Cisco Nexus 5000 シリーズ NX-OS セキュリティ コマンド リファレンス Cisco NX-OS Release 4.x、5.x

 

構文の説明

 

コマンド デフォルト

0 分

 

コマンド履歴

 

使用上のガイドライン

TACACS を設定する前に、 feature tacacs+ コマンドを使用する必要があります。

例

次に、RADIUS サーバ グループのデッド タイム間隔を 2 分に設定する例を示します。

次に、TACACS+ サーバ グループのデッド タイム間隔を 5 分に設定する例を示します。

次に、デッド タイム間隔をデフォルト値に戻す例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

なし

 

コマンド履歴

 

使用上のガイドライン

（注） Cisco NX-OS Release 5.1(3)N1(1) 以降、ARP アクセス リストは、Control Plane Policing（CoPP）に対してだけサポートされます。deny コマンドは CoPP ARP ACL では無視されます。

新しく作成した ARP ACL には、ルールは含まれていません。

シーケンス番号を指定しないと、ACL の最後のルールのシーケンス番号に 10 を加算したシーケンス番号がルールに割り当てられます。

パケットに ARP ACL が適用されると、ACL 内のすべてのルールに対してパケットが評価されます。パケットが条件に一致した最初のルールが施行されます。複数のルールの条件と一致する場合は、デバイスはシーケンス番号が最も低いルールを施行します。

例

次に、copp-arp-acl という名前の ARP ACL の ARP アクセス リスト コンフィギュレーション モードを開始し、192.0.32.14/24 サブネット内にある送信者の IP アドレスを含み、それを copp-arp-acl クラスに関連づける ARP 要求メッセージを拒否するルールを追加する例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

新しく作成した IPv4 ACL には、ルールは含まれていません。

シーケンス番号を指定しない場合は、スイッチによって ACL の最後のルールのシーケンス番号よりも 10 大きい番号がルールに割り当てられます。

 

コマンド履歴

 

使用上のガイドライン

スイッチは、パケットに IPv4 ACL を適用すると、ACL 内のすべてのルールに対してパケットを評価します。スイッチで、パケットが条件に一致した最初のルールが施行されます。複数のルールの条件と一致する場合は、スイッチはシーケンス番号が最も低いルールを施行します。

送信元と宛先

source 引数および destination 引数は、次のいずれかの方法で指定できます。各ルールでは、これらの引数の 1 つを指定する際に使用した方法が、他の引数の指定方法に影響を与えることはありません。ルールの設定時に使用できる source 引数および destination 引数の指定方法は、次のとおりです。

• アドレスおよびネットワーク ワイルドカード：IPv4 アドレスおよびネットワーク ワイルドカードを使用して、送信元または宛先とするホストまたはネットワークを指定できます。構文は次のとおりです。

次に、192.168.67.0 サブネットの IPv4 アドレスおよびネットワーク ワイルドカードを使用して、 source 引数を指定する例を示します。

• アドレスおよび Variable-Length Subnet Mask（VLSM; 可変長サブネット マスク）：IPv4 アドレスおよび VLSM を使用して、送信元または宛先とするホストまたはネットワークを指定できます。構文は次のとおりです。

次に、192.168.67.0 サブネットの IPv4 アドレスおよび VLSM を使用して、 source 引数を指定する例を示します。

• ホスト アドレス： host キーワードおよび IPv4 アドレスを使用して、送信元または宛先とするホストを指定できます。構文は次のとおりです。

この構文は、 IPv4-address /32 および IPv4-address 0.0.0.0 と同じです。

次に、 host キーワードおよび 192.168.67.132 IPv4 アドレスを使用して、 source 引数を指定する例を示します。

• 任意のアドレス： any キーワードを使用して、送信元または宛先として任意の IPv4 アドレスを指定できます。 any キーワードの使用例は、このセクションの例を参照してください。各例に、 any キーワードを使用した送信元または宛先の指定方法が示されています。

ICMP メッセージ タイプ

igmp-message 引数には、0 ～ 255 の整数である ICMP メッセージ番号を指定できます。また、次のいずれかのキーワードを指定できます。

• administratively-prohibited ：管理上の禁止

• alternate-address ：代替アドレス

• conversion-error ：データグラム変換

• dod-host-prohibited ：ホスト禁止

• dod-net-prohibited ：ネット禁止

• echo ：エコー（ping）

• echo-reply ：エコー応答

• general-parameter-problem ：パラメータの問題

• host-isolated ：ホスト分離

• host-precedence-unreachable ：優先順位のホスト到達不能

• host-redirect ：ホスト リダイレクト

• host-tos-redirect ：ToS ホスト リダイレクト

• host-tos-unreachable ：ToS ホスト到達不能

• host-unknown ：ホスト未知

• host-unreachable ：ホスト到達不能

• information-reply ：情報応答

• information-request ：情報要求

• mask-reply ：マスク応答

• mask-request ：マスク要求

• mobile-redirect ：モバイル ホスト リダイレクト

• net-redirect ：ネットワーク リダイレクト

• net-tos-redirect ：ToS ネット リダイレクト

• net-tos-unreachable ：ToS ネット到達不能

• net-unreachable ：ネット到達不能

• network-unknown ：ネットワーク未知

• no-room-for-option ：パラメータが必要だが空きなし

• option-missing ：パラメータが必要だが存在しない

• packet-too-big ：フラグメンテーションが必要、DF 設定

• parameter-problem ：すべてのパラメータの問題

• port-unreachable ：ポート到達不能

• precedence-unreachable ：優先順位カットオフ

• protocol-unreachable ：プロトコル到達不能

• reassembly-timeout ：再構成タイムアウト

• redirect ：すべてのリダイレクト

• router-advertisement ：ルータ ディスカバリ アドバタイズメント

• router-solicitation ：ルータ ディスカバリ要求

• source-quench ：送信元抑制

• source-route-failed ：送信元ルート障害

• time-exceeded ：すべての時間超過メッセージ

• timestamp-reply ：タイム スタンプ付きの応答

• timestamp-request ：タイム スタンプ付きの要求

• traceroute ：トレースルート

• ttl-exceeded ：TTL 超過

• unreachable ：すべての到達不能

TCP ポート名

protocol 引数に tcp を指定した場合、 port 引数として 0 ～ 65535 の整数である TCP ポート番号を指定できます。また、次のいずれかのキーワードを指定できます。

• bgp ：Border Gateway Protocol（BGP; ボーダー ゲートウェイ プロトコル）（179）

• chargen ：キャラクタ ジェネレータ（19）

• cmd ：リモート コマンド（rcmd、514）

• daytime ：デイタイム（13）

• discard ：廃棄（9）

• domain ：Domain Name Service（DNS; ドメイン ネーム サービス）（53）

• drip ：Dynamic Routing Information Protocol（DRIP; ダイナミック ルーティング情報プロトコル）（3949）

• echo ：エコー（7）

• exec ：EXEC（rsh、512）

• finger ：フィンガー（79）

• ftp ：File Transfer Protocol（FTP; ファイル転送プロトコル）（21）

• ftp-data ：FTP データ接続（2）

• gopher ：Gopher（7）

• hostname ：NIC ホストネーム サーバ（11）

• ident ：Ident プロトコル（113）

• irc ：Internet Relay Chat（IRC; インターネット リレー チャット）（194）

• klogin ：Kerberos ログイン（543）

• kshell ：Kerberos シェル（544）

• login ：ログイン（rlogin、513）

• lpd ：プリンタ サービス（515）

• nntp ：Network News Transport Protocol（NNTP）（119）

• pim-auto-rp ：PIM Auto-RP（496）

• pop2 ：Post Office Protocol v2（POP2）（19）

• pop3 ：Post Office Protocol v3（POP3）（11）

• smtp ：Simple Mail Transport Protocol（SMTP; シンプル メール転送プロトコル）（25）

• sunrpc ：Sun Remote Procedure Call（RPC; リモート プロシージャ コール）（111）

• tacacs ：TAC Access Control System（49）

• talk ：Talk（517）

• telnet ：Telnet（23）

• time ：Time（37）

• uucp ：UNIX-to-UNIX Copy Program（UUCP; UNIX 間コピー プログラム）（54）

• whois ：WHOIS/NICNAME（43）

• www ：World Wide Web（HTTP、8）

UDP ポート名

protocol 引数に udp を指定した場合、 port 引数として 0 ～ 65535 の整数である UDP ポート番号を指定できます。また、次のいずれかのキーワードを指定できます。

• biff ：BIFF（メール通知、comsat、512）

• bootpc ：Bootstrap Protocol（BOOTP; ブートストラップ プロトコル）クライアント（68）

• bootps ：ブートストラップ プロトコル（BOOTP）サーバ（67）

• discard ：廃棄（9）

• dnsix ：DNSIX セキュリティ プロトコル監査（195）

• domain ：Domain Name Service（DNS; ドメイン ネーム サービス）（53）

• echo ：エコー（7）

• isakmp ：Internet Security Association and Key Management Protocol（ISAKMP）（5）

• mobile-ip ：モバイル IP レジストレーション（434）

• nameserver ：IEN116 ネーム サービス（旧式、42）

• netbios-dgm ：NetBIOS データグラム サービス（138）

• netbios-ns ：NetBIOS ネーム サービス（137）

• netbios-ss ：NetBIOS セッション サービス（139）

• non500-isakmp ：Internet Security Association and Key Management Protocol（ISAKMP）（45）

• ntp ：Network Time Protocol（NTP; ネットワーク タイム プロトコル）（123）

• pim-auto-rp ：PIM Auto-RP（496）

• rip ：Routing Information Protocol（RIP）（ルータ、in.routed、52）

• snmp ：Simple Network Management Protocol（SNMP; 簡易ネットワーク管理プロトコル）（161）

• snmptrap ：SNMP トラップ（162）

• sunrpc ：Sun Remote Procedure Call（RPC; リモート プロシージャ コール）（111）

• syslog ：システム ロギング（514）

• tacacs ：TAC Access Control System（49）

• talk ：Talk（517）

• tftp ：Trivial File Transfer Protocol（TFTP; 簡易ファイル転送プロトコル）（69）

• time ：Time（37）

• who ：Who サービス（rwho、513）

• xdmcp ：X Display Manager Control Protocol（XDMCP）（177）

例

次に、10.23.0.0 および 192.168.37.0 ネットワークから 10.176.0.0 ネットワークへのすべての TCP と UDP のトラフィックを拒否するルール、およびその他のすべての IPv4 トラフィックを許可する最後のルールを持つ、acl-lab-01 という名前の IPv4 ACL を設定する例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

なし

 

コマンド履歴

 

使用上のガイドライン

新しく作成した IPv6 ACL には、ルールは含まれていません。

デバイスは、パケットに IPv6 ACL を適用すると、ACL 内のすべてのルールに対してパケットを評価します。デバイスで、パケットが条件に一致した最初のルールが施行されます。複数のルールの条件と一致する場合は、デバイスはシーケンス番号が最も低いルールを施行します。

送信元と宛先

source 引数および destination 引数は、次のいずれかの方法で指定できます。どのルールも、1 つの引数の指定方法によって、他の引数の指定方法が決まることはありません。ルールの設定時に使用できる source 引数および destination 引数の指定方法は、次のとおりです。

• アドレスおよび Variable-Length Subnet Mask（VLSM; 可変長サブネット マスク）：IPv6 アドレスおよび VLSM を使用して、送信元または宛先とするホストまたはネットワークを指定できます。構文は次のとおりです。

次に、2001:0db8:85a3:: ネットワークの IPv6 アドレスおよび VLSM を使用して、 source 引数を指定する例を示します。

• ホスト アドレス： host キーワードおよび IPv6 アドレスを使用して、送信元または宛先とするホストを指定できます。構文は次のとおりです。

この構文は、 IPv6-address /128 と同じです。

次に、 host キーワードおよび 2001:0db8:85a3:08d3:1319:8a2e:0370:7344 IPv6 アドレスを使用して、 source 引数を指定する例を示します。

• 任意のアドレス： any キーワードを使用して、送信元または宛先として任意の IPv6 アドレスを指定できます。 any キーワードの使用例は、このセクションの例を参照してください。各例に、 any キーワードを使用した送信元または宛先の指定方法が示されています。

ICMPv6 メッセージ タイプ

igmp-message 引数には、0 ～ 255 の整数である ICMPv6 メッセージ番号を指定できます。また、次のいずれかのキーワードを指定できます。

• beyond-scope ：範囲外の宛先

• destination-unreachable ：宛先アドレスに到達不能

• echo-reply ：エコー応答

• echo-request ：エコー要求（ping）

• header ：パラメータ ヘッダーの問題

• hop-limit ：中継時にホップ制限を超過

• mld-query ：マルチキャスト リスナー ディスカバリ クエリー

• mld-reduction ：マルチキャスト リスナー ディスカバリ リダクション

• mld-reduction ：マルチキャスト リスナー ディスカバリ レポート

• nd-na ：ネイバー探索のネイバー アドバタイズメント

• nd-ns ：ネイバー探索のネイバー送信要求

• next-header ：パラメータの次のヘッダーの問題

• no-admin ：管理者が宛先を禁止

• no-route ：宛先へのルートなし

• packet-too-big ：パケット サイズ超過

• parameter-option ：パラメータ オプションの問題

• parameter-problem ：すべてのパラメータの問題

• port-unreachable ：ポート到達不能

• reassembly-timeout ：再構成タイムアウト

• redirect ：ネイバーのリダイレクト

• renum-command ：ルータの番号付けコマンド

• renum-result ：ルータの番号付けの結果

• renum-seq-number ：ルータの番号付けのシーケンス番号リセット

• router-advertisement ：ネイバー探索のルータ アドバタイズメント

• router-renumbering ：すべてのルータの再番号付け

• router-solicitation ：ネイバー探索のルータ送信要求

• time-exceeded ：すべてのタイム超過メッセージ

• unreachable ：すべての到達不能

TCP ポート名

protocol 引数に tcp を指定した場合、 port 引数として 0 ～ 65535 の整数である TCP ポート番号を指定できます。また、次のいずれかのキーワードを指定できます。

• bgp ：Border Gateway Protocol（BGP; ボーダー ゲートウェイ プロトコル）（179）

• chargen ：キャラクタ ジェネレータ（19）

• cmd ：リモート コマンド（rcmd、514）

• daytime ：デイタイム（13）

• discard ：廃棄（9）

• domain ：Domain Name Service（DNS; ドメイン ネーム サービス）（53）

• drip ：Dynamic Routing Information Protocol（DRIP; ダイナミック ルーティング情報プロトコル）（3949）

• echo ：エコー（7）

• exec ：Exec（rsh、512）

• finger ：フィンガー（79）

• ftp ：File Transfer Protocol（FTP; ファイル転送プロトコル）（21）

• ftp-data ：FTP データ接続（2）

• gopher ：Gopher（7）

• hostname ：NIC ホストネーム サーバ（11）

• ident ：Ident プロトコル（113）

• irc ：Internet Relay Chat（IRC; インターネット リレー チャット）（194）

• klogin ：Kerberos ログイン（543）

• kshell ：Kerberos シェル（544）

• login ：ログイン（rlogin、513）

• lpd ：プリンタ サービス（515）

• nntp ：Network News Transport Protocol（NNTP）（119）

• pim-auto-rp ：PIM Auto-RP（496）

• pop2 ：Post Office Protocol v2（POP2）（19）

• pop3 ：Post Office Protocol v3（POP3）（11）

• smtp ：Simple Mail Transport Protocol（SMTP; シンプル メール転送プロトコル）（25）

• sunrpc ：Sun Remote Procedure Call（RPC; リモート プロシージャ コール）（111）

• tacacs ：TAC Access Control System（49）

• talk ：Talk（517）

• telnet ：Telnet（23）

• time ：Time（37）

• uucp ：UNIX-to-UNIX Copy Program（UUCP; UNIX 間コピー プログラム）（54）

• whois ：WHOIS/NICNAME（43）

• www ：World Wide Web（HTTP、8）

UDP ポート名

protocol 引数に udp を指定した場合、 port 引数として 0 ～ 65535 の整数である UDP ポート番号を指定できます。また、次のいずれかのキーワードを指定できます。

• biff ：BIFF（メール通知、comsat、512）

• bootpc ：Bootstrap Protocol（BOOTP; ブートストラップ プロトコル）クライアント（68）

• bootps ：ブートストラップ プロトコル（BOOTP）サーバ（67）

• discard ：廃棄（9）

• dnsix ：DNSIX セキュリティ プロトコル監査（195）

• domain ：Domain Name Service（DNS; ドメイン ネーム サービス）（53）

• echo ：エコー（7）

• isakmp ：Internet Security Association and Key Management Protocol（ISAKMP）（5）

• mobile-ip ：モバイル IP レジストレーション（434）

• nameserver ：IEN116 ネーム サービス（旧式、42）

• netbios-dgm ：NetBIOS データグラム サービス（138）

• netbios-ns ：NetBIOS ネーム サービス（137）

• netbios-ss ：NetBIOS セッション サービス（139）

• non500-isakmp ：Internet Security Association and Key Management Protocol（ISAKMP）（45）

• ntp ：Network Time Protocol（NTP; ネットワーク タイム プロトコル）（123）

• pim-auto-rp ：PIM Auto-RP（496）

• rip ：Routing Information Protocol（RIP）（ルータ、in.routed、52）

• snmp ：Simple Network Management Protocol（SNMP; 簡易ネットワーク管理プロトコル）（161）

• snmptrap ：SNMP トラップ（162）

• sunrpc ：Sun Remote Procedure Call（RPC; リモート プロシージャ コール）（111）

• syslog ：システム ロギング（514）

• tacacs ：TAC Access Control System（49）

• talk ：Talk（517）

• tftp ：Trivial File Transfer Protocol（TFTP; 簡易ファイル転送プロトコル）（69）

• time ：Time（37）

• who ：Who サービス（rwho、513）

• xdmcp ：X Display Manager Control Protocol（XDMCP）（177）

例

次に、acl-lab13-ipv6 という IPv6 ACL を作成し、2001:0db8:85a3:: ネットワークおよび 2001:0db8:69f2:: ネットワークから 2001:0db8:be03:2112:: ネットワークへのすべての TCP トラフィックおよび UDP トラフィックを拒否するルールを設定する例を示します。

次に、ipv6-eng-to-marketing という IPv6 ACL を作成し、eng_ipv6 という IPv6 アドレス オブジェクト グループから marketing_group という IPv6 アドレス オブジェクト グループへのすべての IPv6 トラフィックを拒否するルールを設定する例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

新しく作成した MAC ACL には、ルールは含まれていません。

シーケンス番号を指定しない場合は、スイッチによって ACL の最後のルールのシーケンス番号よりも 10 大きい番号がルールに割り当てられます。

 

コマンド履歴

 

使用上のガイドライン

スイッチは、パケットに MAC ACL を適用すると、ACL 内のすべてのルールに対してパケットを評価します。スイッチで、パケットが条件に一致した最初のルールが施行されます。複数のルールの条件と一致する場合は、スイッチはシーケンス番号が最も低いルールを施行します。

送信元と宛先

source 引数および destination 引数は、次のいずれかの方法で指定できます。各ルールでは、これらの引数の 1 つを指定する際に使用した方法が、他の引数の指定方法に影響を与えることはありません。ルールの設定時に使用できる source 引数および destination 引数の指定方法は、次のとおりです。

• アドレスおよびマスク：MAC アドレスの後にマスクを指定して、1 つのアドレスまたはアドレス グループを指定できます。構文は次のとおりです。

次に、MAC アドレス 00c0.4f03.0a72 を持つ source 引数を指定する例を示します。

次に、 destination 引数に、MAC ベンダー コードが 00603e のすべてのホストの MAC アドレスを指定する例を示します。

• 任意のアドレス： any キーワードを使用して、送信元または宛先として任意の MAC アドレスを指定できます。 any キーワードの使用例は、このセクションの例を参照してください。各例に、 any キーワードを使用した送信元または宛先の指定方法が示されています。

MAC プロトコル

protocol 引数には、MAC プロトコルの番号またはキーワードを指定します。プロトコル番号は、先頭に 0x が付く 4 バイトの 16 進数です。有効なプロトコル番号は 0x0 ～ 0xffff です。有効なキーワードは、次のとおりです。

• aarp ：Appletalk ARP（0x80f3）

• appletalk ：Appletalk（0x809b）

• decnet-iv ：DECnet Phase IV（0x6003）

• diagnostic ：DEC 診断プロトコル（0x6005）

• etype-6000 ：Ethertype 0x6000（0x6000）

• etype-8042 ：Ethertype 0x8042（0x8042）

• ip ：インターネット プロトコル v4（0x0800）

• lat ：DEC LAT（0x6004）

• lavc-sca ：DEC LAVC、SCA（0x6007）

• mop-console ：DEC MOP リモート コンソール（0x6002）

• mop-dump ：DEC MOP ダンプ（0x6001）

• vines-echo ：VINES エコー（0x0baf）

例

次に、2 つの MAC アドレス グループ間で非 IPv4 トラフィックを許可するルールが含まれる mac-ip-filter という名前の MAC ACL を設定する例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

なし

 

コマンド履歴

 

使用上のガイドライン

ユーザ ロールの説明テキストには、空白スペースを使用できます。

例

次に、ユーザ ロールの説明を設定する例を示します。

次に、ユーザ ロールから説明を削除する例を示します。

 

関連コマンド