ASA: ACLの処理順序について

[Taisuke Nakamura]

ACLの処理順序について

各Access Control List(ACL)は、1つ もしくは 2つ以上の 設定行(Access Control Entry(ACE))で構成され、上から順(TOP to BOTTOM)に処理されます。 マッチした行(ACE)があった場合、それ以降の行はチェックしません。 その為、ACL内の各設定行(ACE)の順序は重要です。

マッチした行(ACE)の 各ヒット数は、show access-list コマンドで確認できます。

ACLには、Interface ACLと、Global ACLがあります。 Interface ACLは、指定Interfaceに適用します。 Global ACLは、Globalに適用することで、全てのIngressトラフィックに適用されます。 Interface ACLが優先し処理され、両方にマッチしないパケットは、暗黙のDenyにより破棄されます。

参考情報

Information About Access Lists - CLI Book 1: Cisco ASA Series General Operations CLI Configuration Guide, 9.1
http://www.cisco.com/c/en/us/td/docs/security/asa/asa91/configuration/general/asa_91_general_config/acl_overview.html#pgfId-1077552

ファイアウォール トラブルシューティング
https://community.cisco.com/t5/-/-/ta-p/3161736

Firepower System and FTDトラブルシューティング
https://community.cisco.com/t5/-/-/ta-p/3161733