access-list でアクセスリストを作ろう

「特定のネットワークからの通信だけを許可・拒否したい」というときに使うのがaccess-listです。access-listはアクセスリスト(ACL)と呼ばれる、通信を許可(permit)または拒否(deny)するルールを定義するコマンドです。

access-list 番号 permit/deny 対象IPアドレスという書式で使います。番号によって標準ACL・拡張ACLなど種類が変わり、上から順にルールが評価されます。

access-list 10 permit 192.168.1.0を実行すると、ACL番号10のルールとして、192.168.1.0のネットワークからの通信を許可するルールが1つ追加されます。

よくあるつまずきは、ACLを作っただけでは何も効果がなく、実際にはインターフェースやvtyラインへaccess-groupなどで適用して初めて機能する点を忘れることです。

実務では管理用ポートへのアクセスを特定の管理者IPだけに絞る、部署間の通信を制限するなど、セキュリティ制御の中核として使われます。