ﾚｽ
元ﾄﾋﾟ次ﾚｽ
ﾀｲﾄﾙ
Re: 問題ID:17954
ﾌｫｰﾗﾑ
最強WEB問題集CCNP SWITCH
投稿ﾕｰｻﾞ(投稿日)
(2016/11/25)
本文

-----引用(始)-----

問題ID:17954について､お問い合わせになります｡

CatA(config-ext-nacl)#permit ip host 192.168.2.2 192.168.2.0 0.0.0.255

上記の構文について､permit文ですが､許可しないｱﾄﾞﾚｽの範囲になるのでしょうか｡
許可をしないｱﾄﾞﾚｽであったとしましても､何故denyではなく､permitなのでしょうか｡

-----引用(終)-----

設問を見ましたが､VLANｱｸｾｽﾏｯﾌﾟですね｡
ﾙｰﾄﾏｯﾌﾟやVLANｱｸｾｽﾏｯﾌﾟでは､対象となるﾄﾗﾌｨｯｸに､特定の動作をするよう指定します｡ご質問のｱｸｾｽﾘｽﾄは上記の｢対象となるﾄﾗﾌｨｯｸ｣を特定するためのものです｡

ここで､条件指定の仕方について考えると
･一部のものを対象(それ以外は対象外)とする
･一部を例外とし､それ以外を対象とする
というﾊﾟﾀｰﾝが思い浮かびます｡

ｱｸｾｽﾘｽﾄで表現すると､前者は
[code]
access-list 1 permit 一部のもの
[/code]
となります｡それ以外の対象外のものは暗黙のdenyによってｱｸｾｽﾘｽﾄにﾏｯﾁしなくなりますので｡
後者は
[code]
access-list 2 deny 一部のもの
access-list 2 permit any
[/code]
となります｡一部のものをdenyによって｢このｱｸｾｽﾘｽﾄの対象外｣とし､それ以外(全て)をpermitでﾏｯﾁする対象としています｡

そう考えると､CCNAﾚﾍﾞﾙで時々ある誤解に行き着くかと思います｡それは
｢ｱｸｾｽﾘｽﾄはｾｷｭﾘﾃｨのためのものであり､denyされたものは通信できない｣
と言うものです｡

しかし､少し上でも触れましたが｢ｱｸｾｽﾘｽﾄは対象となるﾄﾗﾌｨｯｸを特定する｣ものです｡その特定したﾄﾗﾌｨｯｸに対して何をするかで挙動がかわるだけです｡
ｲﾝﾀｰﾌｪｰｽに適用する ip access-group ｺﾏﾝﾄﾞは｢ﾏｯﾁしたﾄﾗﾌｨｯｸだけを通す｣ｺﾏﾝﾄﾞですし､ｺﾝｿｰﾙ接続を制御するaccess-classもそうです｡また､VLANｱｸｾｽﾏｯﾌﾟやﾙｰﾄﾏｯﾌﾟなど､｢ﾏｯﾁしたものに､何かを施す｣のときに使うことを考えると､対象とするｱｸｾｽﾘｽﾄの中でのpermit/denyは｢ｱｸｾｽﾘｽﾄにﾏｯﾁするﾄﾗﾌｨｯｸの指定｣方法でしかありません｡

結局は､｢ﾏｯﾁしたﾄﾗﾌｨｯｸをdropするかどうか決めるのはｱｸｾｽﾘｽﾄではなくその適用先｣なんですね :-)

ﾚｽ一覧

元ﾄﾋﾟ次ﾚｽ

Ping-tﾓﾊﾞｲﾙTOP

Copyright (c) 2010
Ping-t All rights reserved.