ネットワーク機器の設定で使用されるアクセスリスト（ACL）では、「ip access-list」のようにipから始まるコマンドと、「access-list」のようにipが付かないコマンドが存在します。どちらも通信制御を行うために利用されますが、設定方法や対象となるプロトコル、管理のしやすさに違いがあります。
この記事では、CiscoルーターやL3スイッチなどで使われるアクセスリストについて、ipから始まるコマンドと始まらないコマンドの違いを具体例を交えて解説します。
アクセスリスト（ACL）とは何か
アクセスリストとは、ネットワークを流れる通信を許可したり拒否したりするためのルール設定です。
例えば、「特定のパソコンからサーバーへの通信だけ許可する」「特定のIPアドレスからのアクセスを拒否する」といった制御を行うことができます。
企業ネットワークでは、不正アクセス防止や不要な通信を制限する目的でACLが利用されています。
ipから始まらないアクセスリストコマンドの特徴
ipから始まらない代表的なコマンドは、以下のような番号付きアクセスリストです。
access-list 10 permit 192.168.1.0 0.0.0.255
この形式は、Cisco IOSで昔から利用されている基本的なアクセスリスト設定方法です。
番号によってアクセスリストの種類が決まり、例えば番号10〜99は標準ACL、100〜199は拡張ACLとして扱われます。
標準ACLでは送信元IPアドレスのみを条件として通信制御を行います。
例として、「192.168.1.0/24のネットワークからの通信を許可する」という設定を行う場合、送信元だけを指定するためシンプルですが、細かい制御には向いていません。
ipから始まるアクセスリストコマンドの特徴
一方、ipから始まるアクセスリストコマンドは、主に名前付きACLを作成するときに使用します。
代表的な形式は以下のようになります。
ip access-list extended WEB_FILTER
このコマンドでは、「WEB_FILTER」という名前のアクセスリストを作成し、その中に通信ルールを追加していきます。
名前付きACLでは番号ではなく名前で管理できるため、大規模なネットワークでは設定内容を理解しやすくなります。
例えば以下のような設定が可能です。
ip access-list extended WEB_FILTER
permit tcp 192.168.1.0 0.0.0.255 any eq 80
deny ip any any
この例では、192.168.1.0/24のネットワークからHTTP通信（80番ポート）だけを許可し、それ以外の通信を拒否しています。
番号付きACLと名前付きACLの違い
| 項目 | 番号付きACL | 名前付きACL |
|---|---|---|
| 作成方法 | access-listコマンド | ip access-listコマンド |
| 管理方法 | 番号で識別 | 名前で識別 |
| 設定変更 | 変更しにくい | 編集しやすい |
| 大規模環境 | 不向き | 向いている |
小規模なネットワークでは番号付きACLでも十分ですが、ルール数が増える環境では名前付きACLの方が管理しやすくなります。
例えば、数個の通信制御しかない家庭内ネットワークでは番号付きACLでも問題ありません。しかし、数百台の端末や複数のサーバーが存在する企業ネットワークでは、名前付きACLを利用した方が設定ミスを防ぎやすくなります。
標準ACLと拡張ACLでの「ip」の意味
アクセスリストで混乱しやすいポイントは、「ip」という文字が付くことで何が変わるのかという点です。
ここで使われるipは、IPプロトコルを対象にしたアクセス制御を意味します。つまり、IPアドレスだけでなく、TCPやUDP、ICMPなどIP通信全般を条件として指定できます。
特に拡張ACLでは、通信元IP、通信先IP、プロトコル、ポート番号など細かい条件を設定できます。
例えば、「社内PCからWebサーバーへのHTTPアクセスだけ許可する」といった高度な制御は、拡張ACLで実現します。
どちらのアクセスリストを使えばよいのか
基本的には、小規模で単純な制御なら番号付きACL、大規模な環境や複雑な制御が必要なら名前付きACLを利用すると考えると分かりやすいです。
ネットワークエンジニアの現場では、設定内容を後から確認する人が理解しやすいように、名前付きACLが利用されるケースが増えています。
例えば、「社内LAN制御用」「サーバー公開用」「VPN接続制御用」のように名前を付けておけば、設定の目的がすぐ分かります。
まとめ：ip付きとipなしの違いはACLの管理方法と制御範囲
アクセスリストコマンドでipから始まるものと始まらないものの違いは、主にACLの作成方法と管理方法の違いです。
access-listは番号付きACLを作成する従来型の方法で、簡単な制御に向いています。一方、ip access-listは名前付きACLを作成する方法で、複雑な設定や大規模ネットワークで管理しやすい特徴があります。
実際のネットワーク構築では、単純な制御だけなら番号付きACL、将来的な変更や拡張を考えるなら名前付きACLを選択すると、より安全で管理しやすいネットワークを作ることができます。
コメント