IPv4 ACL Fundamentals

このページで学ぶこと

• ACL Top-Down First Match
• Implicit Deny on Nonempty ACL
• Undefined or Empty ACL Behavior
• Empty-to-Nonempty ACL Transition
• Inbound Direction
• Outbound Direction
• Transit Versus Local Generated Traffic
• ACL Attachment 要件
• Interface Protocol Direction Scope
• Inbound Versus Outbound Processing Point

ACL評価の基本

ACEは上から順に評価し、最初にMatchしたpermit/denyで処理を終了します。後続ACEは評価されません。

Implicit Deny

通常の非空ACLでどのACEにもMatchしないPacketは末尾のImplicit Denyで拒否されます。

Undefined / Empty ACL

Interfaceが存在しないNamed ACLを参照している場合や、ACLがEmptyの場合はPermit状態です。ただし最初のACE追加後は非空ACLとなりImplicit Denyが実効化します。

Direction

in/outはSource/Destinationの別名ではなく、適用Interfaceから見たPacketの方向です。InboundはRouting前、OutboundはEgress決定後に評価します。

TransitとLocal生成Traffic

IOS XEの通常のOutbound ACLはTransit TrafficをFilterします。Router自身が生成したTrafficはデフォルトでは同じOutbound ACLをBypassします。