ACL（アクセスリスト）とは ― ワイルドカードマスク

ACLとは、ルータなどの機器に設定するルールの一覧で、どの通信を許可し、どの通信を拒否するかを決めます。正式名はアクセスコントロールリスト（Access Control List）で、短くアクセスリストと呼ぶこともあります。

考え方は、ファイアウォールの記事で説明したパケットフィルタリングと同じです。ルータを通過するパケットを、IPアドレスやポート番号などのルールと照合し、通してよいかどうかを判断します。専用のファイアウォール機器がなくても、ルータの設定だけで近いことができます。

ルータは、ACLを書いた順番どおりに照合します。順番を間違えると、通したい通信まで止まります。このあと、照合の順番とワイルドカードマスクの読み方を例で説明します。

ACLには、通信を許可または拒否するルールを、1行ずつ順番に並べます。ルータに届いたパケットは、1行目から順にこのルールと照合されます。

最初に一致した行の動作が、そのまま適用されます。一致した時点で照合は止まり、それより下の行は見ません。

どの行にも一致しなかった通信は、最後に拒否されます。このルールを暗黙の拒否と呼びます。ファイアウォールの記事で説明した暗黙の拒否と、同じ考え方です。

下には、インバウンド用とアウトバウンド用、2つのACLがあります。向きの意味は、この後の節で説明します。5つのパケットを選んで、どちらのACLのどの行で止まるかを確かめられます。

P5に注目してください。社内PCが外部のWebサイトを見にいく通信（TCPの80番）です。アウトバウンドACLには、外部への問い合わせ（UDPの53番）を許可する行しかありません。そのため、P5はどの行にも一致せず、暗黙の拒否で止まります。

ファイアウォールの記事で説明したステートフルインスペクションのように通信の状態を記録する機能は、ここで扱う標準ACLと拡張ACLにはありません。そのため、許可したい通信は、行として書いた分しか通りません。

たとえば、P3の問い合わせは外へ出られます。しかし、DNSサーバからの応答はGi0/0に到着するので、インバウンドACLで照合されます。インバウンドACLには応答を許可する行がないため、応答は暗黙の拒否で止まります。

ACLには、標準ACLと拡張ACLの2種類があります。違いは、照合する項目の数です。

標準ACLは、送信元IPアドレスだけを見ます。宛先やポート番号は見ません。

さきほどのデモで使ったACLは、拡張ACLにあたります。宛先IPアドレスと宛先ポート番号まで指定しているためです。

Ciscoのルータでは、ACLに番号を付けて作れます。番号の範囲で、標準か拡張かが決まります。標準ACLは1〜99と1300〜1999、拡張ACLは100〜199と2000〜2699です。番号の代わりに名前で作るACLもあり、名前付きACLと呼びます。

ACLをどこに置くかには、一般的な目安があります。標準ACLは、宛先の近くに置きます。送信元しか見ないため、送信元の近くに置くと、ほかの宛先への通信まで止めてしまうからです。

拡張ACLは、送信元の近くに置きます。宛先まで指定できるので、止めたい通信だけを、ネットワークの中を流れる前に捨てられます。

ワイルドカードマスクとは、IPアドレスのどのビットを照合するかを示す32ビットの値です。CiscoのルータなどのACLで、送信元や宛先のIPアドレスを指定するときに使います。0は照合するビット、1は照合しないビットを表します。

サブネットマスクの記事で説明したANDの考え方と、0と1の意味が逆になっています。サブネットマスクは、1がネットワーク部を、0がホスト部を表しました。ワイルドカードマスクは逆に、0が照合するビットを、1が照合しないビットを表します。

求め方は簡単です。サブネットマスクを8ビットずつに区切った各オクテットを、255から引くだけです。

たとえば255.255.255.192（/26）なら、最後のオクテットは255−192＝63です。残り3つのオクテットは255−255＝0なので、ワイルドカードマスクは0.0.0.63になります。

ACLの行では、IPアドレスとワイルドカードマスクを並べて書きます。書き方によって、対象になるアドレスの範囲が変わります。

デモのアウトバウンドACLにあった192.168.10.0 0.0.0.255は、この書き方です。192.168.10.0から192.168.10.255までの256個のアドレスが対象になります。これは、サブネットマスクの記事で説明した192.168.10.0/24と同じ範囲です。

ACLは、ルータのインターフェースに、インバウンドまたはアウトバウンドのどちらかの向きで設定します。向きによって、照合するタイミングが変わります。

インバウンドACLは、パケットがそのインターフェースに到着した直後に照合します。ルーティングの判断より前です。ここで拒否したパケットは、ルーティングの処理に進みません。

アウトバウンドACLは、ルーティングの判断で出口のインターフェースが決まった後に照合します。そのインターフェースから送り出す直前です。

さきほどのデモでは、外部からの通信（P1・P2・P4）をGi0/0のインバウンドACLで照合しました。社内PCからの通信（P3・P5）は、Gi0/0のアウトバウンドACLで照合しました。同じインターフェースでも、インバウンドとアウトバウンドでは別のルールの一覧を使います。