基本的な拡張 ACE では、IPv4 および IPv6 アドレスや、www.example.com などの完全修飾ドメイン名（FQDN）を含む送信元アドレスと宛先アドレスに基づいてトラフィックを照合します。実際、どのタイプの拡張 ACE にも、送信元アドレスと宛先アドレスに関する詳細を含める必要があります。したがって、このトピックでは、最小限の拡張 ACE について説明します。

ヒント	ヒント：FQDN に基づいてトラフィックを照合する場合は、各 FQDN を表すネットワーク オブジェクトを作成する必要があります。

IP アドレスまたは FQDN 照合に使用する ACE を追加するには、次のコマンドを使用します。

access-list access_list_name [line line_number] extended {deny | permit} protocol_argument source_address_argument dest_address_argument [log [[level] [interval secs] | disable | default]] [time-range time_range_name] [inactive]

例：

hostname(config)# access-list ACL_IN extended permit ip any any
hostname(config)# access-list ACL_IN extended permit object service-obj-http any any

次のオプションがあります。

• access_list_name：新規または既存の ACL の名前。

• 行番号：lineline line_number オプションでは、ACE を挿入する位置の行番号を指定します。指定しない場合は、ACL の末尾に追加されます。

• 許可または拒否：deny キーワードを指定すると、条件に一致した場合にパケットが拒否または免除されます。permit キーワードを指定すると、条件に一致した場合にパケットが許可または包含されます。

• プロトコル：protocol_argument では、IP プロトコルを指定します。プロトコルとポートを指定するネットワーク サービス オブジェクトを使用する場合は、この引数で ip を指定します。

  • name または number：プロトコルの名前または番号を指定します。ip を指定すると、すべてのプロトコルに適用されます。

  • object-group protocol_grp_id：object-group protocol コマンドを使用して作成されたプロトコル オブジェクト グループを指定します。

  • object service_obj_id：object service コマンドを使用して作成されたサービス オブジェクトを指定します。オブジェクトには、ポートまたは ICMP タイプとコード仕様を含めることができます（必要に応じて）。

  • object-group service_grp_id：object-group service コマンドを使用して作成されたサービス オブジェクト グループを指定します。

• 送信元アドレス、宛先アドレス：source_address_argument ではパケットの送信元の IP アドレスまたは FQDN を指定し、dest_address_argument ではパケットの送信先の IP アドレスまたは FQDN を指定します。

  • host ip_address：IPv4 ホスト アドレスを指定します。

  • ip_address mask：10.100.10.0 255.255.255.0 などの IPv4 ネットワーク アドレスおよびサブネット マスクを指定します。

  • ipv6-address/prefix-length：IPv6 ホストまたはネットワーク アドレスとプレフィックスを指定します。

  • any、any4、および any6： any は IPv4 と IPv6 トラフィックの両方を指定します。any4 は IPv4 トラフィックのみを指定し、any6 は IPv6 トラフィックのみを指定します。

  • interface interface_name：ASA インターフェイスの名前を指定します。IP アドレスではなくインターフェイス名を使用して、トラフィックの送信元または宛先のインターフェイスに基づいてトラフィックを照合します。

  • object nw_obj_id：object network コマンドを使用して作成されたネットワーク オブジェクトを指定します。

  • object-group nw_grp_id：object-group network コマンドを使用して作成されたネットワーク オブジェクト グループを指定します。

  • object-group-network-service name ：ネットワークサービス オブジェクトの名前を指定します。

• ロギング：log 引数では、ACE がネットワーク アクセス用の接続に一致するとき（access-group コマンドで ACL が適用されます）のロギング オプションを設定します。引数を指定せずに log オプションを入力すると、syslog メッセージ 106100 はデフォルト レベル（6）とデフォルト間隔（300 秒）でイネーブルになります。ログ オプションは次のとおりです。

  • level：0 ～ 7 のシビラティ（重大度）。デフォルトは 6（情報）です。アクティブな ACE に対してこのレベルを変更する場合、新しいレベルは新規接続に適用され、既存の接続は引き続き前のレベルでロギングされます。

  • interval secs：syslog メッセージ間の時間間隔（秒）。1 ～ 600 で指定します。デフォルトは 300 です。この値は、ドロップ統計情報の収集に使用するキャッシュから非アクティブなフローを削除するためのタイムアウト値としても使用されます。

  • disable：すべての ACE ロギングをディセーブルにします。

  • default：拒否されたパケットに関するメッセージ 106023 のロギングをイネーブルにします。この設定は、log オプションを指定しないのと同じです。

• 時間範囲：time-range time_range_name オプションでは、ACE がアクティブになっている時間帯と曜日を決定する時間範囲オブジェクトを指定します。時間範囲を指定しない場合、ACE は常にアクティブです。

• アクティベーション：ACE を削除せずにディセーブルにするには、inactive オプションを使用します。再度イネーブルにするには、inactive キーワードを使用せずに ACE 全体を入力します。

ACE でサービス オブジェクトを指定する場合は、サービス オブジェクトに TCP/80 などのポートが指定されたプロトコルを含めることができます。または、ACE にポートを直接指定できます。ポートベースの照合を使用すると、プロトコルのすべてのトラフィックではなく、ポートベースのプロトコルの特定のタイプのトラフィックを対象にすることができます。

（注）	プロトコルとポートを指定するネットワーク サービス オブジェクトを使用する場合は、このトピックで説明しているとおり、ポートを指定しないでください。オブジェクトに定義されているプロトコル/ポートが一致するように、プロトコルとしてip を指定します。

ポートベースの 拡張 ACE は、プロトコルが tcp 、udp 、または sctp である基本的なアドレス照合 ACE です。ポート仕様を追加するには、次のコマンドを使用します。

access-list access_list_name [line line_number] extended {deny | permit} {tcp | udp | sctp} source_address_argument [port_argument] dest_address_argument [port_argument] [log [[level] [interval secs] | disable | default] [time-range time-range-name] [inactive]

例：

hostname(config)# access-list ACL_IN extended deny tcp any host 209.165.201.29 eq www

port_argument オプションでは、送信元ポートまたは宛先ポートを指定します。ポートを指定しなかった場合は、すべてのポートが照合されます。使用可能な引数は次のとおりです。

• operator port ：port は、整数またはポートの名前にできます。operator には次のいずれかを指定できます。

  • lt：より小さい

  • gt：より大きい

  • eq：等しい

  • neq：等しくない

  • range：値の包括的な範囲。この演算子を使用する場合は、2 つのポート番号を指定します（例：range 100 200）。

  （注）	DNS、Discard、Echo、Ident、NTP、RPC、SUNRPC、および Talk は、それぞれに TCP の定義と UDP の定義の両方が必要です。TACACS+ では、ポート 49 に対して 1 つの TCP 定義が必要です。

• object-group service_grp_id ：object-group service{tcp | udp | tcp-udp} コマンドを使用して作成されたサービス オブジェクト グループを指定します。これらのオブジェクト タイプは推奨されなくなりました。

  ポート引数としてプロトコルおよびポートがオブジェクト内で定義されている場合は、推奨される一般的なサービス オブジェクトは指定できません。IP アドレスまたは完全修飾ドメイン名ベースの照合に使用する拡張 ACE の追加 で説明されているように、これらのオブジェクトはプロトコル引数の一部として指定します。

その他のキーワードの詳細と、サービス オブジェクトを使用してプロトコルおよびポートを指定する方法については、IP アドレスまたは完全修飾ドメイン名ベースの照合に使用する拡張 ACE の追加 を参照してください。

ACE でサービス オブジェクトを指定する場合は、サービス オブジェクトに ICMP/ICMP6 プロトコルの ICMP タイプとコード仕様を含めることができます。または、ACE に ICMP タイプとコードを直接指定できます。たとえば、ICMP エコー要求（ping）トラフィックをターゲットにできます。

ICMP 拡張 ACE は、プロトコルが icmp または icmp6 である基本的なアドレス照合 ACE です。これらのプロトコルにはタイプおよびコード値があるため、ACE にタイプおよびコード仕様を追加できます。

プロトコルが ICMP または ICMP6 である IP アドレスまたは FQDN 照合に使用する ACE を追加するには、次のコマンドを使用します。

access-list access_list_name [line line_number] extended {deny | permit} {icmp | icmp6} source_address_argument dest_address_argument [icmp_argument] [log [[level] [interval secs] | disable | default]] [time-range time_range_name] [inactive]

例：

hostname(config)# access-list abc extended permit icmp any any object-group obj_icmp_1
hostname(config)# access-list abc extended permit icmp any any echo

icmp_argument オプションでは、ICMP のタイプとコードを指定します。

• icmp_type [icmp_code]：ICMP タイプを名前または番号で指定し、そのタイプの ICMP コード（省略可能）を指定します。コードを指定しない場合は、すべてのコードが使用されます。

• object-group icmp_grp_id：（廃止予定）object-group icmp-type コマンドを使用して作成された ICMP/ICMP6 用のオブジェクト グループを指定します。

  ICMP 引数としてプロトコルおよびタイプがオブジェクト内で定義されている場合は、推奨される一般的なサービス オブジェクトは指定できません。IP アドレスまたは完全修飾ドメイン名ベースの照合に使用する拡張 ACE の追加 で説明されているように、これらのオブジェクトはプロトコル引数の一部として指定します。

他のキーワードの説明については、IP アドレスまたは完全修飾ドメイン名ベースの照合に使用する拡張 ACE の追加を参照してください。

ユーザーベースの拡張 ACE は、ユーザー名またはユーザー グループを送信元の一致条件に含める基本的なアドレス照合 ACE です。ユーザー ID に基づくルールを作成すると、ルールがスタティックなホストまたはネットワーク アドレスに縛られるのを回避できます。たとえば、user1 のルールを定義し、アイデンティティ ファイアウォール機能によってそのユーザーがあるホストにマッピングされているとします。さらに、このホストにある日 10.100.10.3 が割り当てられ、その翌日に 192.168.1.5 が割り当てられたとします。この場合でも、ユーザーベースのルールは適用されます。

送信元アドレスと宛先アドレスは引き続き指定する必要があります。そのため、送信元アドレスは、ユーザーに（通常は DHCP 経由で）割り当てられる可能性があるアドレスが含まれるように広く設定してください。たとえば、ユーザー「LOCAL\user1 any」は、割り当てられているアドレスに関係なく LOCAL\user1 ユーザーに一致しますが、「LOCAL\user1 10.100.1.0 255.255.255.0」は、アドレスが 10.100.1.0/24 ネットワーク上にある場合にのみユーザーに一致します。

グループ名を使用すると、学生、教師、マネージャ、エンジニアなどユーザーのクラス全体に基づいてルールを定義できます。

ユーザーまたはグループ照合に使用する ACE を追加するには、次のコマンドを使用します。

access-list access_list_name [line line_number] extended {deny | permit} protocol_argument [user_argument] source_address_argument [port_argument] dest_address_argument [port_argument] [log [[level] [interval secs] | disable | default]] [time-range time_range_name] [inactive]

例：

hostname(config)# access-list v1 extended permit ip user LOCAL\idfw
any 10.0.0.0 255.255.255.0

user_argument オプションでは、送信元アドレスに加えて、トラフィックを照合するユーザーまたはグループを指定します。使用可能な引数は次のとおりです。

• object-group-user user_obj_grp_id：object-group user コマンドを使用して作成されたユーザー オブジェクト グループを指定します。

• user {[domain_nickname\]name | any | none}：ユーザー名を指定します。ユーザー クレデンシャルを含むすべてのユーザーを照合するには any を指定し、ユーザー名にマッピングされていないアドレスを照合するには none を指定してください。これらのオプションが特に役立つのは、access-group と aaa authentication match のポリシーを結合する場合です。

• user-group [domain_nickname\\]user_group_name：ユーザー グループ名を指定します。\\ はドメインとグループ名の区切りです。

他のキーワードの説明については、IP アドレスまたは完全修飾ドメイン名ベースの照合に使用する拡張 ACE の追加を参照してください。

ヒント	特定の ACE にユーザーと Cisco Trustsec セキュリティ グループの両方を含めることができます。

セキュリティ グループ拡張 ACE は、セキュリティ グループまたはタグを送信元または宛先の一致条件に含める基本的なアドレス照合 ACE です。セキュリティ グループに基づくルールを作成すると、ルールがスタティックなホストまたはネットワーク アドレスに縛られるのを回避できます。送信元アドレスと宛先アドレスは引き続き指定する必要があります。そのため、アドレスは、ユーザーに（通常は DHCP 経由で）割り当てられる可能性があるアドレスが含まれるように広く設定してください。

ヒント	このタイプの ACE を追加する前に、Cisco TrustSec 設定してください。

セキュリティ グループ照合に使用する ACE を追加するには、次のコマンドを使用します。

access-list access_list_name [line line_number] extended {deny | permit} protocol_argument [security_group_argument] source_address_argument [port_argument] [security_group_argument] dest_address_argument [port_argument] [log [[level] [interval secs] | disable | default]] [inactive | time-range time_range_name]

例：

hostname(config)# access-list INSIDE_IN extended permit ip
security-group name my-group any any

security_group_argument オプションでは、送信元または宛先アドレスに加えて、トラフィックを照合するセキュリティ グループを指定します。使用可能な引数は次のとおりです。

• object-group-security security_obj_grp_id：object-group security コマンドを使用して作成されたセキュリティ オブジェクト グループを指定します。

• security-group {name security_grp_id | tag security_grp_tag}：セキュリティ グループの名前またはタグを指定します。

他のキーワードの説明については、IP アドレスまたは完全修飾ドメイン名ベースの照合に使用する拡張 ACE の追加を参照してください。

ヒント	特定の ACE にユーザーと Cisco Trustsec セキュリティ グループの両方を含めることができます。

次に示す ACL は ASA を通るすべてのホスト（ACL を適用するインターフェイス上の）を許可します。

hostname(config)# access-list ACL_IN extended permit ip any any

次の ACL は、192.168.1.0/24 のホストが TCP ベースのトラフィックで 209.165.201.0/27 のネットワークにアクセスすることを拒否します。その他のアドレスはすべて許可されます。

hostname(config)# access-list ACL_IN extended deny tcp 192.168.1.0 255.255.255.0
209.165.201.0 255.255.255.224
hostname(config)# access-list ACL_IN extended permit ip any any

選択したホストだけにアクセスを制限する場合は、限定的な許可 ACE を入力します。デフォルトでは、明示的に許可しない限り、他のトラフィックはすべて拒否されます。

hostname(config)# access-list ACL_IN extended permit ip 192.168.1.0 255.255.255.0
209.165.201.0 255.255.255.224

次の ACL では、すべてのホスト（この ACL を適用するインターフェイス上の）からアドレス 209.165.201.29 の Web サイトへのアクセスを禁止しています。他のトラフィックはすべて許可されます。

hostname(config)# access-list ACL_IN extended deny tcp any host 209.165.201.29 eq www
hostname(config)# access-list ACL_IN extended permit ip any any

オブジェクト グループを使用する次の ACL では、内部ネットワーク上のさまざまなホストについて、さまざまな Web サーバーへのアクセスを禁止しています。他のトラフィックはすべて許可されます。

hostname(config-network)# access-list ACL_IN extended deny tcp object-group denied
object-group web eq www
hostname(config)# access-list ACL_IN extended permit ip any any
hostname(config)# access-group ACL_IN in interface inside

次の例では、あるネットワーク オブジェクト グループ（A）から別のネットワーク オブジェクト グループ（B）へのトラフィックを許可する ACL を一時的にディセーブルにします。

hostname(config)# access-list 104 permit ip host object-group A object-group B inactive

時間ベース ACE を実装するには、time-range コマンドを使用して、週および 1 日の中の特定の時刻を定義します。次に、access-list extended コマンドを使用して、時間範囲を ACE にバインドします。次の例では、「Sales」ACL の ACE を「New_York_Minute」という時間範囲にバインドしています。

hostname(config)# access-list Sales line 1 extended deny tcp host 209.165.200.225 host
209.165.201.1 time-range New_York_Minute

次の例では、IPv4/IPv6 混在 ACL が表示されています。

hostname(config)# access-list demoacl extended permit ip 2001:DB8:1::/64 10.2.2.0 255.255.255.0
hostname(config)# access-list demoacl extended permit ip 2001:DB8:1::/64 2001:DB8:2::/64
hostname(config)# access-list demoacl extended permit ip host 10.3.3.3 host 10.4.4.4

次に示す、オブジェクト グループを使用しない通常の ACL では、内部ネットワーク上のさまざまなホストについて、さまざまな Web サーバーへのアクセスを禁止しています。他のトラフィックはすべて許可されます。

hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.4 host 209.165.201.29 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.78 host 209.165.201.29 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.89 host 209.165.201.29 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.4 host 209.165.201.16 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.78 host 209.165.201.16 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.89 host 209.165.201.16 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.4 host 209.165.201.78 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.78 host 209.165.201.78 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.89 host 209.165.201.78 eq www
hostname(config)# access-list ACL_IN extended permit ip any any
hostname(config)# access-group ACL_IN in interface inside

2 つのネットワーク オブジェクト グループ（内部ホスト用に 1 つ、Web サーバー用に 1 つ）を作成すると、コンフィギュレーションが簡略化され、簡単に修正してホストを追加できるようになります。

hostname(config)# object-group network denied
hostname(config-network)# network-object host 10.1.1.4
hostname(config-network)# network-object host 10.1.1.78
hostname(config-network)# network-object host 10.1.1.89

hostname(config-network)# object-group network web
hostname(config-network)# network-object host 209.165.201.29
hostname(config-network)# network-object host 209.165.201.16
hostname(config-network)# network-object host 209.165.201.78

hostname(config)# access-list ACL_IN extended deny tcp object-group denied object-group 
web eq www
hostname(config)# access-list ACL_IN extended permit ip any any
hostname(config)# access-group ACL_IN in interface inside

ユーザーがアクセスしようとしている URL に基づいてトラフィックを照合するには、次のコマンドを使用します。

access-list access_list_name webtype {deny | permit} url {url_string | any} [log [[level] [ interval secs] | disable | default]] [ time_range time_range_name] [inactive]

例：

hostname(config)# access-list acl_company webtype deny url http://*.example.com

次のオプションがあります。

• access_list_name：新規または既存の ACL の名前。ACL がすでに存在する場合は、ACL の末尾に ACE が追加されます。

• 許可または拒否：deny キーワードを指定すると、条件に一致した場合にパケットが拒否または免除されます。permit キーワードを指定すると、条件に一致した場合にパケットが許可または包含されます。

• URL：url キーワードでは、照合する URL を指定します。すべての URL ベースのトラフィックに一致させるには、url any を使用します。そうでない場合は、URL 文字列を入力します。URL 文字列には、ワイルドカードを含めることができます。以下では、URL の指定に関するヒントと制限事項をいくつか示します。

  • すべての URL に一致させるには、any を指定します。

  • 「Permit url any」と指定すると、「プロトコル://サーバー IP/パス」の形式の URL はすべて許可され、このパターンに一致しないトラフィック（ポート転送など）はブロックされます。暗黙的な拒否が発生しないよう、必要なポート（Citrix の場合はポート 1494）への接続を許可する ACE を使用してください。

  • スマート トンネルと ica プラグインは、smart-tunnel:// と ica:// のタイプにのみ一致するため、「permit url any」を使用した ACL によって影響を受けることはありません。

  • 使用できるプロトコルは、cifs://、citrix://、citrixs://、ftp://、http://、https://、imap4://、nfs://、pop3://、smart-tunnel://、および smtp:// です。プロトコルでワイルドカードを使用することもできます。たとえば、htt* は http および https に一致し、アスタリスク * はすべてのプロトコルに一致します。たとえば、*://*.example.com は、example.com ネットワークへのすべてのタイプの URL ベース トラフィックに一致します。

  • smart-tunnel:// URL を指定すると、サーバー名だけを含めることができます。URL にパスを含めることはできません。たとえば、smart-tunnel://www.example.com は受け入れ可能ですが、smart-tunnel://www.example.com/index.html は受け入れ不可です。

  • アスタリスク（*）：空の文字列を含む任意の文字列に一致します。すべての http URL に一致させるには、http://*/* と入力します。

  • 疑問符 ? は任意の 1 文字に一致します。

  • 角カッコ（[]）：文字の範囲を指定する際に使用する演算子です。角カッコ内に指定された範囲に属する任意の 1 文字に一致します。たとえば、http://www.cisco.com:80/ と http://www.cisco.com:81/ の両方に一致させるには、「http://www.cisco.com:8[01]/」と入力します。

• ロギング：log 引数では、パケットが ACE に一致した場合のロギング オプションを設定します。引数を指定せずに log オプションを入力すると、syslog メッセージ 106102 はデフォルト レベル（6）とデフォルト間隔（300 秒）でイネーブルになります。ログ オプションは次のとおりです。

  • level：0 ～ 7 のシビラティ（重大度）。デフォルト値は 6 です。

  • interval secs：syslog メッセージ間の時間間隔（秒）。1 ～ 600 で指定します。デフォルトは 300 です。

  • disable：すべての ACL ロギングをディセーブルにします。

  • default：メッセージ 106103 のロギングをイネーブルにします。この設定は、log オプションを指定しないのと同じです。

• 時間範囲：time-range time_range_name オプションでは、ACE がアクティブになっている時間帯と曜日を決定する時間範囲オブジェクトを指定します。時間範囲を指定しない場合、ACE は常にアクティブです。

• アクティベーション：ACE を削除せずにディセーブルにするには、inactive オプションを使用します。再度イネーブルにするには、inactive キーワードを使用せずに ACE 全体を入力します。

ユーザーがアクセスしようとしている宛先アドレスに基づいてトラフィックを照合するには、次のコマンドを使用します。Webtype ACL には、URL 仕様に加えて IPv4 アドレスと IPv6 アドレスの組み合わせを含めることができます。

IP アドレス照合に使用する Webtype ACE を追加するには、次のコマンドを使用します。

access-list access_list_name webtype {deny | permit } tcp dest_address_argument [operator port] [log [[level] [interval secs] | disable | default]] [time_range time_range_name]] [inactive]]

例：

hostname(config)# access-list acl_company webtype permit tcp any

ここで説明していないキーワードの説明については、URL 照合に使用する Webtype ACE の追加を参照してください。このタイプの ACE に固有のキーワードと引数は次のとおりです。

• tcp：TCP プロトコル。Webtype ACL では、TCP トラフィックのみを照合します。

• 宛先アドレス：dest_address_argument では、パケットの送信先の IP アドレスを指定します。

  • host ip_address：IPv4 ホスト アドレスを指定します。

  • dest_ip_address mask：10.100.10.0 255.255.255.0 など、IPv4 ネットワーク アドレスおよびサブネット マスクを指定します。

  • ipv6-address/prefix-length：IPv6 ホストまたはネットワーク アドレスとプレフィックスを指定します。

  • any、any4、および any6： any は IPv4 と IPv6 トラフィックの両方を指定します。any4 は IPv4 トラフィックのみを指定し、any6 は IPv6 トラフィックのみを指定します。

• operator port：宛先ポート。ポートを指定しなかった場合は、すべてのポートが照合されます。port には、TCP ポートの番号（整数）または名前を指定できます。operator は次のいずれかになります。

  • lt：より小さい

  • gt：より大きい

  • eq：等しい

  • neq：等しくない

  • range：値の包括的な範囲。この演算子を使用する場合は、2 つのポート番号を指定します（例：range 100 200）。

次の例は、特定の企業の URL へのアクセスを拒否する方法を示しています。

hostname(config)# access-list acl_company webtype deny url http://*.example.com

次の例は、特定の Web ページへのアクセスを拒否する方法を示しています。

hostname(config)# access-list acl_file webtype deny url https://www.example.com/dir/file.html

次の例は、特定サーバー上にある任意の URL へのポート 8080 経由の HTTP アクセスを拒否する方法を示しています。

hostname(config)# access-list acl_company webtype deny url http://my-server:8080/*

次の例は、Webtype ACL でワイルドカードを使用する方法を示しています。

• 次に、http://www.example.com/layouts/1033 などの URL に一致させる例を示します。

  
  access-list VPN-Group webtype permit url http://www.example.com/*
  
  

• 次に、http://www.example.com/ や http://www.example.net/ などの URL に一致させる例を示します。

  
  access-list test webtype permit url http://www.example.*
  
  

• 次に、http://www.example.com や ftp://wwz.example.com などの URL に一致させる例を示します。

  
  access-list test webtype permit url *://ww?.e*co*/
  
  

• 次の例は、http://www.cisco.com:80 や https://www.cisco.com:81 などの URL に一致します。

  
  access-list test webtype permit url *://ww?.c*co*:8[01]/
  
  

  上記の例の範囲演算子「[ ]」は、文字 0 または 1 がその場所で出現する可能性があることを示しています。

• 次に、http://www.example.com や http://www.example.net などの URL に一致させる例を示します。

  
  access-list test webtype permit url http://www.[a-z]xample?*/
  
  

  上記の例に示した range 演算子「[]」は、a ～ z の範囲内の任意の 1 文字が出現可能であることを指定します。

• 次に、ファイル名またはパスのどこかに「cgi」が含まれる http または https URL に一致させる例を示します。

  
  access-list test webtype permit url htt*://*/*cgi?*
  
  

（注）	すべての http URL に一致させるには、「 http://*」ではなく「http://*/*」と入力する必要があります。

次の例は、Web-type ACL を適用して、特定の CIFS 共有へのアクセスをディセーブルにする方法を示しています。

このシナリオでは、「shares」というルート フォルダに「Marketing_Reports」および「Sales_Reports」という 2 つのサブフォルダが格納されています。「shares/Marketing_Reports」フォルダへのアクセスを明示的に拒否しようとしています。

access-list CIFS_Avoid webtype deny url cifs://172.16.10.40/shares/Marketing_Reports.

ただし、ACL の末尾に暗黙的な「deny all」があるため、上記の ACL を指定すると、ルート フォルダ（「shares」）とすべてのサブ フォルダ（「shares/Sales Reports」と「shares/Marketing Reports」）にアクセスできなくなります。

この問題を修正するには、ルート フォルダと残りのサブフォルダへのアクセスを許可する新しい ACL を追加します。

access-list CIFS_Allow webtype permit url cifs://172.16.10.40/shares*

次の例は、EtherType ACL の設定方法（インターフェイスへの適用方法を含む）を示しています。

hostname(config)# access-list ETHER ethertype permit ipx
INFO: ethertype ipx is saved to config as ethertype eii-ipx
INFO: ethertype ipx is saved to config as ethertype dsap ipx
INFO: ethertype ipx is saved to config as ethertype dsap raw-ipx
hostname(config)# access-list ETHER ethertype permit mpls-unicast
hostname(config)# access-group ETHER in interface inside

hostname(config)# access-list ETHER ethertype permit 0x1234
hostname(config)# access-list ETHER ethertype permit mpls-unicast
hostname(config)# access-group ETHER in interface inside
hostname(config)# access-group ETHER in interface outside

hostname(config)# access-list nonIP ethertype deny 1256
hostname(config)# access-list nonIP ethertype permit any
hostname(config)# access-group nonIP in interface inside
hostname(config)# access-group nonIP in interface outside