CCNAを勉強していると、「標準ACLと拡張ACLは何が違うの？」と迷いやすいですよね。
大きな違いは、通信を許可・拒否するときに指定できる条件の細かさです。
標準ACLは、送信元IPアドレスをもとに通信を制御します。
一方、拡張ACLは送信元・宛先IPアドレスに加えて、TCP・UDPなどのプロトコルやポート番号まで指定できます。
この記事では、標準ACLと拡張ACLの違いから使い分け、CCNAで覚えておきたい配置場所まで初心者向けに整理します。
ACLそのものの仕組みから確認したい方は、先に「ACLとは？ネットワーク通信を制御する仕組みを初心者向けに解説」を読むと理解しやすくなります。
ACLには2種類ある
ACL（Access Control List）には、大きく分けて次の2種類があります。
- 標準ACL
- 拡張ACL
大きな違いは、どこまで条件を細かく指定して通信を制御できるかです。
| 項目 | 標準ACL | 拡張ACL |
|---|---|---|
| 送信元IPアドレス | 〇 | 〇 |
| 宛先IPアドレス | × | 〇 |
| TCP・UDPなど | × | 〇 |
| ポート番号 | × | 〇 |
| 細かな制御 | × | 〇 |
ざっくり覚えるなら、
標準ACL → 送信元IPアドレスを見て制御する
拡張ACL → 送信元・宛先・プロトコル・ポート番号などを見て細かく制御する
という違いです。
標準ACLとは？
標準ACLは、送信元IPアドレスをもとに通信を許可・拒否するACLです。
例えば、
192.168.1.10からの通信なら許可
それ以外は拒否といった制御ができます。
一方で、標準ACLでは宛先IPアドレスやTCP・UDP、ポート番号などを条件にして細かく通信を分けることはできません。
そのため、「このPCから来た通信を許可したい」といった、比較的シンプルなアクセス制御に向いています。
拡張ACLとは？
拡張ACLでは送信元IPアドレスだけでなく、次のような情報も条件にして通信を制御できます。
- 宛先IPアドレス
- TCP・UDPなどのプロトコル
- ポート番号
例えば、
- Web通信だけ許可する
- SSHだけ許可する
- FTPは禁止する
- 特定のPCから特定のサーバーへの通信だけ許可する
といった、標準ACLより細かな制御が可能です。
「どこから来た通信なのか」だけでなく、どこへ向かうのか・どの種類の通信なのかまで見て判断できるのが拡張ACLの特徴です。
標準ACLと拡張ACLはどう使い分ける？
標準ACLが向いている場合
- 特定の送信元からの通信を許可・拒否したい
- シンプルなアクセス制御をしたい
- 宛先やサービスごとに細かく分ける必要がない
拡張ACLが向いている場合
- Web通信だけ許可したい
- SSHだけ許可したい
- FTPは禁止したい
- 特定の宛先への通信だけ制御したい
- サービスや通信の種類ごとに細かく制御したい
送信元だけで判断できるなら標準ACL、宛先や通信の種類まで指定したいなら拡張ACLと考えると、違いを整理しやすくなります。
なぜ標準ACLと拡張ACLで配置場所が違うの？
CCNAでは、ACLをどこに配置するかも重要です。
- 標準ACL → 宛先に近い場所
- 拡張ACL → 送信元に近い場所
標準ACLは宛先の近く
標準ACLは、送信元IPアドレスをもとに通信を制御します。
宛先やサービスまでは細かく指定できないため、送信元の近くで通信を遮断すると、本来は別の宛先へ届けたい通信まで止めてしまう可能性があります。
そのため、必要な通信まで巻き込まないよう、基本的には宛先に近い場所へ配置します。
拡張ACLは送信元の近く
拡張ACLは、送信元だけでなく宛先やプロトコル、ポート番号などを細かく指定できます。
不要な通信だと判断できるなら、わざわざネットワークの奥まで流す必要はありません。
そのため、基本的には送信元に近い場所へ配置し、不要な通信を早い段階で止めます。
CCNAでは、「標準ACL → 宛先の近く」「拡張ACL → 送信元の近く」とセットで覚えておきましょう。
ACLではワイルドカードマスクも使う
ACLを実際に設定すると、IPアドレスと一緒にワイルドカードマスクが登場します。
サブネットマスクと見た目が似ているため、最初は混乱しやすいポイントです。
「0と255は何を意味するの？」となった場合は、「ワイルドカードマスクとは？サブネットマスクとの違いも解説」で詳しく整理しています。
CCNA試験で覚えたいポイント
- 標準ACLは送信元IPアドレスをもとに制御する
- 拡張ACLは送信元・宛先IPアドレスなどを指定できる
- 拡張ACLではTCP・UDPやポート番号も条件にできる
- 標準ACLは基本的に宛先に近い場所へ配置する
- 拡張ACLは基本的に送信元に近い場所へ配置する
特に、「標準＝送信元」「拡張＝より細かく指定」と、「標準＝宛先寄り」「拡張＝送信元寄り」の2セットを整理しておくと覚えやすくなります。
Packet Tracerで実際にACLを設定してみる
違いを覚えたら、実際にACLを設定して通信がどう変化するか確認すると理解しやすくなります。
Packet Tracerを使った設定手順は「Packet TracerでACLを設定して通信を制御してみた」で紹介しています。
ACLを設定する → pingなどで通信を確認する → ACLによって通信が止まることを確認すると実際に動かしてみるのがおすすめです。
まとめ
標準ACLと拡張ACLの大きな違いは、通信を制御するときに指定できる条件の細かさです。
| 標準ACL | 拡張ACL |
|---|---|
| 送信元IPアドレスをもとに制御 | 送信元・宛先などを指定可能 |
| シンプルな制御向け | 細かな制御向け |
| 基本的に宛先に近く配置 | 基本的に送信元に近く配置 |
まずは、「標準ACLは送信元IPアドレスをもとに判断する。拡張ACLは宛先やプロトコル、ポート番号まで細かく指定できる」という違いを押さえておきましょう。
ACLそのものがまだ曖昧な場合は「ACLとは？」、実際の設定を試したい場合は「Packet TracerでACLを設定して通信を制御してみた」へ進むと、順番に理解できます。
コメント