IOSアクセスリストの設定について

質問

どなたか助けてください。
CCNA認定ガイド第２版にて
access-list 110 deny tcp any host 172.16.10.5 eq 23
access-list 110 permit ip any any
int e2
ip access-group 110 out　の設定になっていますが

バーチャルラボ2.0の書籍の設定では
access-list 110 deny tcp host172.16.11.2 host 172.16.20.2 eq telnet
access-list 110 permit ip any 0.0.0.0 255.255.255.255
int s0
ip access-group 110 in　になっています。

この in , outの意味が全然わかりません。
in はルータに入ってくるパケットに制限をかける。
out はルータから出ていくパケットに制限をかける。

バーチャルラボの例
ルータA(f0/0) → (e0)ルータB(s0) → (s0)ルータC
172.16.11.2　　　　　　　　　　　　　　　　　　　　　172.16.20.2
outじゃ間違いなのですか？

問題でも
ネットワーク172.16.0.0からトラフィックだけがs0インターフェースに入れるようにする
アクセスコンフィギュレーションはどれ？
access-list 10 permit 172.16.0.0 0.0.255.255
int s0
ip access-group 10 in
が正解ですがなぜ？outは間違えです。説明では、入力トラフィックを指定しているためと
書かれていますがどれですか？

ながなが書きましたが、何方か簡単に説明してください。
その他、アクセスリストの書籍、ホームページ等がありましたら教えてください。
よろしくお願いいたします。

回答No.1

thesyun · ベストアンサー

こんにちは。

どのルータに設定を行おうとしているのかがわからないのとその書籍を所有していないので、回答がずれてしまうかもしれませんが。

アクセスリストのinとoutは、

in: (入力アクセスリスト):
　パケットはアクセスリストによる処理のあと、外向きの (出力) インタフェースへルーティングされます。

out：(出力アクセスリスト):
　パケットはまず外向きの (出力) インタフェースへ
とルーティングされ、それからアクセスリストによって処理されます。

また、標準アクセスリストは宛先ネットワークに一番近いところに設定します。

例えば
HostA→(f0/1)ルータA(f0/0) → (e0)ルータB(s0) → (s0)ルータC（f0/0) →HostB
の場合、

HostAからHostBへのtelnetを制限したいとします。

HostAからルータAに入ってくる時点でブロックしたければ、ルータAのf0/1のinにアクセスリストを適用。

ルータAまでは入ってくるのは許すけど、ルータBに行く前にブロックしたければ、ルータのf0/0のoutに適用。

もっと先にルータCの入り口でブロックしたければ、
ルータCのs0のinにて適用。

ちなみに標準アクセスリストを使用した場合には、仮にルータAのf0/0に適用すると、プロトコル指定が出来ないので、ルータBにもtelnetが出来なくなってしまいます。
よって宛先ネットワークに一番近いところで適用するのが普通です。よってルータC（f0/0)のoutに適用です。

補足があればもう少しフォロー可能です。

補足

早速の回答ありがとうございます。
HostA→(f0/1)ルータA(f0/0) → (e0)ルータB(s0) → (s0)ルータC（f0/0) →HostB
例えばルータAのf0/1はinでf0/0がoutの認識でよろしいのでしょうか？
それともルータAのf0/1にinとoutがあるのでしょうか？
例ですがルータAにf0/1,f0/0,e0,インターネットのインターフェイスがある場合は、f0/1がinでf0/0,e0,インターネットはoutの認識でよろしいのですか？
よろしくお願いいたします。

回答No.2

thesyun

HostA→(f0/1)ルータA(f0/0) → (e0)ルータB(s0) → (s0)ルータC（f0/0) →HostB

HostAからHostBに向かってデータが流れる場合は、ルータAのf0/1はinでf0/0がoutの認識になります。

逆にHostBからHostAに向けたアクセスを制限する場合にはルータAのf0/0がinでf0/1がoutの認識になります。

ですのでルータAのf0/1にはinとoutがあります。

例とは異なりますがルータAにf0/1,f0/0ともう一つe0,があり、e0にインターネットが繫がっているとします。

ルータAでインターネットからのルータAへのアクセスを
許したくなければe0のinにアクセス制限を、またHostAからのみインターネットへのWWW閲覧を許すのであれば、e0のoutにその記述をします。

以上です。

お礼

ありがとうございました。