ACLのin・out方向を判断する方法｜Cisco構成図とconfigで解説

Cisco ACLのinとoutは、ルーターの対象インターフェースにパケットが入るか、出るかで決めます。端末から見た上り・下りや、送信元から宛先への向きだけで判断すると逆になります。

本文では構成図で通信フローとL3入出力を決め、ip access-group ACL-NAME in|outの設定例、show ip interface、ヒットカウンター、許可・拒否試験を一続きで確認します。

この記事はネットワークエンジニア転職完全ガイドの関連テーマです。工程の全体像から確認したい場合はそちらへ。

(出典：筆者のX投稿（X：ACLは条件より先に、適用するインターフェースとin・out方向を見ることが重要だと説明したポスト。）)

ACLのin・outとは？

in／outは端末の上り・下りではなく、ACLを適用するL3インターフェースを基準にしたパケットの向きです。ip access-group WEB-IN inなら、そのインターフェースからルーターへ入るパケットを評価します。outなら、そのインターフェースから外へ出るパケットを評価します。

ACLを定義しただけでは通信に適用されません。ACL名、L3インターフェース（SVIを含む）、in/out、VRFを一組で確認します。

根拠：Cisco IOS XE：ACLのインターフェース適用

ルーター目線で考えるとは？

構成図に「PC → Gi0/1 → ルーター → Gi0/2 → サーバー」と矢印を書きます。PCから出る通信はGi0/1ではin、Gi0/2ではoutです。サーバーからの返信は逆になります。

1. 制御したい通信の送信元・宛先を決める。
2. パケットが通るL3インターフェースを列挙する。
3. 各インターフェースで、機器へ入るか出るかを書き込む。
4. 既存ACL、NATやFWの処理、戻り通信への影響を確認する。

show ip interface Gi0/1のInbound／Outgoing access listで適用状態を確認し、show ip access-listsで該当ACEのカウンターを見ます。機種や転送方式でカウンターの見え方が異なるため、実通信と併せて判断してください。

構成図からACLの適用場所を決める手順は？

送信元から宛先へ通信線を引き、通過するL3インターフェースを順番付けします。各IFでパケットがルーターへ入るならin、ルーターから出るならoutです。変更後は許可通信と拒否通信の両方を試験します。

送信元、宛先、プロトコル、ポートを固定して矢印を引き、対象インターフェースを通過するときの向きを確認してからip access-groupを設定します。

「構成図から適用場所を決める手順」では、要件をいきなり設定へ置き換えず、対象、方向、入力値、期待出力を中間表にします。設計上の要点は次のとおりです。同じ通信でも適用インターフェースを変えると方向表現が変わる。

投入前に「ルール順序・適用IF・NAT前後をレビュー」を行い、インターフェースと既存設定の干渉をレビューします。例としてPCからサーバーへ向かう通信をGi0/1で受けるならGi0/1 in、Gi0/2から送るならGi0/2 outです。矢印を構成図に描き、機器目線へ変換してから設定を書きます。 この条件を手順書と試験表にも引き継ぎます。

投入後は該当するshowコマンドの出力やパケットキャプチャだけで完了にせず、実通信、カウンター、ログのいずれかで裏付けます。標準ACLは送信元だけを見るため一般に宛先寄りへ置く。 戻せる設定差分と中止条件も同時に用意します。

標準ACLと拡張ACLはどこに配置する？

標準ACLは送信元IPだけを識別するため、必要な通信まで広く止めないよう一般に宛先寄りへ配置します。拡張ACLは送信元・宛先・プロトコル・ポートを識別できるため一般に送信元寄りへ置きますが、既存構成、処理負荷、運用方針を含めて決めます。

ip access-list extended WEB-IN
 permit tcp 10.0.0.0 0.0.0.255 host 192.0.2.10 eq 443
 deny ip any any log
interface GigabitEthernet0/1
 ip access-group WEB-IN in
show ip interface GigabitEthernet0/1

ip access-group設定の具体例は？

Cisco IOSでは、ACLを定義した後、対象L3インターフェースでip access-group ACL名 inまたはoutを指定します。ACL本文だけでなく、適用インターフェース、方向、既存ACLの置換有無を一組でレビューしてください。

投入前に「カウンター・セッション・ログ・サーバー応答を照合」を行い、宛先と既存設定の干渉をレビューします。例としてPCからサーバーへ向かう通信をGi0/1で受けるならGi0/1 in、Gi0/2から送るならGi0/2 outです。矢印を構成図に描き、機器目線へ変換してから設定を書きます。 この条件を手順書と試験表にも引き継ぎます。

投入後はip access-group WEB-IN inだけで完了にせず、実通信、カウンター、ログのいずれかで裏付けます。inは対象インターフェースから機器内部へ入る通信。 戻せる設定差分と中止条件も同時に用意します。

show ip interfaceでACLの適用方向をどう確認する？

show ip interface INTERFACEのInbound access listとOutgoing access listで、ACL名と方向を確認します。さらにshow access-listsでACEの順序とヒットカウンターを見て、想定したパケットが想定した行で評価されたかを判定します。

想定と違っても、その場でclearや設定変更はしません。ACL本文だけでなく適用IF、方向、VRF、既存ACL置換、適用漏れを確認する。 この順序なら、作業前後で同じ条件を比較できます。

適用方向ではどんなミスが起きやすい？

代表的なミスは、端末から見た上り・下りとルーターから見たin・outを混同する、SVIと物理ポートを取り違える、戻り通信を未確認のまま片方向だけ許可することです。show ip interfaceとACLカウンターで実際の適用点を確認します。

現場では「送信元側は必ずinと固定化」という早合点を避け、PCからサーバーへ向かう通信をGi0/1で受けるならGi0/1 in、Gi0/2から送るならGi0/2 outです。矢印を構成図に描き、機器目線へ変換してから設定を書きます。 変更前に対象、取得時刻、直前変更を記録し、再現条件を崩さないことが重要です。

確認は、通信要件と既存ポリシーを保存するところから始めます。show access-lists の出力とパケットキャプチャを並べ、拡張ACLの想定と実際のヒット状況が一致しているかを見ます。同じ通信でも、適用するインターフェースが変われば in と out の表現も変わります。

変更前後はどう試験する？

変更前に既存ACL、適用IF、方向、カウンター、許可通信を保存します。変更後は許可すべき通信、拒否すべき通信、既存通信、戻り通信を同じ送信元から実行し、想定したACEのカウンターとログが増えることを確認します。

関連する記事

• ネットワークのポリシーテストとは？FW・ACLの試験手順
• Pingが通らない原因は？ネットワーク障害の切り分け手順

よくある疑問への答えは？

ACLのin/outは通信の向きではなく対象IFとルーターの関係で判断し、1個のACLは一方向の通信を評価します。反対方向も制御する場合は別途設計し、暗黙の拒否と既存通信への影響を試験します。

適用インターフェースと方向をレビューで確認する

実案件ではACL本文が正しくても、別IFや逆方向へ適用すると通信要件を満たしません。変更レビューではACL名、適用IF、方向、VRF、既存ACLの有無、置換方式を一組で確認し、許可通信と拒否通信の両方を同じ送信元から試験します。

例えば、PCからサーバーへ向かう通信をGi0/1で受けるならGi0/1 in、Gi0/2から送るならGi0/2 outです。矢印を構成図に描き、機器目線へ変換してから設定を書きます。 このとき「show ip interface GigabitEthernet0/1」と「ip access-list extended WEB-IN」を闇雲に取るのではなく、どの仮説を確認する出力かを手順書に書きます。対象と時刻がないログは、後から正常・異常を判断できません。

レビューでは、送信元側は必ずinだと決めつける説明や、製品ごとの処理差を無視した説明を通さないようにします。そのうえで、代わりに何のコマンド出力で確認するかまで決めておきます。ACL本文だけでなく適用IF、方向、VRF、既存ACL置換、適用漏れを確認する。 変更の一部が正常でも業務通信全体が成立するとは限らないため、層の異なる証跡を組み合わせます。

また、同じACLを4方向へ適用した場合の判定差を比較する。 この観点を設計書、設定レビュー、試験仕様、作業手順の各成果物へ通して反映します。個人の経験に閉じず、第三者が同じ順序で再現できる状態にすることが、設計構築案件の品質につながります。

この内容は、設計構築チャンネルの動画でも解説しています。

まとめ：ACLのin・out方向を判断する方法の要点

ACLのin・outは端末の上り・下りではなく、対象インターフェースとルーターの関係で判断します。構成図に通信方向を引き、ACL名、適用IF、in/out、ACE順序、カウンター、許可・拒否・戻り通信を一組で確認してください。

この記事の執筆・監修者

けんと＠設計構築チャンネル

ネットワーク設計構築エンジニア／インフラ転職コンパス編集者

30歳・IT未経験からSIerへ転職。ネットワークエンジニアとして、金融系・オフィス系ネットワークの設計・構築に携わり、PL・PMも経験。自身の未経験転職と現場経験をもとに、仕事内容・技術・キャリア・求人選びをわかりやすく解説しています。

YouTube登録者5,000人 Xフォロワー5,000人

執筆者プロフィール・編集方針