CiscoスイッチでのACL設定によるVLAN間通信制限

VLAN間ルーティングを有効化すると、すべてのVLAN間で通信が可能になります。しかし、セキュリティやポリシー上の理由から特定VLAN間の通信を制限したいケースは多くあります。たとえば「業務用VLANからゲストVLANへのアクセスは禁止」「開発環境から本番環境への通信は遮断」といった要件です。

その際に活用できるのがACL（アクセス制御リスト）です。本記事では、ACLの種類・VLAN間制限の設定例・適用方向の考え方・確認方法・運用変更時の安全な手順まで、現場目線で解説します。

ACLの種類と使い分け

Cisco IOSのACLには大きく2種類があります。VLAN間制御では拡張ACLを使います。

設定例：VLAN 10からVLAN 20への通信を拒否

構成

ACL作成と適用コマンド

Switch# configure terminal

! 名前付き拡張ACLを作成
Switch(config)# ip access-list extended VLAN10_TO_VLAN20_DENY

! VLAN 10 → VLAN 20 の全通信を拒否（sequence 10）
Switch(config-ext-nacl)# 10 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255

! その他の通信はすべて許可（sequence 20）
Switch(config-ext-nacl)# 20 permit ip any any
Switch(config-ext-nacl)# exit

! VLAN 10のSVIにACLを適用（in方向：VLAN 10から来るトラフィックに適用）
Switch(config)# interface Vlan10
Switch(config-if)# ip access-group VLAN10_TO_VLAN20_DENY in
Switch(config-if)# exit

Switch(config)# end
Switch# copy running-config startup-config

特定ポートのみ拒否する例（応用）

拡張ACLを使えばポートレベルの細かい制御も可能です。「RDP（3389番）のみ拒否」「HTTPSは許可してHTTPは拒否」などの設定ができます。

! 例：VLAN 10からVLAN 20へのRDP（TCP 3389）のみ拒否、その他は許可
ip access-list extended VLAN10_RESTRICT
 10 deny tcp 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 eq 3389
 20 permit ip any any

! 例：VLAN 10からVLAN 20へのHTTP（TCP 80）を拒否、HTTPS（443）は許可
ip access-list extended VLAN10_HTTP_DENY
 10 deny tcp 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 eq 80
 20 permit ip any any

ACL適用の方向（in/out）

ACLをSVIに適用する際、inかoutかの選択は重要です。

確認コマンド

! ACLの内容とヒットカウントの確認
Switch# show access-lists VLAN10_TO_VLAN20_DENY

! SVIへのACL適用状況の確認
Switch# show ip interface Vlan10

! 全ACLの確認
Switch# show ip access-lists

（show access-listsの出力例）
Extended IP access list VLAN10_TO_VLAN20_DENY
    10 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 (15 matches)
    20 permit ip any any (238 matches)

! 「matches」の数でトラフィックがヒットしているか確認できる
! 拒否ルールのmatchesが増えていれば、ACLが正しく機能している証拠

動作検証

ACL設定後は以下の手順で正しく機能しているか確認します。

ACL変更時の安全な手順

適用中のACLを変更する際は、設定ミスによる通信断リスクを最小化する手順が重要です。

方法1：インターフェースからACLを外して変更する（推奨）

! ① インターフェースからACLを解除（この間は全通信が通る状態になる）
Switch(config)# interface Vlan10
Switch(config-if)# no ip access-group VLAN10_TO_VLAN20_DENY in
Switch(config-if)# exit

! ② ACLを修正
Switch(config)# ip access-list extended VLAN10_TO_VLAN20_DENY
Switch(config-ext-nacl)# no 10                            ← 既存のsequence 10を削除
Switch(config-ext-nacl)# 10 deny tcp 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 eq 80
Switch(config-ext-nacl)# exit

! ③ 修正したACLを再適用
Switch(config)# interface Vlan10
Switch(config-if)# ip access-group VLAN10_TO_VLAN20_DENY in

方法2：sequence番号を使って特定ルールだけ変更する

名前付きACLではsequence番号を使って特定の行だけ削除・追加できます。インターフェースからACLを外さずに変更できるため、影響を最小化できます。

! 現在のACL（sequence 10のdenyルールを変更したい）
Switch# show access-lists VLAN10_TO_VLAN20_DENY
Extended IP access list VLAN10_TO_VLAN20_DENY
    10 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
    20 permit ip any any

! sequence 10を削除して新しいルールを挿入
Switch(config)# ip access-list extended VLAN10_TO_VLAN20_DENY
Switch(config-ext-nacl)# no 10
Switch(config-ext-nacl)# 10 deny tcp 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 eq 3389
Switch(config-ext-nacl)# exit

運用上の注意点まとめ