[index] CentreCOM 9600/8600シリーズ コマンドリファレンス 2.2

SET SWITCH L3FILTER ENTRY

カテゴリー:スイッチング / ハードウェアIPフィルター
対象機種:8624、9606


SET SWITCH L3FILTER=filter-id ENTRY=entry-id [TOS=0..7] [TTL=0..255] [PROTOCOL={TCP|UDP|ICMP|IGMP|protocol}] [SIPADDR=ipadd] [DIPADDR=ipadd] [TCPSPORT={port|port-name}] [TCPDPORT={port|port-name}] [TCPSYN={TRUE|FALSE}] [TCPACK={TRUE|FALSE}] [TCPFIN={TRUE|FALSE}] [TYPE=protocoltype] [UDPSPORT={port|port-name}] [UDPDPORT={port|port-name}] [IPORT=port-number] [EPORT=port-number] [PRIORITY=0..7] [PORT=port-number] [NEWTOS=0..7] [ACTION={SETPRIORITY|SENDCOS|SETTOS|DENY|SENDEPORT|SENDMIRROR}[,...]]

filter-id: フィルター番号(1〜8)
entry-id: エントリー番号(1〜)
protocol: IPプロトコル番号(0〜65535)
ipadd: IPアドレス
port: TCP/UDPポート番号(0〜65535)
port-name: サービス名
protocoltype: L3プロトコル番号(16進数)
port-number: スイッチポート番号(1〜)


ハードウェアIPフィルターのフィルターエントリー(フィルタリング条件およびマッチ時のアクション)を変更する。

フィルタリングに使用するパケットフィールドの変更は、SET SWITCH L3FILTER MATCHコマンドで行う。



パラメーター

L3FILTER: フィルター番号。この番号は可変なので、必ずSHOW SWITCH L3FILTERコマンドで確認してから指定すること

ENTRY: エントリー番号。この番号は可変なので、必ずSHOW SWITCH L3FILTERコマンドにENTRYパラメーターを付けて実行し、希望のエントリーを確認してから指定すること

TOS: (フィルタリング条件)対象パケットのIP TOS優先度(TOSオクテットのprecedence)フィールド値。有効範囲は0〜7。

TTL: (フィルタリング条件)対象パケットのIP TTL(生存時間)フィールド値。有効範囲は0〜255。

PROTOCOL: (フィルタリング条件)対象パケットのIPプロトコルフィールド値。TCP、UDP、ICMP、IGMPについては名前でも指定できる。その他プロトコルの場合はIPプロトコル番号で指定する。

SIPADDR: (フィルタリング条件)対象パケットの始点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対してADD SWITCH L3FILTER MATCHコマンドのSCLASSパラメーターで指定したマスクが適用される。ハードウェアIPフィルターはルーティングされない同一IPネットワーク内のトラフィックに対しても有効。

DIPADDR: (フィルタリング条件)対象パケットの終点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対してADD SWITCH L3FILTER MATCHコマンドのDCLASSパラメーターで指定したマスクが適用される。ハードウェアIPフィルターはルーティングされない同一IPネットワーク内のトラフィックに対しても有効。

TCPSPORT: (フィルタリング条件)対象パケットのTCP始点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにTCPを指定したときのみ有効。

TCPDPORT: (フィルタリング条件)対象パケットのTCP終点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにTCPを指定したときのみ有効。

TCPSYN: (フィルタリング条件)対象パケットのTCP制御フラグ「Syn」の値(オン・オフ)。TRUEはフラグが立っていることを、FALSEはフラグが立っていないことを示す。PROTOCOLパラメーターにTCPを指定したときのみ有効。また、EPORTパラメーターとは併用しないこと。

TCPACK: (フィルタリング条件)対象パケットのTCP制御フラグ「Ack」の値(オン・オフ)。TRUEはフラグが立っていることを、FALSEはフラグが立っていないことを示す。PROTOCOLパラメーターにTCPを指定したときのみ有効。また、EPORTパラメーターとは併用しないこと。

TCPFIN: (フィルタリング条件)対象パケットのTCP制御フラグ「Fin」の値(オン・オフ)。TRUEはフラグが立っていることを、FALSEはフラグが立っていないことを示す。PROTOCOLパラメーターにTCPを指定したときのみ有効。また、EPORTパラメーターとは併用しないこと。

TYPE: (フィルタリング条件)対象パケット(フレーム)のレイヤー3プロトコルタイプフィールド値(16進数)。本パラメーターを指定した場合、他のフィルタリング条件パラメーターは無効となる。また、ACTIONにSETTOSを指定することはできない。プロトコル番号は、ADD SWITCH L3FILTER MATCHコマンドのTYPEパラメーターで指定したフレームタイプにおけるものを指定すること。Ethernet Version 2と802.2 LLC(DSAP、SSAP)におけるプロトコルタイプは2バイト、SNAPのプロトコルタイプは5バイト長で指定する。

UDPSPORT: (フィルタリング条件)対象パケットのUDP始点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにUDPを指定したときのみ有効。

UDPDPORT: (フィルタリング条件)対象パケットのUDP終点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにUDPを指定したときのみ有効。

IPORT: (フィルタリング条件)対象パケットの入力スイッチポート。指定ポートから入力されたパケットだけがフィルタリングの対象となる。ADD SWITCH L3FILTER MATCHコマンドでIMPORT=TRUEを指定した場合にのみ有効。

EPORT: (フィルタリング条件)対象パケットの出力スイッチポート。指定ポートから出力されるパケットだけがフィルタリングの対象となる。ADD SWITCH L3FILTER MATCHコマンドでEMPORT=TRUEを指定した場合にのみ有効。ただし、EPORTパラメーターを指定した場合は、FDBかL3テーブルに登録されていないMACアドレス(ブロードキャスト、マルチキャスト、未学習のユニキャスト)宛てのパケットにはフィルターが適用されなくなるので注意すること。

PRIORITY: (アクションパラメーター)対象パケットに適用する802.1pユーザープライオリティー(0〜7)値。ACTIONパラメーターにSETPRIORITYかSENDCOSを指定したときのみ有効。ACTIONにSETPRIORITYを指定したときは、パケットのユーザープライオリティーフィールドにPRIORITYパラメーターで指定した値を書き込んで送出する(出力スイッチポートがタグ付きでないと意味を持たない)。ACTIONにSENDCOSを指定したときは、パケットをPRIORITYパラメーターで指定したユーザープライオリティーに対応する送信キューに入れる。省略時は0。

PORT: (アクションパラメーター)対象パケットを出力するスイッチポート。ACTIONパラメーターにSENDEPORTを指定したときのみ有効。入力ポートと出力ポートが同一VLANになるよう注意すること。

NEWTOS: (アクションパラメーター)パケット送信時にIPヘッダーのTOS優先度フィールドにセットする値。ACTIONにSETTOSを指定した場合のみ有効。

ACTION: パケットがフィルターの条件に一致したときのアクション。カンマ区切りで複数のアクションを指定できる。アクションの詳細は別表を参照のこと。



表 1:ACTIONパラメーターに指定できるオプション
DENY パケットを破棄する。もっとも効力の強いアクションであり、マッチしたエントリーの中にDENYアクションが含まれている場合は、通常のポートからパケットが出力されることはない(SENDEPORT、SENDCOSアクションがある場合でもパケットは出力されない)。ただし、ポートミラーリング機能が有効な場合は、ミラーポートからパケットのコピーが出力される(SENDMIRRORアクションも有効)。
SETTOS パケットのIP TOS優先度(precedence)フィールドに、NEWTOSパラメーターで指定された値を書き込む。TYPEパラメーターでIP以外のプロトコルを指定した場合は無効。
SETPRIORITY VLANタグフレームの802.1pユーザープライオリティーフィールドに、PRIORITYパラメーターで指定された値を書き込む。出力ポートがタグ付きの場合のみ有効。出力ポートがタグなしの場合はパケットにタグが付かないので、本アクションは意味を持たない。
SENDMIRROR パケットのコピーをミラーポートから出力する。あらかじめ、ミラーポートを指定し、ポートミラーリング機能を有効にしておく必要がある。
SENDEPORT パケットの出力先をPORTパラメーターで指定されたポートに変更する。このとき、出力ポートと入力ポートが同じVLANでなくてはならないので、設定には注意すること。
SENDCOS パケットをPRIORITYパラメーターで指定されたプライオリティーに対応するレベルの送信キューに入れる。



備考・注意事項

フィルタリング条件としてEPORT(出力スイッチポート)を指定した場合、FDB、L3テーブルのどちらにも登録されていないMACアドレス(ブロードキャスト、マルチキャスト、未学習のユニキャスト)宛てのパケットにはフィルターが適用されなくなる。したがって、TCP制御フラグによるフィルタリング(TCPSYN、TCPACK、TCPFINパラメーター)を行う場合、および、ブロードキャスト、マルチキャストパケットのフィルタリングを行う場合は、EPORTパラメーターを併用しないこと。



関連コマンド

ADD SWITCH L3FILTER ENTRY
ADD SWITCH L3FILTER MATCH
DELETE SWITCH L3FILTER ENTRY
SET SWITCH L3FILTER MATCH
SHOW SWITCH L3FILTER




Copyright (C) 2000-2002 アライドテレシス株式会社

PN: J613-M0522-00 Rev.C