IPv4 ACL Troubleshooting

このページで学ぶこと

• ACL Shadowing Diagnosis
• Implicit Deny Diagnosis
• Wrong Direction Diagnosis
• Wrong Interface Diagnosis
• Wildcard Error Diagnosis
• Standard ACL Over-Filtering Diagnosis
• Extended Source Destination Reverse Diagnosis
• Port Position Diagnosis
• Protocol Mismatch Diagnosis
• Hit Counter Interpretation
• Local Generated Traffic Diagnosis
• Undefined ACL Permit Diagnosis
• First ACE Transition Outage Diagnosis
• ACL Verification Commands
• Sequence Remediation
• ACL End-to-End Troubleshooting Flow

診断Flow

Source/Destination/Protocol/Port → Traffic Path → Transit/Local生成 → Interface → in/out → 適用ACL → ACE順序 → Wildcard → Protocol/Port → Implicit Deny → Hit Counterの順に確認情報を集めます。

First Match / Shadowing

広いpermitがSpecific denyより前にあるとdenyへ到達しません。ACLにACEが存在することと、そのACEが評価されることは別です。

Direction / Interface

ACL内容が正しくてもPacketが通らないInterfaceや逆Directionへ適用されていればHitしません。Routing Pathを先に確認します。

Wildcard / Field Order

Subnet MaskをWildcard位置へ入れる誤り、Source/Destination逆転、Port Operator位置の誤りをConfigと要件から診断します。

Operational 確認情報

show access-lists等のHit Counterを利用します。ただし0 Hitは構文ミスだけでなくWrong Path/Direction/Traffic未発生も候補です。

State Transition

Undefined/Empty ACLはPermitですが、最初のACEを追加した瞬間に非空ACLとなりImplicit Denyが有効化されるため、変更順序が通信断原因になり得ます。