IPv6 アクセスリスト

コマンド一覧

コマンド	コマンドの機能
ipv6 access-list ip	IPv6 アクセスリストの登録 (IP)
ipv6 access-list tcp	IPv6 アクセスリストの登録 (TCP)
ipv6 access-list udp	IPv6 アクセスリストの登録 (UDP)
ipv6 access-list icmp	IPv6 アクセスリストの登録 (ICMP)
ipv6 access-list cache	IPv6 アクセスリスト・キャッシュサイズの設定
ipv6 access-list cache timeout	IPv6 アクセスリスト・キャッシュタイムアウトの設定
ipv6 access-list dynamic	IPv6 ダイナミックアクセスリストの登録
ipv6 access-list dynamic cache	IPv6 ダイナミックアクセスリスト・キャッシュサイズの設定
ipv6 access-list dynamic timer	IPv6 ダイナミックアクセスリストタイマーの設定
ipv6 access-list option nocache	IPv6 アクセスリストのキャッシュ無効設定
ipv6 access-list option optimize	IPv6 アクセスリストの最適化設定
ipv6 access-list sequence-mode	IPv6 アクセスリスト・入力モードの設定
show ipv6 access-list	IPv6 アクセスリストの表示
show ipv6 access-list cache	IPv6 アクセスリスト・キャッシュの表示
show ipv6 access-list dynamic	IPv6 ダイナミックアクセスリストの表示
clear ipv6 access-list cache	IPv6 アクセスリスト・キャッシュのクリア
clear ipv6 access-list dynamic hit-count	IPv6 ダイナミックアクセスリストカウンタのクリア
clear ipv6 access-list hit-count	IPv6 アクセスリストカウンタのクリア

IPv6 アクセスリストの登録 (IP)

[入力形式]

ipv6 access-list ACCESSLIST-NAME [ SEQUENCE ] { permit | deny } { PROTOCOL | ip }

src SRC dest DEST [ tc TRAFFIC-CLASS ] [ precedence PRECEDENCE ] [ dscp DSCP ] [ fragments ]

no ipv6 access-list ACCESSLIST-NAME [ ... ]

[パラメータ]

ACCESSLIST-NAME．．．IPv6 アクセスリスト名

• 15文字以内の文字列

SEQUENCE．．．シーケンス番号

• 範囲： 1～4294967295

permit．．．許可

deny．．．拒否

PROTOCOL．．．プロトコル番号

• 範囲： 1〜255

ip．．．全IPv6プロトコル

SRC/DEST．．．送信元/送信先IPv6アドレス

• IPv6アドレス／ネットマスク 0〜128

• IPv6アドレス + WILDCARD-BIT（IPv6形式）

• any．．．すべて

TRAFFIC-CLASS．．．traffic-class

• 範囲： 0〜15

PRECEDENCE．．．precedence

• 範囲： 0〜7

DSCP．．．dscp

• 範囲： 0〜63

fragments．．．フラグメントパケットを指定

[説明]

パケットをさまざまな条件で判定し、許可または拒否を決定する機能です。

複数の条件を登録でき、登録した順に評価します。

[デフォルト値]

なし

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list list1 permit ip src any dest any

ipv6 access-list list2 deny ip src any dest 2001:db8::/32

[ノート]

TCP/UDP/ICMP を指定したアクセスリストは、別途専用の項目を参照してください。

アクセスリストの削除は、名前のみ指定した場合は同一名のアクセスリストをすべて削除し、

パラメータを指定した場合は一致するエントリのみを削除します。

[IX2000/IX3000シリーズ差分]

• src-domain、dest-domainオプション未対応

• linkmgrオプション未対応

IPv6 アクセスリストの登録 (TCP)

[入力形式]

ipv6 access-list ACCESSLIST-NAME [ SEQUENCE ] { permit | deny } tcp [ FLAGS ]

src SRC [ sport OPERATOR PORT ] dest DEST [ dport OPERATOR PORT ]

[ tc TRAFFIC-CLASS ] [ precedence PRECEDENCE ] [ dscp DSCP ] [ fragments ]

no ipv6 access-list ACCESSLIST-NAME [ ... ]

[パラメータ]

ACCESSLIST-NAME．．．IPv6 アクセスリスト名

• 15文字以内の文字列

SEQUENCE．．．シーケンス番号

• 範囲： 1～4294967295

permit．．．許可

deny．．．拒否

FLAGS．．．TCPヘッダの制御フラグ

• ack|fin|psh|rst|syn|urg：該当フラグがON

• established :（ACKまたはRSTビットがON）

SRC/DEST．．．送信元/送信先IPv6アドレス

• IPv6アドレス／ネットマスク 0〜128

• IPv6アドレス + WILDCARD-BIT（IPv6形式）

• any．．．すべて

OPERATOR．．．ポート番号演算子

• lt ：より小さい (less than)

• gt ：より大きい (greater than)

• eq ：同一 (equal)

• neq ：同一でない (not equal)

• range：範囲指定

• any ：すべて

PORT．．．ポート番号

• any,range以外： 1〜65535

• range： [最小ポート番号] [最大ポート番号]

TRAFFIC-CLASS．．．traffic-class

• 範囲： 0〜15

PRECEDENCE．．．precedence

• 範囲： 0〜7

DSCP．．．dscp

• 範囲： 0〜63

fragments．．．フラグメントパケットを指定

[説明]

TCPのパケットをさまざまな条件で判定し、許可または拒否を決定する機能です。

複数の条件を登録でき、登録した順に評価します。

[デフォルト値]

なし

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list list1 deny tcp src any sport range 67 100 dest any dport any

ipv6 access-list list1 permit tcp established src any sport any dest any dport any

[ノート]

アクセスリストの削除は、名前のみ指定した場合は同一名のアクセスリストをすべて削除し、

パラメータを指定した場合は一致するエントリのみを削除します。

[IX2000/IX3000シリーズ差分]

• src-domain、dest-domainオプション未対応

• linkmgrオプション未対応

IPv6 アクセスリストの登録 (UDP)

[入力形式]

ipv6 access-list ACCESSLIST-NAME [ SEQUENCE ] { permit | deny } udp

src SRC [ sport OPERATOR PORT ] dest DEST [ dport OPERATOR PORT ]

[ tc TRAFFIC-CLASS ] [ precedence PRECEDENCE ] [ dscp DSCP ] [ fragments ]

no ipv6 access-list ACCESSLIST-NAME [ ... ]

[パラメータ]

ACCESSLIST-NAME．．．IPv6 アクセスリスト名

• 15文字以内の文字列

SEQUENCE．．．シーケンス番号

• 範囲： 1～4294967295

permit．．．許可

deny．．．拒否

SRC/DEST．．．送信元/送信先IPv6アドレス

• IPv6アドレス／ネットマスク 0〜128

• IPv6アドレス + WILDCARD-BIT（IPv6形式）

• any．．．すべて

OPERATOR．．．ポート番号演算子

• lt ：より小さい (less than)

• gt ：より大きい (greater than)

• eq ：同一 (equal)

• neq ：同一でない (not equal)

• range：範囲指定

• any ：すべて

PORT．．．ポート番号

• any,range以外： 1〜65535

• range： [最小ポート番号] [最大ポート番号]

TRAFFIC-CLASS．．．traffic-class

• 範囲： 0〜15

PRECEDENCE．．．precedence

• 範囲： 0〜7

DSCP．．．dscp

• 範囲： 0〜63

fragments．．．フラグメントパケットを指定

[説明]

UDPのパケットをさまざまな条件で判定し、許可または拒否を決定する機能です。

複数の条件を登録でき、登録した順に評価します。

[デフォルト値]

なし

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list list1 deny udp src any sport range 67 100 dest any dport any

[ノート]

アクセスリストの削除は、名前のみ指定した場合は同一名のアクセスリストをすべて削除し、

パラメータを指定した場合は一致するエントリのみを削除します。

[IX2000/IX3000シリーズ差分]

• src-domain、dest-domainオプション未対応

• linkmgrオプション未対応

IPv6 アクセスリストの登録 (ICMP)

[入力形式]

ipv6 access-list ACCESSLIST-NAME [ SEQUENCE ] { permit | deny } icmp

[ type TYPE [ code CODE ] | ICMP-MESSAGE ]

src SRC dest DEST

[ tc TRAFFIC-CLASS ] [ precedence PRECEDENCE ] [ dscp DSCP ] [ fragments ]

no ipv6 access-list ACCESSLIST-NAME [ ... ]

[パラメータ]

ACCESSLIST-NAME．．．IPv6 アクセスリスト名

• 15文字以内の文字列

SEQUENCE．．．シーケンス番号

• 範囲： 1～4294967295

permit．．．許可

deny．．．拒否

CODE．．．ICMP code

• 範囲： 0〜255

ICMP-MESSAGE．．．ICMPメッセージ

• address-unreachable

• administratively-prohibited

• beyond-scope

• echo

• echo-reply

• group-membership-query

• group-membership-report

• group-membership-report-v2

• group-membership-termination

• header-field-error

• hop-limit-exceeded

• ipv6-option-unrecognized

• neighbor-advertisement

• neighbor-solicitation

• next-header-unrecognized

• no-route

• packet-too-big

• parameter-problem

• port-unreachable

• reassembly-timeout

• redirect

• router-advertisement

• router-solicitation

• time-exceeded

• unreachable

SRC/DEST．．．送信元/送信先IPv6アドレス

• IPv6アドレス／ネットマスク 0〜128

• IPv6アドレス + WILDCARD-BIT（IPv6形式）

• any．．．すべて

TRAFFIC-CLASS．．．traffic-class

• 範囲： 0〜15

PRECEDENCE．．．precedence

• 範囲： 0〜7

DSCP．．．dscp

• 範囲： 0〜63

fragments．．．フラグメントパケットを指定

[説明]

ICMPのパケットをさまざまな条件で判定し、許可または拒否を決定する機能です。

複数の条件を登録でき、登録した順に評価します。

[デフォルト値]

なし

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list list1 permit icmp src any dest any

ipv6 access-list list1 deny icmp port-unreachable src any dest any

[ノート]

アクセスリストの削除は、名前のみ指定した場合は同一名のアクセスリストをすべて削除し、

パラメータを指定した場合は一致するエントリのみを削除します。

[IX2000/IX3000シリーズ差分]

• src-domain、dest-domainオプション未対応

• linkmgrオプション未対応

IPv6 アクセスリスト・キャッシュサイズの設定

[入力形式]

ipv6 access-list cache [ CACHE-SIZE ]

no ipv6 access-list cache

[パラメータ]

CACHE-SIZE．．．キャッシュサイズ

• 範囲： 1～100000

[説明]

アクセスリストのキャッシュサイズを設定します。

[デフォルト値]

20000

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list cache 2048

no ipv6 access-list cache

[ノート]

なし

IPv6 アクセスリスト・キャッシュタイムアウトの設定

[入力形式]

ipv6 access-list cache timeout TIMEOUT

no ipv6 access-list cache timeout

[パラメータ]

TIMEOUT．．．タイムアウト（秒）

• 範囲： 1～600

[説明]

アクセスリストのキャッシュタイムアウトを設定します。

[デフォルト値]

30

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list cache timeout 10

no ipv6 access-list cache timeout

[ノート]

なし

IPv6 ダイナミックアクセスリストの登録

[入力形式]

ipv6 access-list dynamic ACCESSLIST-NAME PROTOCOL [ PORT ] src SRC dest DEST

ipv6 access-list dynamic ACCESSLIST-NAME access ACL [ in ACL [ out ACL ] ]

no ipv6 access-list dynamic ACCESSLIST-NAME [ ... ]

[パラメータ]

ACCESSLIST-NAME．．．IPv6 ダイナミックアクセスリスト名

• 15文字以内の文字列

PROTOCOL．．．プロトコル

• ftp ：FTP

• tftp ：TFTP

• http ：HTTP

• telnet ：Telnet

PORT．．．ポート番号 (ftp, tftp選択時)

• 範囲： 1～65535

SRC/DEST．．．送信元/送信先IPv6アドレス

• IPv6アドレス／ネットマスク 0〜128

• IPv6アドレス + WILDCARD-BIT（IPv6形式）

• any．．．すべて

ACL．．．IPv6 アクセスリスト名

• 15文字以内の文字列

[説明]

ダイナミックフィルタで使用するダイナミックアクセスリストを登録します。

プロトコルまたはアクセスリストで指定した通信を、内側から開始した場合のみ許可するフィルタとして動作します。

アクセスリストを指定する形式では、通信検出時に他の通信を許可することも可能です。

in (accessと逆の方向)、out (accessの方向) を指定した場合、指定した方向の通信を許可します。

[デフォルト値]

なし

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list dynamic dynamic1 telnet src 2001:db8::/64 dest any

ipv6 access-list dynamic dynamic2 access static2

ipv6 access-list dynamic dynamic3 access static3-1 in static3-2 out static3-3

no ipv6 access-list dynamic dynamic1

no ipv6 access-list dynamic dynamic2 access static2

[ノート]

外部からの通信を破棄するようにフィルタを設定しておく必要があります。

IPv6 ダイナミックアクセスリスト・キャッシュサイズの設定

[入力形式]

ipv6 access-list cache [ CACHE-SIZE ]

no ipv6 access-list cache

[パラメータ]

CACHE-SIZE．．．キャッシュサイズ

• 範囲：1～250000

[説明]

アクセスリストのキャッシュサイズを設定します。

[デフォルト値]

32768

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list cache 2048

no ipv6 access-list cache

[ノート]

なし

IPv6 ダイナミックアクセスリストタイマーの設定

[入力形式]

ipv6 access-list dynamic timer TIMER-TYPE TIME

no ipv6 access-list dynamic timer [ TIMER-TYPE ]

[パラメータ]

TIMER-TYPE．．．タイマーの種類

• tcp-syn-timeout．．．

  SYNを受けてから設定された時間内にデータが流れなければセッションを切断します。

• tcp-fin-timeout．．．

  FINを受けてから設定された時間内にデータが流れなければセッションを切断します。

• tcp-idle-time．．．

  設定された時間内にTCPセッションのデータが流れなければセッションを切断します。

• udp-idle-time．．．

  設定された時間内にUDPセッションのデータが流れなければセッションを切断します。

• icmp-timeout．．．

  設定された時間内にICMPセッションのデータが流れなければセッションを切断します。

• global-timeout．．．上記に該当しないセッションは、この設定に従います。

  設定された時間内にデータが流れなければセッションを切断します。

TIME．．．待ち時間（秒）

• 範囲： 0〜259200

[説明]

ダイナミックアクセスリストが適用されたセッションの、切断までの待ち時間を設定します。

[デフォルト値]

• tcp-syn-timeout ： 30

• tcp-fin-timeout ： 5

• tcp-idle-time ： 300

• udp-idle-time ： 30

• icmp-timeout ： 30

• global-timeout ： 60

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list dynamic timer tcp-syn-timeout 10

no ipv6 access-list dynamic timer tcp-syn-timeout

[ノート]

なし

IPv6 アクセスリストのキャッシュ無効設定

[入力形式]

ipv6 access-list ACCESSLIST-NAME option nocache

no ipv6 access-list ACCESSLIST-NAME option nocache

[パラメータ]

ACCESSLIST-NAME．．．IPv6 アクセスリスト名

[説明]

指定されたアクセスリストのキャッシュ作成を無効にします。

[デフォルト値]

キャッシュ有効

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list list1 option nocache

no ipv6 access-list list1 option nocache

[ノート]

なし

IPv6 アクセスリストの最適化設定

[入力形式]

ipv6 access-list ACCESSLIST-NAME option optimize

no ipv6 access-list ACCESSLIST-NAME option optimize

[パラメータ]

ACCESSLIST-NAME．．．IPv6 アクセスリスト名

[説明]

多数の条件を登録したアクセスリストの検索処理を最適化します。

noコマンドにより最適化リストが破棄され登録順に評価されます。

[デフォルト値]

最適化なし

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list list1 option optimize

no ipv6 access-list list1 option optimize

[ノート]

なし

IPv6 アクセスリスト・入力モードの設定

[入力形式]

ipv6 access-list ACCESSLIST-NAME sequence-mode [ INTERVAL ]

no ipv6 access-list ACCESSLIST-NAME sequence-mode

[パラメータ]

ACCESSLIST-NAME．．．IPv6 アクセスリスト名

• 15文字以内の文字列

INTERVAL．．．シーケンス番号の自動付与間隔

• 範囲： 1～1000

• デフォルト値： 100

[説明]

シーケンス番号指定モード (Sequenceモード) に変更し、既存のアクセスリスト設定にシーケンス番号を付与します。

noコマンドにより通常モード (Normalモード) に変更し、既存のアクセスリスト設定からシーケンス番号を削除します。

[デフォルト値]

通常モード

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator

[入力例]

ipv6 access-list rule1 sequence-mode 50

no ipv6 access-list rule1 sequence-mode

[ノート]

なし

IPv6 アクセスリストの表示

[入力形式]

show ipv6 access-list [ ACCESSLIST-NAME ]

[パラメータ]

ACCESSLIST-NAME．．．IPv6 アクセスリスト名

[説明]

アクセスリスト情報を表示します。

ACCESSLIST-NAME 省略時は全アクセスリストの一覧を表示します。

ACCESSLIST-NAME 指定時は詳細情報を表示します。

[デフォルト値]

なし

[実行モード]

EXECモード

グローバルコンフィグモード

インタフェースコンフィグモード

[ユーザー権限]

Administrator/Operator/Monitor

[入力例]

show ipv6 access-list

show ipv6 access-list 300

[ノート]

なし

IPv6 アクセスリスト・キャッシュの表示

[入力形式]

show ipv6 access-list cache

[パラメータ]

なし

[説明]

アクセスリストのキャッシュ内容を表示します。

[デフォルト値]

なし

[実行モード]

EXECモード

グローバルコンフィグモード

インタフェースコンフィグモード

[ユーザー権限]

Administrator/Operator/Monitor

[入力例]

show ipv6 access-list cache

[ノート]

なし

IPv6 ダイナミックアクセスリストの表示

[入力形式]

show ipv6 access-list dynamic [ ACCESSLIST-NAME ]

[パラメータ]

ACCESSLIST-NAME．．．IPv6 ダイナミックアクセスリスト名

[説明]

ダイナミックアクセスリスト情報を表示します。

ACCESSLIST-NAME 省略時は、全ダイナミックアクセスリストの一覧を表示します。

ACCESSLIST-NAME 指定時は、詳細情報を表示します。

[デフォルト値]

なし

[実行モード]

EXECモード

グローバルコンフィグモード

インタフェースコンフィグモード

[ユーザー権限]

Administrator/Operator/Monitor

[入力例]

show ipv6 access-list dynamic dynamic1

[ノート]

なし

IPv6 アクセスリスト・キャッシュのクリア

[入力形式]

clear ipv6 access-list cache

[パラメータ]

なし

[説明]

アクセスリストのキャッシュをクリアします。

[デフォルト値]

なし

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator/Operator/Monitor

[入力例]

clear ipv6 access-list cache

[ノート]

なし

IPv6 ダイナミックアクセスリストカウンタのクリア

[入力形式]

clear ipv6 access-list dynamic hit-count [ ACCESSLIST-NAME ]

[パラメータ]

ACCESSLIST-NAME．．．IPv6 ダイナミックアクセスリスト名

[説明]

ダイナミックアクセスリストのカウンタをクリアします。

ACCESSLIST-NAME を省略時は、すべてのダイナミックアクセスリストのカウンタをクリアします。

[デフォルト値]

なし

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator/Operator/Monitor

[入力例]

clear ipv6 access-list dynamic hit-count 3000

[ノート]

なし

IPv6 アクセスリストカウンタのクリア

[入力形式]

clear ipv6 access-list hit-count [ ACCESSLIST-NAME ]

[パラメータ]

ACCESSLIST-NAME．．．IPv6 アクセスリスト名

[説明]

アクセスリストのカウンタをクリアします。

ACCESSLIST-NAME を省略時は、すべてのアクセスリストのカウンタをクリアします。

[デフォルト値]

なし

[実行モード]

グローバルコンフィグモード

[ユーザー権限]

Administrator/Operator/Monitor

[入力例]

clear ipv6 access-list hit-count 3000

[ノート]

なし

コマンド変更情報

Ver1.1 コマンド変更情報

• 追加コマンド一覧

  ipv6 access-list ip

  ipv6 access-list tcp

  ipv6 access-list udp

  ipv6 access-list icmp

  ipv6 access-list cache

  ipv6 access-list cache timeout

  ipv6 access-list dynamic

  ipv6 access-list dynamic cache

  ipv6 access-list dynamic timer

  ipv6 access-list option nocache

  ipv6 access-list option optimize

  ipv6 access-list sequence-mode

  show ipv6 access-list

  show ipv6 access-list cache

  show ipv6 access-list dynamic

  clear ipv6 access-list cache

  clear ipv6 access-list dynamic hit-count

  clear ipv6 access-list hit-count