参考資料・時間

資料：
INE Network Security

勉強時間：
20260409 : 約3時間
20260410 : 約3時間
20260411 : 約2.5時間
20260412 : 約3時間
20260413 : 約3時間
20260414 : 約3時間
20260415 : 約3時間

学習内容

AAA

AAAはAuthentication, Authorization, Accountの3つをまとめたもの。
AAAは主にOld-ModelとNew-Modelに分けられる。

Old-Model

〇Authentication
デフォルトで認証設定できるものを指す。
例)
line console 0
password [PW]
!
username admin password cisco

〇Authorization
権限(認可)を設定可能。

! show run実行確認
SW>show running-config
         ^
% Invalid input detected at '^' marker.

! 権限変更
SW(config)#privilege exec level 1 show run

! 権限確認(Login後)
SW>show privilege
Current privilege level is 1

! show run実行確認
SW>show running-config
Building configuration...

Current configuration : 462 bytes
!
! Last configuration change at 16:39:04 UTC Thu Apr 9 2026
!
boot-start-marker
boot-end-marker
!
!

〇Accounting

設定変更の通知とロギングをトラッキングする。

! 設定変更手順
conf t
achive
log config ! running-configの変更を記録
logging enable ! ログ取得を有効にする

! 確認
SW1#show archive log config all
 idx   sess           user@line      Logged command
    1     1        console@console  |  logging enable
    2     1        console@console  |!exec: enable
    3     2        console@console  |hostname SW1

New-Model

New-Modelは aaa new-modelによって、明示的に使用を宣言する必要がある。

〇RBAC (Role-Based Access Control)
アカウントへの権限ベースで権限を与えるのではなく、権限を役割ベースでユーザに付与する。
　
まず、事前にViewという役割と権限のセットを作成しておく。
例) Maintenance Viewはinterface設定は変更できないが、その他の変更は可能…など。
次に、EnableモードからViewにログインすることでViewを適用する。

〇複数回ログインによる認証突破(Brute Force Attack)の対策

60秒以内に3回失敗すると10秒間ログインをブロックする

login block-for 10 attempts 3 within 60

CoPP (Control Plane Policing)

ルーティングプロトコル(OSPF, EIGRP)等のHelloパケットを大量に送り付け、
CPUリソースを枯渇させるDoS攻撃が村債する。
この対策としては、コントロールプレーンで特定時間で受け付けるパケット数を制限し、
それ以外はドロップするといった方法がある。

Control-Planeと、Service-Policy Inputにて設定を行う。

Port ACL

Port-based Access Lists (PACL)

適用方向 : In
適用先： L2スイッチのポートが対象
フィルタ対象トラフィック： L3/L2 (L2 ACLは非IPトラフィックのみ)
注意点：

Routed ACL (RACL)

適用方向 : In / Out
適用先： RoutedポートかSVIが対象
フィルタ対象トラフィック： L3
ポイント：一般的なStandard/ExtendのACLはこれを指す

VLAN-based Access Lists (VACL)

適用方向 : In
適用先： VLANかSVIが対象
フィルタ対象トラフィック： L3/L2 (L2 ACLは非IPトラフィックのみ)
注意点：全てのポート(Access/trunk)に設定されたVLANが対象となる。
　　　暗黙のDenyが動いてしまうと、意図しないARPやSTPを止める可能性が高い。

設定順序

VACL → PACL　→RACLの順序で適用される。

設定

VACL/PACLに関して設定手順を記載。
RACLについては通常のACL設定と同等なので省略する。

VACL設定手順

VLANへの適用
## L2 ACLを作成
! MAC ACLの作成 
mac access-list extended ACL-MAC
 permit any host 5000.0007.0001

! MAC ACLでPermitされたものをDropさせ、それ以外の物は通過させる
vlan access-map VMAP 10
 match mac address ACL-MAC
 action drop
vlan access-map VMAP 20 ! これが無いとAll Denyになるため注意
 action forward

!VLANに適用する。VLAN1つだけではなく、全てのVLANや範囲区切りも可能
vlan filter VMAP vlan-list 100


## L3 ACLを作成
! L3 ACLの作成
ip access-list extended TELNET
 permit tcp any any eq telnet

! L3 ACLでPermitされたものをDropさせ、それ以外の物は通過させる
vlan access-map DROP-TELNET 10
 match ip address TELNET
 action drop
vlan access-map DROP-TELNET 20 ! これが無いとAll Denyになるため注意
 action forward
vlan filter DROP-TELNET vlan-list 100

※注意点
VLANには1つのVLAN Access-mapを適用できる。

! VMAPとDROP-TELNETがそれぞれ別のVLANを使用
SW100(config)#do sh run | i vlan filter 
vlan filter VMAP vlan-list 100
vlan filter DROP-TELNET vlan-list 200

! DROP-TELNETもvlan100を使用
SW100(config)#vlan filter DROP-TELNET vlan-list 100-200

!もともとvlan 100を使用していたVMAPが外れる
SW100(config)#do sh run | i vlan filter 
vlan filter DROP-TELNET vlan-list 100-200

! VMAPが適用VLANをALLをしたことで、DROP-TELNETが適用から外れる
SW100(config)#vlan filter VMAP vlan-list all
SW100(config)#do sh run | i vlan filter
vlan filter VMAP vlan-list 1-4094

PACL設定手順

VLANへの適用
## L2 ACLを作成
! MAC ACLの作成 
mac access-list extended MAC-ACL
 deny host 5000.0006.8064 any
 permit any any

!Interfaceに適用する。
interface GigabitEthernet0/0
 mac access-group MAC-ACL in

## L3 ACLを作成
! L3 ACLの作成
ip access-list extended DENY-TELNET
 deny   tcp any any eq telnet
 permit ip any any

! L3 ACLでPermitされたものをDropさせ、それ以外の物は通過させる
interface GigabitEthernet0/0
 ip access-group DENY-TELNET in

※注意点
VLANには1つのVLAN Access-mapを適用できる。

! VMAPとDROP-TELNETがそれぞれ別のVLANを使用
SW100(config)#do sh run | i vlan filter 
vlan filter VMAP vlan-list 100
vlan filter DROP-TELNET vlan-list 200

! DROP-TELNETもvlan100を使用
SW100(config)#vlan filter DROP-TELNET vlan-list 100-200

!もともとvlan 100を使用していたVMAPが外れる
SW100(config)#do sh run | i vlan filter 
vlan filter DROP-TELNET vlan-list 100-200

! VMAPが適用VLANをALLをしたことで、DROP-TELNETが適用から外れる
SW100(config)#vlan filter VMAP vlan-list all
SW100(config)#do sh run | i vlan filter
vlan filter VMAP vlan-list 1-4094

Port-Based Traffic Control

Port Security

特定のポートで使用するセキュアMACアドレスを指定する。
もしポートがセキュアMACアドレスと異なるMACアドレスを受信した場合、ポートシャットダウンなど規定の動作を行う。
Access/Trunkどちらにも設定可能だが、Dynaic Trunk(mode dynamic auto / dynamic desireble )は不可。

規定動作については3種類。
Shutdownはポートをエラーディセーブル状態にする。
Restrictは違反したトラフィックを受け付けず、SNMP/Syslogを生成する。
Protectは違反したトラフィックを受け付けない

〇セキュアMACアドレス

・セキュアMACアドレスは種別があり、Static/Sticky/forbiddenがある。
　Staticは任意のMACアドレスを指定する。
　Stickyは現在接続されているMACをセキュアMACアドレスとして指定する。
　これは最大数に達するまで動的にMACアドレスを学習する。
　maximum [n]にて最大数は変更できる。
　forbiddenはセキュアMACアドレスにしたくないMACアドレスを指定する。

〇その他の注意点
・HSRPやVRRP,GLBPを使う場合、物理MACと仮想MACの二つが存在することになる。
　standby use-biaコマンドでポートに焼き付いたMACアドレスを使用するか、
　ポートセキュリティ側で仮想MACを許可するなどで対応が必要となる。

・Trunkポートでは制限数に達するとMACアドレスが句集が出来ず、結果接続できないポートが増えてしまう。

・IP PhoneもMACアドレスを2つ使用するため、最大数を変更する必要あり。

<設定>

Stickyを設定すると、コンフィグにセキュアMACが投入される。
以下の通り

MACアドレス学習前
interface GigabitEthernet0/0
 switchport access vlan 100
 switchport mode access
 switchport port-security ! ポートセキュリティの有効化
 switchport port-security mac-address sticky ! 現在の接続ポートのMACをセキュアMACにする

MACアドレス学習後
interface GigabitEthernet0/0
 switchport access vlan 100
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky
 switchport port-security mac-address sticky 4444.4444.4444 ! 対象MACが設定に反映される

<結果>

SW1#sh run int gi 0/0
interface GigabitEthernet0/0
 switchport port-security mac-address sticky
 switchport port-security mac-address sticky 4444.4444.4444
 switchport port-security
end

! 対向SWでMACアドレスを5000.0007.8064に変更
SW2(config-if)#no mac-address 4444.4444.4444

! コンソールに以下のメッセージが表示
SW1#sh ip interface brief gi0/0
*Apr 11 14:06:35.498: %PM-4-ERR_DISABLE: psecure-violation error detected on Gi0/0, putting Gi0/0 in err-disable state
*Apr 11 14:06:35.500: %PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address 5000.0007.8064 on port GigabitEthernet0/0.
*Apr 11 14:06:36.499: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/0, changed state to down
*Apr 11 14:06:37.499: %LINK-3-UPDOWN: Interface GigabitEthernet0/0, changed state to down

! エラーディセーブル確認
SW1#sh ip interface brief gi0/0
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0     unassigned      YES unset  down                  down
!
SW1#sh interfaces status err-disabled

Port      Name               Status       Reason               Err-disabled Vlans
Gi0/0                        err-disabled psecure-violation

Protect Port

Protect Port設定が行われたポート同士の通信を禁止する。
通信の禁止範囲はL2であり、Protect Portは通常のアップリンク・ダウンリンクとは通信が可能。
使用例としては、ホテルの客室同士のポートをProtect Portにすることで分離する。

<設定>
interface gigabitEthernet 0/0
switchport mode access
switchport access vlan 100
! 同一VLANでSwitchport protecterdが入っているポート同士の通信を禁止する。
switchport protected 

interface gigabitEthernet 0/1
switchport mode access
switchport access vlan 100
! 同一VLANでSwitchport protecterdが入っているポート同士の通信を禁止する。
switchport protected

Static CAM Entries

静的にMACアドレスを登録する

mac address-table static [MAC-ADDRESS] vlan [n] interface [IF] [IF-Number]
例) mac address-table static 1111.1111.1111 vlan 1 interface gigabitEthernet 0/0

Storm-Control

Broadcast-Storm等、大量のフレームが発生した場合に備え、一定のしきい値を設定する。
しきい値を超えた際には特定の動作を行う。
これは流入したフレームに対して設定可能。
使用例としては、下位ポートがループし、大量のブロードキャストが流入した際にトラフィックの流入を防ぐために利用される。

しきい値は上限と下限がある。
上限を超えるとActionで指定された動作を行う。
Actionではshutdownとtrapがあり、shutdownではポートをerr-disable状態にする。
trapの場合はログ通知を行い、転送は継続される。

<設定>
interface gigabitEthernet 0/0
storm-control {broadcast|multicast|unicast} level {level-high (level-low)|pps pps-high (pps-low)}
storm-control action {shutdown|trap}

<例>
storm-control broadcast level 10 5
storm-control action shutdown
※ブロードキャストフレームが帯域の10%を超えるとポートがErr-disable状態になる。
　帯域の5%以上では帯域の5％未満になるまで一時的に転送を抑制(drop)する。
　帯域の5%以下は通常通り転送する。

IPv4 First Hop Security

DHCP Snooping

〇概要
　DHCPサーバ偽装やリソース枯渇攻撃を防ぐため、DHCPサーバからの応答を制御する。

〇動作
　DHCPサーバと接続するポートを信頼できるポート(Trusted)として設定。
　その他のポートを信頼できないポート(Untrusted)とし、DHCPクライアントからのトラフィックのみ受け付ける。
　つまり、TrustedとUntrustedの差はDHCPサーバからの通信を防ぐか通すか…という違いとなる。

　DHCP Snoopingを行うスイッチはのIPアドレスとMACアドレスの対応表(binding)を持っておく。

〇DHCP動作のおさらい
　DHCPではDiscover(CL) → Offer(SV) → Request(CL) → Ack(SV)の順で行われる。

　DHCPサーバはgiaddr(Gateway IP Address)フィールドを見ることで、
　DHCP Discoverを送付した機器がどのセグメントに属しているかを確認する。
　このセグメントに対応するアドレスプールを払い出すのがDHCPの動作となる。

〇DHCPリレーエージェントがある場合
　DHCPリレーエージェントがある場合、Option 82フイールドにVLAN,ポート番号, Switch識別番号を挿入する。
　これはデフォルトで有効になっているが、DHCPサーバが対応していないなどの理由から削除したい場合、以下のコマンドを実行する。

no ip dhcp snooping information-option

〇設定の流れ

 (config)
! DHCP Snoopingの有効化
 ip dhcp snooping
! DHCP snoopingを行うVLANの指定
 ip dhcp snooping vlan 100
! option82の無効化 (オプション)
 no ip dhcp snooping information option

 (config-if)
! 特定のポートをTrustedとして設定。デフォルトはUntrust
 ip dhcp snooping trust

Dynamic ARP Inspection (DAI)

〇目的
　ARPリクエストとARPレスポンスを検査する。
　IP-MACアドレスの対照表を元に検査をしており、もし対照表と異なる組み合わせである場合はトラフィックをドロップする。
　これにより、ARPポイズニング(偽のARPを送信してARPキャッシュを書き換える)を防止する。

〇動作
　IPアドレスとMACアドレスの関連付けを検証し、不正なものを破棄する。
　非DHCP環境/DHCP環境で動作が異なる。

　非DHCP環境では静的に設定されたIP-MACアドレスの関連付けを元に検証する。
　DHCP環境ではDHCP Snooping Bindig Tableを正として検証を行う。

　DAIでは信頼できるインターフェース・信頼できないインターフェースが存在する。
　デフォルトは信頼できないIFであり、ARP検査を実施する。

〇設定

〇DHCP環境
(config)#
ip arp inspection vlan [vlan-number] ! 特定VLANをDAIの対象に指定
(config-if)#
ip arp inspection trust


〇非DHCP環境
(config)#
! ARP-ACLで
arp access-list [ACL-NAME]
 permit ip host [ip-address] mac host [mac-address] ! IPとMACを1対1で紐付ける場合
! denyで特定のIPとMACの対照をDenyすることも可能 

!ACLを任意のVLANに適用
ip arp inspection filter ARP-ACL vlan 100

IP Source Guard

〇概要
IP source Guardは
IPアドレススプーフィングを防止するために使用する。

〇動作
DHCP環境と非DHCP環境で動作が異なる。
DHCPスヌーピングのバインディングテーブルをデータベースをフィルターのために使用する。
IPとMACの対照が登録されていないものを弾く。

〇設定

! IPアドレスのみを有効化
(config-if) ip verify source 

! 静的に対照を追加するには以下を実行
ip source binding [MAC-Address] vlan [num] [IP-address] interface [IF-no]

IPv6 First Hop Security

〇概要
エンドホストとデフォルトGWの通信を安全に行う。
この区間は中間者攻撃等の攻撃を受けやすいため、特に対応が必要。

上記例も含めると、First Hop Securityとして、
IPv4はARP, DHCPについて説明した。
IPv6はARPの代わりにICMPv6 Neighbor Discovery(IPv6 ND)、 Duplicate Address Detection(DAD)
DHCPに類似するものとしてSLAACとDHCPv6を使用する。

ICMPv6 ND

〇概要
ARPの代替となるもの。
ARPはRequestとReplyの2つを使用していたが、
IPv6 NDではNS, NA, RS, RAを使用する。
　NS：Neighbor Solicitation(近隣要請)
　NA：Neighbor Advertisement(近隣広告)
　RS：Router Solicitation(ルータ要請)
　RA：Router Advertisement(ルータ広告)

NDではリンクローカルアドレスを使用。

NS/NAとDADについて

〇概要
NS/NAは隣接機器のIPのみが分かる場合、MACアドレスを解決する。
この際にDAD(重複IPアドレス検知)を使用し、ユニークであることを確認する。

〇動作
マルチキャストを送信する。
宛先マルチキャストアドレスは(ff02::1:ff/104 +調べるIPv6アドレスの下位24bit)となる。
マルチキャストを受信したものは、下位24bitが自分のIPv6アドレスと同じであれば受け取り、重複問い合わせアドレスと自身のアドレスが一致していればNAを送信することで重複を知らせる。
重複していない場合はこのアドレスを使用可能。
ReplyであるNAはff02::1のマルチキャストパケットを全てのルータに送信する。

RS/RAについて

〇概要
RS/RAによって、ゲートウェイとなるルータを探索/情報取得する。
RSの宛先アドレスはff02::2となる。
このreplyとしてRAが送られ、マルチキャストアドレスff02::1で全てのルータに送信される。
RAでルータをからネットワーク情報を受け取る場合、SLAACとDHCPv6がある。

SLAACを使用する場合、RAによって、以下の情報を得られる

・ゲートウェイとなるルータのリンクローカルアドレス
・リンク内で使用可能なプレフィックス・プレフィックス長
　(RAのプレフィックス + EUI-64)
・DHCPv6アドレス
・DNSアドレス情報

また、SLAACを使用する場合、
リンクローカルとグローバルで1回ずつDADを実施。
ユニークであればグローバルアドレスを使用する。
　

IPv6 RA Guard

〇概要
ルータとしてGratuitous RAを送り付けることで、本来と異なるルータを誤認させる。
この方法で中間者攻撃やDoS攻撃として使用されるルータ偽装(Router Spoof)がある。

ホストはRAメッセージでデフォルトゲートウェイを動的に取得する。
セグメント上のルータ偽装や、プレフィックス偽装を防ぐ。

このポリシーはVLANかインターフェースに対して適用する。

〇動作
ルータが受信したRAメッセージと、ルータリダイレクトメッセージを比較する。
その後、承認されいない機器からのRAだった場合はドロップ。
承認された機器からのRAであればユニキャスト・マルチキャストの宛先に転送する。

〇設定

(config)#
ipv6 nd raguard policy [Policy-Name]
! デバイスの役割を指定。デフォルトはhostであり、host modeは全て不許可。
device-role router
! MフラグがONであることを確認する
managed-config-flag on
! OフラグがONであることを確認する。
other-config-flag on
! この設定がされたポートを信頼されたポートとして、チェック対象外とする。
trusted-port

(config-if)#
ipv6 nd raguard policy attach-policy [Policy-Name]

〇参考
https://www.cisco.com/c/ja_jp/td/docs/switches/lan/catalyst1000/software/releases/15_2_7_e/configuration_guides/sec/b_1527e_security_c1000_cg/configuring_ipv6_ra_guard.html

DHCPv6 Guard

〇概要
DHCPv6サーバを偽装し、DHCP Discoverを送信するクライアントに対してDHCP Offerを送信する。
これによって、偽のDHCPサーバと接続してしまうDHCP Spoofingがある。
RA Spoofingと組み合わせて中間者攻撃やDoS攻撃に使用する。

DHCPv6 GuardはDHCP snoopingに似た動作を行うことでDHCPv6サーバを偽装から守る。
設定はVLAN・ポートに対して行う。

〇設定

(config)#
ipv6 dhcp guard policy [Policy-Name]
! デバイスの役割を指定。デフォルトはclientであり、client modeはDHCPのサーバメッセージをドロップ。
! server modeの場合は適用デバイスがDHCPv6サーバであることを示す。
device-role server

!(オプション) ACLがある場合、deny/permitのチェックが可能。
! Client→Serverのフレームをチェックする。
match server access-list [ipv6-ACL-NAME]
!(オプション) Server→Clientのフレームをチェックする。
match reply access-list [ipv6-ACL-NAME]

!(オプション) ポリシーが設定された場合、信頼できるポートに設定する
trusted-port

(config-if)#
ipv6 dhcp guard attach-policy [Policy-Name]

IPv6 Source-Guard

〇概要
IPv4 Source-Guardと似た動作を行う。
Neighbor Binding Tableに基づいて送信元IPをフィルタリングするため、IPv6 PACLを動的に作成する。
そのため、IPv6 Binding Tableが動作している必要がある。

〇設定

! バインディングテーブルの作成
ipv6 neighbor biding vlan [No] interface [IF-No] [MAC-Address]

! ポリシーの作成
(config)#
ipv6 source-guard policy [source-guard-policy-name]
!(オプション) リンクローカルの許可
permit link-local
!(オプション) 自動設定によるグローバルアドレスの拒否
deny global-autoconf
! ポリシー適用先のハードウェアブリッジングを許可
trusted

! IFへの適用
interface gigabitEthernet 0/0
ipv6 source-guard attach-policy [source-guard-policy-name]

Private-VLAN

〇概要
VLANはBroadcastを分割すことが出来る。
しかし、Private-VLANは更にBroad-castを分割する。

これによって、ホテルの客室に引かれたLANが同一VLANであった場合でも通信ができないように設定できる。
前述のProtected Portに近いが、それよりも柔軟に設定が可能。

〇動作
private-VLANではVLAN種別が3種類あるが、大きく2種類に大別される。
プライマリVLANはpromiscuous(混合)VLANとも呼ばれ、プライマリ・セカンダリVLANと通信が可能

セカンダリVLANは2種類に分かれる。
一つはisolate(隔離)VLANであり、プライマリVLANのみと通信が可能。
もう一つはCommunity VLANであり、同じVLANを持つコミュニティVLAN同士またはプライマリVLANと通信が可能。

例として、プライマリVLANがvlan10を使用し、
isolate VLANは200、Community VLANが300とする。

この場合、プライマリVLANはVLAN10。
Isolate VLANはVLAN10 200、Community VLANは10 300となる。

〇VTPとの併用
VTPと併用する場合、VTP version3を使用する事。
VTP version 3から拡張VLANに対応しているが、version1-2は未対応のため。

〇設定

1.Promiscuous-VLAN, isolate-vlan, community-vlanに割り当てるVLANを作成する
! Promiscuous-VLANを100, Isolate-VLANを2000, Community-VLANを2001とする
vlan 100,2000,3000
exit

2. Promiscuous-vlanとポートの設定
vlan 100
private-vlan primary
private-vlan association 2000-2001 ! セカンダリVLANでを指定

vlan 2000
private-vlan isolated ! isolatedを指定

vlan 3000
private-vlan community ! Communityを指定

interface gigabitEthernet 0/0      ! promiscuous-vlanを割り当てるポート
switchport mode private-vlan promiscuous
! プライマリ・セカンダリVLANを指定。
! PromiscuousポートとなるVLANは"mapping"設定
 switchport private-vlan mapping 100 2000-2001 

interface gigabitEthernet 0/1      ! isolate-vlanを割り当てる
switchport mode private-vlan host
! Promiscuous-vlan Isolate-vlanを指定。
! PromiscuousポートとなるVLANは"host-association"設定
 switchport private-vlan host-association 100 2000 

interface gigabitEthernet 0/1      ! isolate-vlanを割り当てる
switchport mode private-vlan host
! Promiscuous-vlan Isolate-vlanを指定。
! PromiscuousポートとなるVLANは"host-association"設定
 switchport private-vlan host-association 100 2000

ACL

IPv4 ACLとIPv6 ACLの違い

ip access-list…で設定するACLはIPv4
そのため、anyで設定を行ってもIPv6のフィルタリングはできない。

IPv6では、データプレーンへのACL適用がIPV4の場合と異なる。

interface GigabitEthernet0/0
 ip access-group 1 in
 ipv6 traffic-filter IPv6-ACL in

しかし、Lineインターフェースへの適用の際はIPv4とほぼ同じ構文となる。

line con 0
 access-class 1 in
 ipv6 access-class IPv6-ACL in
※ line vtyでも同様の設定

Time-based ACL

〇概要
現在の時刻を元にACLでフィルタリングが可能。
定期的な設定を示すperiodicと、一度の期間を示すabsoluteが存在する。
absoliteとperiodicはどちらも設定可能。

Time-Rangeのみを作成しただけでは効果がない。
ACL等と組み合わせ、特定の期間のみフィルタリングを行う。

〇設定

! Time-Rangeを指定
! Startのみ・Endのみも設定可能。
time-range [Time-Range-NAME]
 absolute start [hh:mm] [day] [yyyy] end [hh:mm] [day] [yyyy] 

! Time-Rangeを指定
! 曜日・平日・週末と時間を指定。
time-range [ACL-NAME]
 periodic [days] [hh:mm] to [hh:mm]

! ACLと組み合わせ、特定の期間のみICMPをDENYする。
ip access-list extended [ACL-NAME]
 deny   icmp any any time-range [Time-Range-NAME]
 permit ip any any

! インターフェースに適用
interface GigabitEthernet0/0
 ip access-group [ACL-NAME] in

uRPF (Unicast Reverse Path Forwrding )

〇概要
流入トラフィックの送信元IPアドレスをCEFを元にチェックする。

送信元アドレスがCEFに一致するものは転送するが、一致しないものはドロップする。
ルーティングテーブルではなく、実際に転送可能なCEFを元にしてチェックする。

uRPFにはStrictモードとlooseモードがある。
Strictモードはトラフィックが流入したIFから送信元IPに到達できることをチェックする。
Looseモードはトラフィックが流入したIFに関係なく送信元IPに到達出来ることをチェックする。

〇設定

! loose-modeでの設定
(config-if)#
ip verify unicast source reachable-via any

! strict-modeでの設定
(config-if)#
ip verify unicast source reachable-via rx

allow-defaultによって、デフォルトルートでの照合も行う。