5.3ACL（アクセスコントロールリスト）

ACLはルータ/スイッチ上で「どのトラフィックを通し、どれを止めるか」を1行ずつ順番に判定するルールの並びです。実務では「特定サーバへの特定ポートだけ止めたい」「ある部門から別部門への通信だけ遮断したい」といった要件を、標準か拡張か、どのインタフェースのin/outに、どの順番で書くかという判断に落とし込みます。順序や配置を誤ると意図しない通信まで遮断してしまうため、仕組みの正確な理解が不可欠です。

5.3.1標準ACLと拡張ACL

• 標準ACL＝送信元IPアドレスのみで許可/拒否を判定する。番号範囲は1-99（拡張範囲1300-1999）。判定材料が送信元だけなので、送信元に近い場所に置くと「その送信元から全宛先への通信」をまとめて落としてしまう。そのため宛先に近いインタフェースに配置して、必要な通信を巻き込まないようにするのが原則。
• 拡張ACL＝送信元IP・宛先IP・プロトコル（TCP/UDP/ICMP等）・ポート番号まで指定して細かく判定する。番号範囲は100-199（拡張範囲2000-2699）。狙った通信だけをピンポイントで止められるので、送信元に近いインタフェースに配置して不要なトラフィックを早い段階で落とし、無駄な帯域消費を防ぐのが原則。
• 名前付きACL＝番号の代わりに意味のある名前を付けるACL（ip access-list standard 名前 / ip access-list extended 名前）。標準/拡張の別は指定するが、シーケンス番号で行を挿入/削除でき編集性が高いのが番号付きに対する利点。番号付き・名前付きはあくまで識別方法の違いで、判定能力は標準/拡張の別で決まる。