Cisco IOS ACL ジェネレーター
共有ファイアウォールルール JSON を、確認専用の Cisco IOS 名前付き拡張 ACL サブセットとして出力します。
入力と主要な処理をブラウザ内で行い、その入力内容をQuickKitサーバーへ送信しない設計です。
実運用中の秘密情報を避け、可能ならダミー値やマスク済みデータを使用してください。 データ取扱いの詳細
Cisco IOS ACL 定義
drop は deny として出力します。ACL をインターフェースに適用すると、IOS は deny したパケットに対して ICMP unreachable を生成する場合があります（既定で有効、送信レート制限あり）。トラフィックが到着するインターフェースの no ip unreachables または no ipv6 unreachables で止められますが、この設定はこの ACL エントリだけでなく、インターフェース全体の挙動を変更します。副作用は「仕組みと使い方」を参照してください。
仕組みと使い方
共有ファイアウォールルール JSON だけを読み込み、QUICKKIT という未接続の Cisco IOS 名前付き IPv4/IPv6 拡張 ACL 定義を出力します。IPv4 CIDR は IOS ワイルドカードマスクに変換し、IPv6 は IPv6 ACL 構文を使います。ACL の方向、インターフェースへの適用、チェーンの意味、conntrack 状態は移植できないため、限定サブセットでは model の input ラベルだけを受け付けます。インターフェース・適用コマンドは出力しません。model の drop は応答を返さない破棄ですが、インターフェース ACL でパケットを deny すると、IOS は送信元へ ICMP unreachable を生成する場合があります。ICMP unreachable の生成は既定で有効で、送信レートが制限されます（IPv4 は既定で 500 ms に1回、ip icmp rate-limit unreachable で変更。IPv6 は ipv6 icmp error-interval）。応答を返さない破棄にするには、deny されるトラフィックが到着するインターフェースに no ip unreachables または no ipv6 unreachables を設定します。この設定はこの ACL エントリだけでなく、インターフェース全体の挙動を変更します。IPv4 では no ip unreachables により、そのインターフェースの IP Path MTU Discovery にも影響します。IOS ではこの応答をエントリごとではなくインターフェースごとに制御するため、reject には対応しません。