アクセスリストは、1つのリストに対して制御条件を 最大で768件 登録することができます。
登録した制御条件を満たさなかった場合、通常どおり転送処理されます。

### 3.2. インターフェースへの適用

本製品の入力 (in) / 出力 (out) インターフェースに対するアクセスリストの適用状況は、下表のようになっています。
なお、インターフェースに対して適用可能なアクセスリストは、in / out それぞれに対して 1つ となっています。

- インターフェースに対するアクセスリストの適用状況

  アクセスリストの種類 | LAN/SFPポート | VLANインターフェース | スタティック/LACP論理インターフェース
  --- | --- | --- | ---
  in | out | in | out | in | out
  IPv4アクセスリスト | ○ | ○(*) | ○ | ○(*) | ○ | ×
  IPv6アクセスリスト | ○ | ○ | ○ | ○ | ○ | ×
  MACアクセスリスト | ○ | × | ○ | × | ○ | ×

  (*)制約事項として、ポート番号範囲を指定したIPv4アクセスリストは、インターフェースの出力 (out) 側に適用できません。

インターフェースに適用できるアクセスリストの数は、アクセスリストに登録されている制御条件の数に依存します。
本製品では、インターフェースに対して制御条件を 最大で6112個 登録することができます。
インターフェースにアクセスリストを適用させると "アクセスリストに登録されている制御条件の数だけ" リソースを消費します。

このリソースは、ポリシーベースルーティング、Dynamic VLAN、QoS と共有しているため、これらが設定されている場合、適用可能数がその分だけ減少します。

### 3.3. LAN/SFPポートおよび論理インターフェースに対する設定

LAN/SFPポートおよび論理インターフェースにアクセスリストを適用させる場合の手順について、以下に示します。

1. フィルタリング条件を決め、アクセスリストを生成します。

   - 必要に応じて、説明文を追加してください。

2. アクセスリストを確認します。

3. LAN/SFPポートおよび論理インターフェースにアクセスリストを適用します。

4. 適用したアクセスリストを確認します。

以下に操作コマンドの一覧を示します。

- アクセスリスト操作コマンド (LAN/SFPポートおよび論理インターフェース適用時)

  アクセスリストの 種類 | アクセスリストの 生成 | アクセスリストの 確認 | アクセスリストの 適用 | 適用アクセスリストの 確認
  --- | --- | --- | --- | ---
  IPv4アクセスリスト | access-list | show access-list | access-group | show access-group
  IPv6アクセスリスト | access-list | show access-list | access-group | show access-group
  MACアクセスリスト | access-list | show access-list | access-group | show access-group

### 3.4. VLANインターフェースに対する設定

VLANインターフェースにアクセスリストを適用させる場合の手順について、以下に示します。

1. フィルタリング条件を決め、アクセスリストを生成します。

   - 必要に応じて、説明文を追加してください。

2. アクセスリストを確認します。

3. VLANアクセスマップを生成します。

4. VLANアクセスマップにアクセスリストを設定します。

5. VLANアクセスマップを確認します。

6. VLAN アクセスマップを VLAN に適用します。

7. 適用したVLANアクセスマップを確認します。

1. 2. の操作については、3.2 に示した操作と同じになります。
以下に 3. 以降の操作コマンドの一覧を示します。

- VLANアクセスマップ操作コマンド

  アクセスリストの 種類 | VLANアクセスマップの 生成 | VLANアクセスマップへの アクセスリストの設定 | VLANアクセスマップ 確認 | VLANアクセスマップの 適用 | 適用した VLANアクセスマップの 確認
  --- | --- | --- | --- | --- | ---
  IPv4アクセスリスト | vlan access-map | match access-list | show vlan access-map | vlan filter | show vlan filter
  IPv6アクセスリスト | vlan access-map | match access-list | show vlan access-map | vlan filter | show vlan filter
  MACアクセスリスト | vlan access-map | match access-list | show vlan access-map | vlan filter | show vlan filter

## 4. 関連コマンド

関連コマンドについて、以下に示します。
コマンドの詳細は、コマンドリファレンスを参照願います。

操作項目 | 操作コマンド
--- | ---
IPv4アクセスリストの適用 | access-group
IPv4アクセスリストの生成 | access-list
IPv4アクセスリストの説明文追加 | access-list description
IPv4アクセスリストの適用 | access-group
IPv6アクセスリストの生成 | access-list
IPv6アクセスリストの説明文追加 | access-list description
IPv6アクセスリストの適用 | access-group
MACアクセスリストの生成 | access-list
MACアクセスリストの説明文追加 | access-list description
MACアクセスリストの適用 | access-group
生成したアクセスリストの表示 | show access-list
インターフェースに適用したアクセスリストの表示 | show access-group
VLANアクセスマップの作成 | vlan access-map
VLANアクセスマップへの条件設定 | match
VLANアクセスマップのVLANへの割り当て | vlan filter
VLANアクセスマップの表示 | show vlan access-map
VLANアクセスマップフィルタの表示 | show vlan filter

## 5. コマンド実行例

### 5.1. IPv4アクセスリストの設定

#### 5.1.1. LANポートへの適用例

■ホスト指定

LANポート #1 に対して、ホスト: 192.168.1.1 から ホスト: 10.1.1.1 へのアクセスのみを許可するように設定します。
使用するアクセスリストのIDは、 #123 とし、アクセスリストの説明文 IPV4-ACL-EX を追加します。

1. アクセスリスト #123 を生成し、確認します。

       Yamaha(config)#access-list 123 permit any host 192.168.1.1 host 10.1.1.1 (1)
       Yamaha(config)#access-list 123 deny any any any
       Yamaha(config)#access-list 123 description IPV4-ACL-EX (2)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 123 (3)
       IPv4 access list 123
           10 permit any host 192.168.1.1 host 10.1.1.1
           20 deny any any any
       Yamaha#

   1 | アクセスリストの生成
   2 | アクセスリストの説明文追加
   3 | アクセスリストの確認

2. LANポート #1 に アクセスリスト #123 を適用します。

       Yamaha(config)#interface port1.1
       Yamaha(config-if)#access-group 123 in (1)
       Yamaha(config-if)#end
       Yamaha#
       Yamaha#show access-group (2)
       Interface port1.1 : IPv4 access group 123 in

   1 | アクセスリストの適用
   2 | アクセスリストの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦LANポートへの適用を解除する必要があります。
上記設定に対して、ホスト: 192.168.1.1 から ホスト: 10.1.1.1 へのアクセスを許可する設定を削除し、ホスト: 192.168.1.1 から ホスト: 10.1.1.2 へのアクセスを許可する設定を追加します。

1. LANポート #1 から アクセスリスト #123 の適用を一旦解除します。

       Yamaha(config)#interface port1.1
       Yamaha(config-if)#no access-group 123 in (1)

   1 | アクセスリストの適用解除

2. アクセスリスト #123 に設定の削除と追加を行い、確認します。

       Yamaha(config)#no access-list 123 10 (1)
       Yamaha(config)#access-list 123 10 permit any host 192.168.1.1 host 10.1.1.2 (2)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 123 (3)
       IPv4 access list 123
           10 permit any host 192.168.1.1 host 10.1.1.2
           20 deny any any any

   1 | アクセスリストから削除
   2 | アクセスリストに追加
   3 | アクセスリストの確認

3. LANポート #1 に アクセスリスト #123 を再度適用します。

       Yamaha(config)#interface port1.1
       Yamaha(config-if)#access-group 123 in (1)

   1 | アクセスリストの適用

■ネットワーク指定

LANポート #1 に対して、ネットワーク: 192.168.1.0/24 から ホスト: 10.1.1.1 へのアクセスのみを許可するように設定します。
使用するアクセスリストのIDは、 #123 とし、アクセスリストの説明文 IPV4-ACL-EX を追加します。

1. アクセスリスト #123 を生成し、確認します。

       Yamaha(config)#access-list 123 permit any 192.168.1.0 0.0.0.255 host 10.1.1.1 (1)
       Yamaha(config)#access-list 123 deny any any any
       Yamaha(config)#access-list 123 description IPV4-ACL-EX (2)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show ip access-list (3)
       IPv4 access list 123
           10 permit any 192.168.1.0/24 host 10.1.1.1
           20 deny any any any
       Yamaha#

   1 | アクセスリストの生成
   2 | アクセスリストの説明文追加
   3 | ACLの確認

2. LANポート #1 に アクセスリスト #123 を適用します。

       Yamaha(config)#interface port1.1
       Yamaha(config-if)#access-group 123 in (1)
       Yamaha(config-if)#end
       Yamaha#
       Yamaha#show access-group (2)
       Interface port1.1 : IPv4 access group 123 in

   1 | アクセスリストの適用
   2 | アクセスリストの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦LANポートへの適用を解除する必要があります。
具体的な手順については、ホスト指定の場合と同様です。

#### 5.1.2. VLANインターフェースへの適用例

■ホスト指定

VLAN #1000 に対して、ホスト: 192.168.1.1 から ホスト: 10.1.1.1 へのアクセスのみを許可するように設定します。
使用するアクセスリストのIDは、 #123 とします。
使用するVLANアクセスマップは、 VAM-002 とし、 アクセスリスト #123 を設定します。

1. アクセスリスト #123 を生成し、確認します。

       Yamaha(config)#access-list 123 permit any host 192.168.1.1 host 10.1.1.1 (1)
       Yamaha(config)#access-list 123 deny any any any
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 123 (2)
       IPv4 access list 123
           10 permit any host 192.168.1.1 host 10.1.1.1
           20 deny any any any

   1 | アクセスリストの生成
   2 | アクセスリストの確認

2. VLANアクセスマップ VAM-002 を生成し、 アクセスリスト #123 を設定します。

       Yamaha(config)#vlan access-map VAM-002 (1)
       Yamaha(config-vlan-access-map)#match access-list 123 (2)
       Yamaha(config-vlan-access-map)#end
       Yamaha#
       Yamaha#show vlan access-map (3)
       Vlan access-map VAM-002
           match ipv4 access-list 123

   1 | VLANアクセスマップの生成
   2 | アクセスリストの登録
   3 | VLANアクセスマップとアクセスリストの設定を確認

3. VLAN #1000 に VLANアクセスマップ VAM-002 を適用し、状態を確認します。

       Yamaha(config)#vlan filter VAM-002 1000 in (1)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show vlan filter (2)
       Vlan filter VAM-002 is applied to vlan 1000 in

   1 | VLANにVLANアクセスマップを適用
   2 | VLANアクセスマップの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦VLANインターフェースへの適用やVLANアクセスマップへの設定を解除する必要があります。
上記設定に対して、ホスト: 192.168.1.1 から ホスト: 10.1.1.1 へのアクセスを許可する設定を削除し、ホスト: 192.168.1.1 から ホスト: 10.1.1.2 へのアクセスを許可する設定を追加します。

1. VLAN #1000 から VLANアクセスマップ VAM-002 の適用を一旦解除します。

       Yamaha(config)#no vlan filter VAM-002 1000 in (1)

   1 | VLANからVLANアクセスマップの適用解除

2. VLANアクセスマップ VAM-002 から、 アクセスリスト #123 の設定を一旦解除します。

       Yamaha(config)#vlan access-map VAM-002 (1)
       Yamaha(config-vlan-access-map)#no match access-list 123 (2)

   1 | VLANアクセスマップの変更
   2 | アクセスリストの登録解除

3. アクセスリスト #123 に設定の削除と追加を行い、確認します。

       Yamaha(config)#no access-list 123 10 (1)
       Yamaha(config)#access-list 123 10 permit any host 192.168.1.1 host 10.1.1.2 (2)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 123 (3)
       IPv4 access list 123
           10 permit any host 192.168.1.1 host 10.1.1.2
           20 deny any any any

   1 | アクセスリストから削除
   2 | アクセスリストに追加
   3 | アクセスリストの確認

4. VLANアクセスマップ VAM-002 に、 アクセスリスト #123 を再設定します。

       Yamaha(config)#vlan access-map VAM-002 (1)
       Yamaha(config-vlan-access-map)#match access-list 123 (2)

   1 | VLANアクセスマップの変更
   2 | アクセスリストの登録

5. VLAN #1000 に VLANアクセスマップ VAM-002 を再度適用します。

       Yamaha(config)#vlan filter VAM-002 1000 in (1)

   1 | VLANにVLANアクセスマップを適用

■ネットワーク指定

VLAN #1000 に対して、ネットワーク: 192.168.1.0/24 から ホスト: 10.1.1.1 へのアクセスのみを許可するように設定します。
使用するアクセスリストのIDは、 #123 とします。
使用するVLANアクセスマップは、 VAM-002 とし、 アクセスリスト #123 を設定します。

1. アクセスリスト #123 を生成し、確認します。

       Yamaha(config)#access-list 123 permit any 192.168.1.0 0.0.0.255 host 10.1.1.1 (1)
       Yamaha(config)#access-list 123 deny any any any
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 123 (2)
       IPv4 access list 123
           10 permit any 192.168.1.0/24 host 10.1.1.1
           20 deny any any any

   1 | アクセスリストの生成
   2 | アクセスリストの確認

2. VLANアクセスマップ VAM-002 を生成し、 アクセスリスト #123 を設定します。

       Yamaha(config)#vlan access-map VAM-002 (1)
       Yamaha(config-vlan-access-map)#match access-list 123 (2)
       Yamaha(config-vlan-access-map)#end
       Yamaha#
       Yamaha#show vlan access-map (3)
       Vlan access-map VAM-002
           match ipv4 access-list 123

   1 | VLANアクセスマップの生成
   2 | アクセスリストの登録
   3 | VLANアクセスマップとアクセスリストの設定を確認

3. VLAN #1000 に VLANアクセスマップ VAM-002 を適用し、状態を確認します。

       Yamaha(config)#vlan filter VAM-002 1000 in (1)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show vlan filter (2)
       Vlan filter VAM-002 is applied to vlan 1000 in

   1 | VLANにVLANアクセスマップを適用
   2 | VLANアクセスマップの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦VLANインターフェースへの適用やVLANアクセスマップへの設定を解除する必要があります。
具体的な手順については、ホスト指定の場合と同様です。

#### 5.1.3. 片方向からのTCP通信のみ許可する (TCPフラグの使用例)

VLAN10 と VLAN20 がありTCPの片方向通信制御を実現します。

- VLAN10 → VLAN20 は Telnet 等による通信が可能

- VLAN20 → VLAN10 は Telnet 等による通信は不可

1. アクセスリスト #1 を生成します。
   ACK または RST フラグが立っているIPv4 TCPパケットのみを許可するように設定します。

       Yamaha(config)#access-list 1 permit tcp any any ack (1)
       Yamaha(config)#access-list 1 permit tcp any any rst
       Yamaha(config)#access-list 1 deny any any any
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list (2)
       IPv4 access list 1
           10 permit tcp any any ack
           20 permit tcp any any rst
           30 deny any any any

   1 | アクセスリストの設定
   2 | アクセスリストの設定確認

2. VLANアクセスマップ VAM-ESTABLISHED を生成し、 アクセスリスト #1 を設定します。

       Yamaha(config)#vlan access-map VAM-ESTABLISHED (1)
       Yamaha(config-vlan-access-map)#match access-list 1 (2)
       Yamaha(config-vlan-access-map)#end
       Yamaha#
       Yamaha#show vlan access-map (3)
       Vlan access-map VAM-ESTABLISHED
           match ipv4 access-list 1

   1 | VLANアクセスマップの生成
   2 | アクセスリストの登録
   3 | VLANアクセスマップの設定確認

3. VLAN #20 に VLANアクセスマップ VAM-ESTABLISHED を適用します。

       Yamaha(config)#vlan filter VAM-ESTABLISHED 20 in (1)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show vlan filter (2)
       Vlan filter VAM-ESTABLISHED is applied to vlan 20 in

   1 | VLANにVLANアクセスマップを適用
   2 | VLANへの適用状態の確認

### 5.2. IPv6アクセスリストの設定

#### 5.2.1. LANポートへの適用例

■ホスト指定

LANポート #1 に対して、ホスト: 2001:db8::1 からのアクセスのみを許可するように設定します。
使用するアクセスリストのIDは、 #3001 とし、アクセスリストの説明文 IPV6-ACL-EX を追加します。

1. アクセスリスト #3001 を生成し、確認します。

       Yamaha(config)#access-list 3001 permit 2001:db8::1/128 (1)
       Yamaha(config)#access-list 3001 deny any
       Yamaha(config)#access-list 3001 description IPV6-ACL-EX (2)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 3001 (3)
       IPv6 access list 3001
           10 permit 2001:db8::1/128
           20 deny any

   1 | アクセスリストの生成
   2 | アクセスリストの説明文追加
   3 | アクセスリストの確認

2. LANポート #1 に アクセスリスト #3001 を適用します。

       Yamaha(config)#interface port1.1
       Yamaha(config-if)#access-group 3000 in (1)
       Yamaha(config-if)#end
       Yamaha#
       Yamaha#show access-group (2)
       Interface port1.1 : IPv6 access group 3001 in

   1 | アクセスリストの適用
   2 | アクセスリストの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦LANポートへの適用を解除する必要があります。
具体的な手順については、 5.1 IPv4アクセスリストの設定 の 5.1.1 LANポートへの適用例 を参考にしてください。

■ネットワーク指定

LANポート #1 に対して、ネットワーク: 2001:db8::/64 からのアクセスのみを許可するように設定します。
使用するアクセスリストのIDは、 #3001 とし、アクセスリストの説明文 IPV6-ACL-EX を追加します。

1. アクセスリスト #3001 を生成し、確認します。

       Yamaha(config)#access-list 3001 permit 2001:db8::/64 (1)
       Yamaha(config)#access-list 3001 deny any
       Yamaha(config)#access-list 3001 description IPV6-ACL-EX (2)
       Yamaha(config)#end

       Yamaha# show access-list 3001 (3)
       IPv6 access list 3001
           10 permit 2001:db8::/64
           20 deny any

   1 | アクセスリストの生成
   2 | アクセスリストの説明文追加
   3 | アクセスリストの確認

2. LANポート #1 に アクセスリスト #3001 を適用します。

       Yamaha(config)#interface port1.1
       Yamaha(config-if)#access-group 3001 in (1)
       Yamaha(config-if)#end
       Yamaha#
       Yamaha#show access-group (2)
       Interface port1.1 : IPv6 access group 3001 in

   1 | アクセスリストの適用
   2 | アクセスリストの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦LANポートへの適用を解除する必要があります。
具体的な手順については、 5.1 IPv4アクセスリストの設定 の 5.1.1 LANポートへの適用例 を参考にしてください。

#### 5.2.2. VLANインターフェースへの適用例

■ホスト指定

VLAN #1000 に対して、ホスト: 2001:db8::1 からのアクセスのみを許可するように設定します。
使用するアクセスリストのIDは、 #3001 とします。
使用するVLANアクセスマップは、 VAM-001 とし、 アクセスリスト #3001 を設定します。

1. アクセスリスト #3001 を生成し、確認します。

       Yamaha(config)#access-list 3001 permit 2001:db8::1/128 (1)
       Yamaha(config)#access-list 3001 deny any
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 3001 (2)
       IPv6 access list 3001
           10 permit 2001:db8::1/128
           20 deny any

   1 | アクセスリストの生成
   2 | アクセスリストの確認

2. VLANアクセスマップ VAM-001 を生成し、 アクセスリスト #3001 を設定します。

       Yamaha(config)#vlan access-map VAM-001 (1)
       Yamaha(config-vlan-access-map)#match access-list 3001 (2)
       Yamaha(config-vlan-access-map)#end
       Yamaha#
       Yamaha#show vlan access-map (3)
       Vlan access-map VAM-001
           match ipv6 access-list 3001

   1 | VLANアクセスマップの生成
   2 | アクセスリストの設定
   3 | VLANアクセスマップとアクセスリストの設定を確認

3. VLAN #1000 に VLANアクセスマップ VAM-001 を適用し、状態を確認します。

       Yamaha(config)#vlan filter VAM-001 1000 in (1)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show vlan filter (2)
       Vlan filter VAM-001 is applied to vlan 1000 in

   1 | VLANにVLANアクセスマップを適用
   2 | VLANアクセスマップの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦VLANインターフェースへの適用やVLANアクセスマップへの設定を解除する必要があります。
具体的な手順については、 5.1 IPv4アクセスリストの設定 の 5.1.2 VLANインターフェースへの適用例 を参考にしてください。

■ネットワーク指定

VLAN #1000 に対して、ネットワーク: 2001:db8::/64 からのアクセスのみを許可するように設定します。
使用するアクセスリストのIDは、 #3001 とします。
使用するVLANアクセスマップは、 VAM-001 とし、 アクセスリスト #3001 を設定します。

1. アクセスリスト #2 を生成し、確認します。

       Yamaha(config)#access-list 3001 permit 2001:db8::/64 (1)
       Yamaha(config)#access-list 3001 deny any
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 3001 (2)
       IPv6 access list 3001
           10 permit 2001:db8::/64
           20 deny any

   1 | アクセスリストの生成
   2 | アクセスリストの確認

2. VLANアクセスマップ VAM-001 を生成し、 アクセスリスト #3001 を設定します。

       Yamaha(config)#vlan access-map VAM-001 (1)
       Yamaha(config-vlan-access-map)#match access-list 3001 (2)
       Yamaha(config-vlan-access-map)#end
       Yamaha#
       Yamaha#show vlan access-map (3)
       Vlan access-map VAM-001
           match ipv6 access-list 3001

   1 | VLANアクセスマップの生成
   2 | アクセスリストの設定
   3 | VLANアクセスマップとアクセスリストの設定を確認

3. VLAN #1000 に VLANアクセスマップ VAM-001 を適用し、状態を確認します。

       Yamaha(config)#vlan filter VAM-001 1000 in (1)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show vlan filter (2)
       Vlan filter VAM-001 is applied to vlan 1000 in

   1 | VLANにVLANアクセスマップを適用
   2 | VLANアクセスマップの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦VLANインターフェースへの適用やVLANアクセスマップへの設定を解除する必要があります。
具体的な手順については、 5.1 IPv4アクセスリストの設定 の 5.1.2 VLANインターフェースへの適用例 を参考にしてください。

### 5.3. MACアクセスリストの設定

#### 5.3.1. LANポートへの適用例

■ホスト指定

LANポート #1 に対して、ホスト: 00-A0-DE-12-34-56 からのアクセスのみを拒否するように設定します。
使用するアクセスリストのIDは、 #2001 とし、アクセスリストの説明文 MAC-ACL-EX を追加します。

1. アクセスリスト #2001 を生成し、確認します。

       Yamaha(config)#access-list 2001 deny host 00a0.de12.3456 any (1)
       Yamaha(config)#access-list 2001 description MAC-ACL-EX (2)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 2001 (3)
       MAC access list 2001
           10 deny host 00A0.DE12.3456 any

   1 | アクセスリストの生成
   2 | アクセスリストの説明文追加
   3 | アクセスリストの確認

2. LANポート #1 に アクセスリスト #2001 を適用します。

       Yamaha(config)#interface port1.1
       Yamaha(config-if)#access-group 2001 in (1)
       Yamaha(config-if)#end
       Yamaha#
       Yamaha#show access-group (2)
       Interface port1.1 : MAC access group 2001 in

   1 | アクセスリストの適用
   2 | アクセスリストの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦LANポートへの適用を解除する必要があります。
具体的な手順については、 5.1 IPv4アクセスリストの設定 の 5.1.1 LANポートへの適用例 を参考にしてください。

■ベンダー指定

LANポート #1 に対して、ベンダーコード: 00-A0-DE-*-*-* (00-A0-DE-00-00-00 ～ 00-A0-DE-FF-FF-FF) からのアクセスのみを拒否するように設定します。
使用するアクセスリストのIDは、 #2001 とし、アクセスリストの説明文 MAC-ACL-EX を追加します。

1. アクセスリスト #2001 を生成し、確認します。

       Yamaha(config)#access-list 2001 deny 00a0.de00.0000 0000.00ff.ffff any (1)
       Yamaha(config)#access-list 2001 description MAC-ACL-EX (2)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 2001 (3)
       MAC access list 2001
           10 deny 00A0.DE00.0000 0000.00FF.FFFF any

   1 | アクセスリストの生成
   2 | アクセスリストの説明文追加
   3 | アクセスリストの確認

2. LANポート #1 に アクセスリスト #2001 を適用します。

       Yamaha(config)#interface port1.1
       Yamaha(config-if)#access-group 2001 in (1)
       Yamaha(config-if)#end
       Yamaha#
       Yamaha#show access-group (2)
       Interface port1.1 : MAC access group 2001 in

   1 | アクセスリストの適用
   2 | アクセスリストの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦VLANインターフェースへの適用やVLANアクセスマップへの設定を解除する必要があります。
具体的な手順については、 5.1 IPv4アクセスリストの設定 の 5.1.1 LANポートへの適用例 を参考にしてください。

#### 5.3.2. VLANインターフェースへの適用例

■ホスト指定

VLAN #1000 に対して、ホスト: 00-A0-DE-12-34-56 からのアクセスのみ拒否するように設定します。
使用するアクセスリストのIDは、 #2001 とし、アクセスリストの説明文 MAC-ACL-EX を追加します。
使用するVLANアクセスマップは、 VAM-003 とし、 アクセスリスト #2001 を設定します。

1. アクセスリスト #2000 を生成し、確認します。

       Yamaha(config)#access-list 2001 deny host 00a0.de12.3456 any (1)
       Yamaha(config)#access-list 2001 description MAC-ACL-EX (2)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list (3)
       MAC access list 2001
           10 deny host 00A0.DE12.3456 any

   1 | アクセスリスト #2001 の生成
   2 | アクセスリストの説明文追加
   3 | アクセスリストの確認

2. VLANアクセスマップ VAM-003 を生成し、 アクセスリスト #2001 を設定します。

       Yamaha(config)# vlan access-map VAM-003 (1)
       Yamaha(config-vlan-access-map)# match access-list 2001 (2)
       Yamaha(config-vlan-access-map)# end
       Yamaha#
       Yamaha#show vlan access-map (3)
       Vlan access-map VAM-003
           match mac access-list 2001

   1 | VLANアクセスマップの生成
   2 | アクセスリストの登録
   3 | VLANアクセスマップとアクセスリストの設定を確認

3. VLAN #1000 に VLANアクセスマップ VAM-003 を適用し、状態を確認します。

       Yamaha(config)#vlan filter VAM-003 1000 in (1)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show vlan filter (2)
       Vlan filter VAM-003 is applied to vlan 1000 in

   1 | VLANにVLANアクセスマップを適用
   2 | VLANアクセスマップの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦VLANインターフェースへの適用やVLANアクセスマップへの設定を解除する必要があります。
具体的な手順については、 5.1 IPv4アクセスリストの設定 の 5.1.2 VLANインターフェースへの適用例 を参考にしてください。

■ベンダー指定

VLAN #1000 に対して、ベンダーコード: 00-A0-DE-*-*-* (00-A0-DE-00-00-00 ～ 00-A0-DE-FF-FF-FF) からのアクセスのみを拒否するように設定します。
使用するアクセスリストのIDは、 #2001 とし、アクセスリストの説明文 MAC-ACL-EX を追加します。
使用するVLANアクセスマップは、 VAM-003 とし、 アクセスリスト #2001 を設定します。

1. アクセスリスト #2001 を生成し、確認します。

       Yamaha(config)#access-list 2001 deny 00a0.de00.0000 0000.00ff.ffff any (1)
       Yamaha(config)#access-list 2001 description MAC-ACL-EX (2)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show access-list 2001 (3)
       MAC access list 2001
           10 deny 00A0.DE00.0000 0000.00FF.FFFF any

   1 | アクセスリスト #2001 の生成
   2 | アクセスリストの説明文追加
   3 | アクセスリストの確認

2. VLANアクセスマップ VAM-003 を生成し、 アクセスリスト #2001 を設定します。

       Yamaha(config)# vlan access-map VAM-003 (1)
       Yamaha(config-vlan-access-map)# match access-list 2001 (2)
       Yamaha(config-vlan-access-map)# end
       Yamaha#
       Yamaha#show vlan access-map (3)
       Vlan access-map VAM-003
           match mac access-list 2001

   1 | VLANアクセスマップの生成
   2 | アクセスリストの登録
   3 | VLANアクセスマップとアクセスリストの設定を確認

3. VLAN #1000 に VLANアクセスマップ VAM-003 を適用し、状態を確認します。

       Yamaha(config)#vlan filter VAM-003 1000 in (1)
       Yamaha(config)#end
       Yamaha#
       Yamaha#show vlan filter (2)
       Vlan filter VAM-003 is applied to vlan 1000 in

   1 | VLANにVLANアクセスマップを適用
   2 | VLANアクセスマップの設定確認

アクセスリストを変更(設定の削除や追加)したい場合は、一旦VLANインターフェースへの適用やVLANアクセスマップへの設定を解除する必要があります。
具体的な手順については、 5.1 IPv4アクセスリストの設定 の 5.1.2 VLANインターフェースへの適用例 を参考にしてください。

## 6. 注意事項

- 受信フレームに対するアクセスリストが設定されたLAN/SFPポートは論理インターフェースに所属できません。

- インターフェースの受信フレームに対するアクセスリスト設定は、論理インターフェースに所属しているLAN/SFPポートに対して適用できません。ただし、スタートアップコンフィグ上に論理インターフェースに所属しているLAN/SFPポートの受信フレームに対するアクセスリスト設定がある場合、最若番ポートの設定が論理インターフェースに適用されます。

- フラグメントパケットは正しく条件判定できない場合があります。具体的には、条件にレイヤー 4 の情報（送信元ポート番号、宛先ポート番号、TCP の各種フラグ）が含まれる場合、2 番目以降のフラグメントパケットにそれらの情報が含まれないため正しい判定ができません。フラグメントパケットを処理する可能性がある場合には条件にレイヤー 4 の情報を含めないようにしてください。

## 7. 関連文書

- Layer 2機能 : VLAN

Search result
No more search results.
There are no topics that match your search query.