access-classコマンドってなぜ別にあるのでしょうか？

質問

以下のようにCCNAの問題で192.168.1.100の端末のTelnetを拒否する問題がありました。

拡張アクセスリストで23番ポートのinを拒否すればよいと思うのですが、なぜわざわざaccess-classというコマンドがあるのでしょうか？

　RouterB>enable
RouterB#configure terminal
RouterB(config)#access-list 1 deny host 192.168.1.100
RouterB(config)#access-list 1 permit any
RouterB(config)#line vty 0 4
RouterB(config-line)#access-class 1 in

回答No.2

koonell · ベストアンサー

こんにちは。

>ip access-group 101 inとした場合と何か違いがあるのでしょうか？
ですが、
vty　には　ip access-group を設定することはできません。

ip access-group は物理回線に設定するコマンドです。

お礼

ありがとうございます。
vty回線にアクセスリストを適用するのと
物理回線に23番ポート拒否のアクセスリストを適用するのでは
何か違うのでしょうか？
そのあたりがよくわからないのですが。

補足

ありがとうございます。
vty回線にアクセスリストを適用するというのが
よくわかりません。
普通にインターフェースにアクセスリストを適用するなら
LANポートに入ってくるときにフィルタリングされるとか、LANポートを出て行くときにフィルタリングされるとイメージがわくのですが。

telnetであるルータにログインしていて、そこからpingなどコマンド操作をして出て行くパケットに対してアクセスリストを
適用するということでしょうか？
そうであれば適用する標準アクセスリストの送信元というのはtelnetで接続しにいっているアクセス元ということでしょうか？

回答No.1

koonell

access-listは作成するだけでは、動作せず、
各インターフェイスなどに適用する必要があります。

telnet接続(line vty)にアクセスリストを適用するためのコマンドが
access-classです。

access-list 101 deny tcp host 192.168.1.100 any eq telnet
access-list 101 permit ip any any
!
line vty 0 4
login
access-class 101 in

でもOKです。

ちなみに、ciscoルータへはtelnet以外にsshでの接続もすることができます。
その際に、192.168.1.100からの接続を拒否するには、
22番ポートへの接続をdenyするアクセスリストが必要になります。

お礼

ありがとうございます。
ip access-group 101 inとした場合と何か違いがあるのでしょうか？

補足

すいません。
理解できたような気がします。
ルータへのTelnetの着信などを制限できるということですね。
そしてVTYインターフェースにだけアクセスリストを適用しておけば
物理インターフェースなどがたくさんあっても個々に着信制限をするひつようがないと。