スイッチのコマンドまとめ３

ACL

• ホスト10.1.1.1からパケットのみ拒否するACL1を作成
  (config)#access-list 1deny 10.1.1.1(または host 10.1.1.1)
  (config)#access-list 1 permit any
  (または、0.0.0.0 255.255.255.255)
• 10.1.1.0/24からのパケットのみ許可するACL2を作成
  (config)#access-list 2 permit 10.1.1.0 0.0.0.255
• ホスト10.1.1.1からのパケットのみを拒否し、マッチするパケットがあればログを作成しコンソールメッセージに送信するACL3を作成
  (config)#access-list 3 deny host 10.1.1.1 log
  (config)#access-list 3 permit 0.0.0.0 255.255.255.255
• 10.1.1.10/24に対してHTTPセッションを許可するACL100を作成
  (config)#access-list 100 permit tcp any 10.1.1.0 0.0.0.255 eq 80(or eq www)
• ネットワーク10.1.1.0/24のホストからサーバ172.16.1.1へTelnetアクセスを拒否するACL102を作成
  (config)#access-list 102 deny tcp 10.1.1.0 0.0.0.255 host 172.16.1.1 eq 23(or eq telnet)
  (config)#access-list 102 permit ip any any
• ネットワーク10.1.1.0/24からのホストからのpingトラフィックを許可するACL103を作成
  (config)#access-list 103 permit icmp 10.1.1.0 0.0.0.255 any echo
• TCPセッションを開始できるのは内部ネットワークからのみに制限するためのACL104を作成
  (config)#access-list 104 permit tcp any any established
• パケット着信時にACLのフィルタリングテストを実行
  (config-if)#ip access-group 1 in
• パケット送信時にACLのフィルタリングテストを実行
  (config-if)#ip access-group 1 out
• 10.1.1.0/24からのパケットのみを拒否するACL[Filter]を作成し、Serial0/0インターフェイスから送出時にフィルタリングテストを実行
  (config)#ip access-list standard Filter
  (config-std-nacl)#deny 10.1.1.0 0.0.0.255
  (config-std-nacl)#permit any
  (config-std-nacl)#interface serial0/0
  (config-if)#ip access-group Filter out
• 営業部(10.1.1.0/24)から技術部(10.2.2.0/24)へのSMTPのみを拒否するACL[SMTP-Filter]を作成し、fa0/0インターフェイスの着信時にフィルタリングテストを実行
  (config)#ip access-list extended SMTP-Filter
  (config-ext-nacl)#deny tcp 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255 eq 25
  (config-ext-nacl)#interface fa0/0
  (config-ext-nacl)#ip access-group SMTP-Filter in
• ACL1に10.2.2.0/24からのパケットを許可するステートメント(シーケンス番号15)の追加
  (config)#ip access-list standard 1
  (config-std-nacl)#15 permit 10.2.2.0 0.0.0.255
• すべてのACLを表示
  #show access-lists
• ACL100のみを表示
  #show access-lists 100
• ACLの適用と方向を確認
  #show ip interface
• ACLのカウンタをクリア
  #clear access-list counters
• ACL1を消去
  (config)#no access-list 1
• インターフェイスに適用したアウトバウンドのACL100を解除
  (config-if)#no access-group 100 out

VTYアクセス制御

• ルータに対するTelnetアクセスを10.1.1.1からのみ許可するVTYアクセス制御(ACL1)の設定
  (config)#access-list 1 permit 10.1.1.1(または、host 10.1.1.1)
  (config)#line vty 0 4
  (config-line)#access-class 1 in
• ルータに対するTelnetユーザーが、192.168.1.0/24へTelnet接続するのを拒否するVTYアクセス(ACL2)の設定
  (config)#access-list 2 deny 192.168.1.0/2 0.0.0.255
  (config)#access-list 2 permit any
  (config)#line vty 0 4
  (config-line)#access-class 2 out

スタティックNAT

• スタティックNAT変換の設定(内部ローカルアドレス:10.1.1.1,内部グローバルアドレス:1.1.1.1,内部NW:fa0/0,外部NW:s0/0)
  (config)#ip nat inside source static 10.1.1.1 1.1.1.1
  (config)#interface fa0/0
  (config-if)#ip nat inside
  (config-if)#interface s0/0
  (config-if)#ip nat outside

ダイナミックNAT

• NATアドレスプールを作成(プール名:NAT,プール範囲1.1.1.1~1.1.1.10,マスク:255.255.255.0)
  (config)#ip nat pool NAT 1.1.1.1 1.1.1.10 netmask 255.255.255.0 （またはprefix-length 24)
• プール「NAT」とACL１をマッピングし、ダイナミックNATを有効化
  (config)#ip nat inside source list 1 pool NAT
• ダイナミックNAT変換の設定(プール名:NAT,プール範囲:1.1.1.1~1.1.1.7,マスク:255.255.255.248,返還対象となる送信元アドレス:10.1.1.0/24,ACL:1,内部NW:fa0/0,外部NW:S0/0)
  (config)#ip nat pool NAT 1.1.1.1 1.1.1.7 netmask 255.255.255.248
  (config)#access-list 1 permit 10.1.1.0 0.0.0.255
  (config)#ip nat inside source list 1 pool NAT
  (config)#interface fa0/0
  (config-if)#ip nat inside
  (config-if)#interface s0/0
  (config-if)#ip nat outside
• 外部インターフェースを使用したPATの設定(変換対象: 10.1.1.0/24,ACL1,内部:fa0/0,外部:s0/0)
  (config)#access-list 1 permit 10.1.1.0 0.0.0.0.255
  (config)#ip nat inside source list 1 interface s0/0 overload
  (config)#interface fa0/0
  (config-if)#ip nat inside
  (config-if)#interface s0/0
  (config-if)#ip nat outside

NAT

• TCPプロトコルをNATテーブルからタイムアウトしないように設定
  (config)#ip nat translation tcp-timeout never

NATの検証

• NATテーブルの情報の表示
  #show ip nat translations
• 内部、外部インターフェースを確認
  #show ip interface
• アドレス変換の統計情報の表示
  #show ip nat statistics
• NATに関するコマンド(NAT,ACL,プール,インターフェイス)の設定の確認
  #show running-config
• すべてのダイナミック変換エントリをクリア
  #clear ip nat translation *
• 内部トランスレーションを含むダイナミック変換エントリをクリア
  #clear ip nat translation inside
• NATのデバッグを有効化
  #debug ip nat

HDLC

• シリアルリンクのカプセル化タイプをHDLCに設定
  (config-if)#encapsulation hdlc

PPP

• シリアルリンクのカプセル化タイプをPPPに設定
  (config-if)#encapsulation ppp
• シリアルリンクのカプセル化PPPで、CHAP認証を有効化
  (config-if)#encapsulation ppp
  (config-if)#ppp authentication chap
• CentralルータのSerial0/0インターフェイス(10.1.1.1/24)に対して、BranchルータとCHAP認証(パスワード:cisco）を実行してシリアル接続
  (config)#hostname Central
  (config)#username Branch password cisco
  (config)#interface s0/0
  (config-if)#ip address 10.1.1.1 255.255.255.0
  (config-if)#encapsulation ppp
  (config-if)#ppp authentication chap
  (config-if)#no shutdown
• Serial0/0インターフェイスの情報(リンク状態,カプセル化タイプ、帯域幅など)の表示
  #show interface serial0/0
• PPP CHAP認証の実行の様子の表示
  #debug ppp authentication

IPv6

• IPv6トラフィックの転送を有効化
  (config)#ipv6 unicast-routing
• ipv6アドレスの設定(プレフィクス:2001:410:0:1::/64,インターフェイスID:1)
  (config-if)#ipv6 address 2001:410:0:1::1/64
• ipv6アドレスの設定(プレフィクス:2001:410:0:2::/64,インターフェイスID:1 EUI64を使用)
  (config-if)#ipv6 address 2001:410:0:2::/64 eui-64
• インターフェイスのIPｖ６に関する情報の表示
  #show ipv6 interface
• IPv6ルーティングテーブルの表示
  #show ipv6 route
• RIPngの設定(タグ:1,動作させるインターフェイス:fa0/0とSerial0/0)
  (config)#interface fa0/0
  (config-if)#ipv6 rip 1 enable
  (config-if)#interface s0/0
  (config-if)#ipv6 rip 1 enable
• RIPngプロセスに関する情報の表示
  #show ipv6 rip
• Ipv6ルーティングプロトコルのステータス表示
  #show ipv6 protocols
• 手動トンネルの設定(トンネルIF:0,IPv6アドレス:2001:410:a::1/64,送信元IP:192.168.1.1 宛先IP:192.168.1.2)
  (config)#interface tunnel 0
  (config-if)#ipv6 address 2001:410:1::1/64
  (config-if)#tunnel source 192.168.1.1
  (config-if)#tunnel destination 192.168.1.2
  (config-if)#tunnel mode ipv6ip