- 締切済み
アクセスリストについて
アクセスリストでプロトコル”ＧＲＥ”のみをpermit指定して、残りはdeny anyで許可しない アクセスリストを作ったとします。 それをＧＲＥトンネルを張っているＲ１の（Ｒ１、Ｒ２の間で張っているとする）ＩＦにin方向で 設定した場合、Ｒ２の配下(ＰＣ(2))からＲ１の配下（ＰＣ(1)）へのpingは届くでしょうか？ ＰＣ(1)------R1(ACL in適応)----【GRE】-----R2-----ＰＣ(2) icmpが拒否されるので破棄されてしまいますか？ それともトンネルを通るのでGREパケットとして通過出来ますか？ ＡＣＬを適応するＩＦによって違いはありますか？ 例えば、Ｒ１のTunnel IFにＡＣＬを適応したのなら通る Ｒ１の物理ＩＦに適応したら通らない 等 以上、宜しくお願いします。
- yu0002
- お礼率98% (154/156)
- その他([技術者向] コンピューター)
- 回答数1
- ありがとう数1
- みんなの回答 （1）
- 専門家の回答
みんなの回答
- maesen
- ベストアンサー率81% (646/790)
＞設定した場合、Ｒ２の配下(ＰＣ(2))からＲ１の配下（ＰＣ(1)）へのpingは届くでしょうか？ その他の疎外要因が無いことが前提ですが、これは届きます。 ＞それともトンネルを通るのでGREパケットとして通過出来ますか？ これが正解です。 ＞ＡＣＬを適応するＩＦによって違いはありますか？ もちろんあります。 ＞例えば、Ｒ１のTunnel IFにＡＣＬを適応したのなら通る これは逆で、Tunnel IFにGREのみを通すACLを適用したら何も通信出来なくなります。 (例外) R1-R2のトンネルの中でさらにPC1-PC2間でGREのトンネルを設定すれば別ですが。 ＞Ｒ１の物理ＩＦに適応したら通らない 等 物理IF上に設定したIPアドレスでR1とR2が通信するのか、 PPPoEなどを仮想IFで使用しているのかなどの設定に依存します。 ただ、今回のケースだけを考えるならどちらでも通ることになります。
関連するQ&A
- cisco アクセスリストの設定について
どうかご教授願います。 アクセスリストについて調べているとプロトコルをIPにした場合 TCP/UDP/ICMPもすべて含まれると書いてありました。 しかし、私の管理している環境では以下のように アクセスリストのプロトコルをipで設定した後に 今度はicmpで設定しているのですがこれは必要なのでしょうか? ※アクセスリストは一部を書いただけなのでもちろんこの後に permitで許可したアクセスリストはあります。 よろしくお願いいたします。 interface Vlan5 description /test/ ip address 192.168.5.254 255.255.255.0 ip access-group 10 in access-list 10 deny ip 192.168.5.128 0.0.0.127 host 192.168.6.10 access-list 10 deny ip host 192.168.5.1 host 192.168.6.1 access-list 10 deny ip host 192.168.5.1 host 192.168.6.2 access-list 10 deny icmp 192.168.5.128 0.0.0.127 host 192.168.6.10 access-list 10 deny icmp host 192.168.5.1 host 192.168.6.1 access-list 10 deny icmp host 192.168.5.1 host 192.168.6.2
- ベストアンサー
- ネットワーク
- cisco アクセスリスト
現在cisco1600シリーズのルータを使い アクセスリストの設定を行っています。 機材 ・PC１（192.168.0.1） ・PC２（10.0.0.1） ・ルータ 条件 １、pc1-pc2 FTPのみ許可 ２、pc2-pc1 pingのみ許可 ３、上位機以外すべて禁止 (config)access-list 100 permit tcp host 192.168.0.1 host 10.0.0.1 eq 21 (config)access-list 100 permit icmp host 10.0.0.1 host 192.168.0.1 echo (config-if)ip access-group 100 in 上記で大丈夫でしょうか？ その他質問なのですが、 １．アクセスグループを消すときは no ip access-group 100 in でいいのでしょうか。最後がoutになった場合はどうなるのでしょうか ２、pingのみ許可する場合はICMPのオプションのechoとecho reply はどちらにしたらいいのでしょうか ３、上記のように設定すれば、最後の三番目の条件の残りすべて禁止 は暗黙のdenyですべて禁止という設定になるのでしょうか？ まだ実際に検証ができないため、よろしくお願いいたします。
- ベストアンサー
- ネットワーク
- CiscoルーターACL
A・・・192.168.11.0/24セグメント B・・・172.16.12.0/24セグメント 以下要件を満たしたいのですが、上手くいきません [要件] 1.192.168.11.49が、デフォルトゲートウェイであり、80番通信以外は許可したい。(管理画面が見えるため) 2.172.16.12.0から、192.168.11.0セグメントへの通信は、拒否したい(icmpはOK) 3.192.168.11.11から172.16.12.0端末への通信は全て許可する。(RDPとか、ファイルコピーしたいため) [作成したACL] access-list 100 deny tcp 172.16.12.0 0.0.0.255 host 192.168.11.49 eq 80 access-list 100 permit ip 172.16.12.0 0.0.0.255 host 192.168.11.49 access-list 100 deny ip 172.16.12.0 0.0.0.255 192.168.11.0 0.0.0.255 access-list 100 permit ip any any ip access-group 100 in [概略図] 192.168.11.0/24セグメント-------(fa0/0)ルーター(fa0/1)-------172.16.12.0/24セグメント fa0/1のinバウンドにACLを設定。 [質問] 2のicmpも現在通らないのですが、これはicmp許可すれば通るとおもうので問題ではないのですが、 3の条件が満たせません。 →私自身、192.から172にRDP通信を行ったとき、fa0/0にはACLを設定しておらず、192からのRDPがとおるので、172からの応答はinバウンドのACLに引っかからないと思っていたのですが、 access-list 100 deny ip 172.16.12.0 0.0.0.255 192.168.11.0 0.0.0.255 に 引っかかって通信が成功しません。 どなたか解決方法をご存知の方がいらっしゃいましたら ご教授のほう宜しくお願いします。
- ベストアンサー
- ネットワーク
- Cisco アクセスリストにつきまして
アクセスリストについて 以下のようなアクセスリストの記述があった場合に５の access-list 101 ip any any は どういった意味をもつのでしょうか？ （５があるのとないのでは何か違いがでるのでしょうか？） 自分的にはあってもなくても変わらないと思うのですが・・ （１、２が許可となりそれ以外は記述もふくめすべて拒否されるため５は意味がないような気がしますが、いかがでしょうか？） 1.access-list 101 ip permit ～ 2.access-list 101 ip permit ～ 3,access-list 101 ip deny ～ 4.access-list 101 ip deny ～ 5.access-list 101 ip any any 宜しくお願いいたします。
- ベストアンサー
- その他（ITシステム運用・管理）
- IOSアクセスリストの設定について
どなたか助けてください。 CCNA認定ガイド第２版にて access-list 110 deny tcp any host 172.16.10.5 eq 23 access-list 110 permit ip any any int e2 ip access-group 110 out の設定になっていますが バーチャルラボ2.0の書籍の設定では access-list 110 deny tcp host172.16.11.2 host 172.16.20.2 eq telnet access-list 110 permit ip any 0.0.0.0 255.255.255.255 int s0 ip access-group 110 in になっています。 この in , outの意味が全然わかりません。 in はルータに入ってくるパケットに制限をかける。 out はルータから出ていくパケットに制限をかける。 バーチャルラボの例 ルータA(f0/0) → (e0)ルータB(s0) → (s0)ルータC 172.16.11.2 172.16.20.2 outじゃ間違いなのですか？ 問題でも ネットワーク172.16.0.0からトラフィックだけがs0インターフェースに入れるようにする アクセスコンフィギュレーションはどれ？ access-list 10 permit 172.16.0.0 0.0.255.255 int s0 ip access-group 10 in が正解ですがなぜ？outは間違えです。説明では、入力トラフィックを指定しているためと 書かれていますがどれですか？ ながなが書きましたが、何方か簡単に説明してください。 その他、アクセスリストの書籍、ホームページ等がありましたら教えてください。 よろしくお願いいたします。
- ベストアンサー
- その他（インターネット接続・通信）
- アクセスリストについて（ｆｔｐ通信）
初めて質問させて頂きます。 今、FTPの通信で困っています。以下の内容の要件でアクセスリストを作成してFTPのGETの通信を行おうとしているのですが現状、要件通り に行かなくて困っています。 以下に、構成と作成したアクセスリストを提示しました。 どなたかわかる方がいらっしゃいましたらご指導お願いします。 できれば具体的にどこがいけないのかを教えて頂きたいです。 構成 送信元 送信先 要件 10.90.11.20 172.15.160.4 FTPのGET 10.90.11.21 172.15.160.4 FTPのGET 10.90.11.22 172.15.160.4 FTPのGET 10.80.11.22 172.15.160.4 FTPのGET 【アクセスリスト】 interface vlan TEST ip access-group FTP_TUUSIN_IN in ip access-group FTP_TUUSIN_OUT out ip access-list extended FTP_TUUSIN_OUT permit icmp any any permit tcp host 10.90.11.22 eq ftp host 172.15.160.4 gt 1023 established permit tcp host 10.90.11.21 eq ftp host 172.15.160.4 gt 1023 established permit tcp host 10.90.11.20 eq ftp host 172.15.160.4 gt 1023 established permit tcp host 10.80.11.22 eq ftp host 172.15.160.4 gt 1023 established permit tcp host 10.90.11.22 eq ftp-data host 172.15.160.4 permit tcp host 10.90.11.21 eq ftp-data host 172.15.160.4 permit tcp host 10.90.11.20 eq ftp-data host 172.15.160.4 permit tcp host 10.80.11.22 eq ftp-data host 172.15.160.4 permit tcp host 10.90.11.22 eq ftp host 172.15.160.4 permit tcp host 10.90.11.21 eq ftp host 172.15.160.4 permit tcp host 10.90.11.20 eq ftp host 172.15.160.4 permit tcp host 10.80.11.22 eq ftp host 172.15.160.4 permit udp any host 224.0.0.2 eq 1985 deny ip any any log ip access-list extended FTP_TUUSIN_IN permit icmp any any permit tcp host 172.15.160.4 eq ftp host 10.90.11.22 gt 1023 established permit tcp host 172.15.160.4 eq ftp host 10.90.11.21 gt 1023 established permit tcp host 172.15.160.4 eq ftp host 10.90.11.20 gt 1023 established permit tcp host 172.15.160.4 eq ftp host 10.80.11.22 gt 1023 established permit tcp host 172.15.160.4 eq ftp-data host 10.90.11.22 permit tcp host 172.15.160.4 eq ftp-data host 10.90.11.21 permit tcp host 172.15.160.4 eq ftp-data host 10.90.11.20 permit tcp host 172.15.160.4 eq ftp-data host 10.80.11.22 permit tcp host 172.15.160.4 eq ftp host 10.90.11.22 permit tcp host 172.15.160.4 eq ftp host 10.90.11.21 permit tcp host 172.15.160.4 eq ftp host 10.90.11.20 permit tcp host 172.15.160.4 eq ftp host 10.80.11.21 permit udp any host 224.0.0.2 eq 1985 deny ip any any log
- 締切済み
- ネットワーク
- L2のACL
L2のACL L2のACLの設定について質問します。 access-list 100 deny icmp host 10.10.10.10 host 192.168.100.1 access-list 100 permit ip any any interface Vlan10 ip address 10.10.10.10 255.255.255.0 ip access-group 100 in ip access-group 100 out 上記の設定をした時に10.10.10.10→192.168.100.1の PINGが通過してしまいます。 本来はip access-group 100 outのみで良いと思いますが、 念のためinを追加設定しました。 Catalyst2960を利用してます。 回答をお願いします。
- ベストアンサー
- ネットワーク
- ciscoのASA機のアクセスリストの設定・削除方
ciscoのASA機のアクセスリストの設定・削除方法 ■以下のコマンドであっているのか、知りたいです。 また注意する点など補足あればお願いします。 まずアクセスリストを下記のように設定します。 ※設定するコマンド例 (config)#access-list A extended permit ip ・・・ (config)#access-list A extended permit ip ・・・ (config)#access-list A extended deny ip any any (config)#access-group A in interface B 次に設定したアクセスリストを変更する手段として、 昔からの方法ですが、 一旦、インターフェースの適用を削除してから、アクセスリストの削除、追加をして、 再度インターフェースに適用するやりかたであってますでしょうか？ ※入力するコマンド例 (config)#no access-group A in interface B (config)#no access-list A (config)# (config)#access-list A extended permit ip ・・・ (config)#access-list A extended permit ip ・・・ (config)#access-list A extended deny ip any any (config)#access-group A in interface B ※Aはアクセスリストの名前、Bはインターフェースグループの名前です。 以上、よろしくお願いします。
- ベストアンサー
- ネットワーク
- CiscoスイッチのVLANにFTPとNTPを許可したい(ftp通信のアクセスリストについて)
FTPとNTPの通信について困っているので教えてください。 下記内容で、アクセスリストを作成し、FTPとNTPの通信を許可したいのですが、うまく行かず困っております。 どなたかお分かりになる方がいらっしゃいましたら、ご教授お願い致します。 -------------------------------------------------- ●構成 〔any〕- 〔スイッチVlan3〕-〔サーバ〕 interface3 ●ACL access-list 101 permit tcp any any eq ftp access-list 101 permit tcp any any eq ftp-data access-list 101 permit udp any eq ntp any eq ntp access-list 101 permit tcp any any eq 443 access-list 101 permit udp any any access-list 101 permit tcp any any established ●VLANにACLを適用 interface vlan 3 ip access-group 101 in ----------------------------------------------------- ポートが開放されているかどうかの確認方法を知らないため、httpsで確認出来るよう443を追加しました。 しかし、httpsは通信出来るのですがFTPにおいては、どうやらこれではうまく通信出来ないようなのです。 具体的に間違っているところを教えていただけると幸いです。 どうぞよろしくお願いします。
- ベストアンサー
- ネットワーク
- アクセス制限
以下スクリプトは$denyに拒否したいリストを記述するのですが、$denyに記述したリストのみをアクセス許可にしたいと思っています。試しに2行目の$flag=0;を$flag=1;にし、4行目$flag=1;を$flag=0;にしましたところ、$denyに記述したリストのみアクセス許可することができたようですが、これで問題ないでしょうか？よろしくお願いいたします。 if ($deny) { $flag=0; foreach (split(/\s+/, $deny)) { if ($host =~ /$_/i) { $flag=1; last; } } if ($flag) { &error("コメント") } }
- ベストアンサー
- Perl
お礼
大変良くわかりました。 ありがとうございました。