第5章 · セキュリティ·v1.0.0·更新 2026/7/20·読了目安 約18分
変更要約: 初版
5.2ACL によるインフラ保護
この節の要点
標準ACL（送信元IPのみで判定）と拡張ACL（送信元/宛先IP・プロトコル・ポートで判定）の違い、順次評価（上から順に最初に一致したエントリで確定）と末尾の暗黙のdeny、そしてどのインタフェースのどちら向きに適用するかという配置判断を扱います。名前付きACLでのシーケンス番号編集や、log による検証も含め、「意図した通信だけを通す」構成を組み立てられるようにします。
ACL はフィルタであると同時に「一致条件を書く言語」で、QoS の分類、PBR の対象指定、NAT の対象指定、access-class による管理アクセス制限、そして次節の CoPP のクラス定義まで、ENCOR のあらゆる場面で再利用されます。だからこそ評価の仕組み（順次・最初に一致で確定・末尾は暗黙のdeny）を体に入れておく必要があります。ENCOR で問われるのは「標準と拡張の定義」ではなく、「このACLをこの向きに当てると何が落ちるか」「なぜ意図した通信まで止まったのか」という診断です。
5.2.1標準ACLと拡張ACL
- 標準ACL（番号 1-99・1300-1999、または名前付き
ip access-list standard）は送信元IPアドレスだけで一致を判定する。宛先やポートを見られないため、特定サーバへのアクセスだけを止めるといった用途には使えない。粒度が粗い分、送信元に近い場所で当てると必要な通信まで巻き添えで落ちるため、伝統的に宛先に近い側へ配置する。 - 拡張ACL（番号 100-199・2000-2699、または
ip access-list extended）はプロトコル・送信元IP・宛先IP・送信元/宛先ポートなどで判定できる。permit tcp 10.1.1.0 0.0.0.255 host 10.9.9.10 eq 443のように意図を正確に表現できるため、送信元に近い側に置いて不要なトラフィックを早期に破棄するのがセオリー（無駄な帯域消費を避けられる）。 - マスクはワイルドカードマスク（0＝一致必須、1＝任意）で書く。サブネットマスクの反転であり、
10.1.1.0 0.0.0.255は /24 に相当する。単一ホストはhost 10.1.1.5、全体はanyと書ける。この反転を取り違えると、意図より広い/狭い範囲に一致してしまう。