[index] CentreCOM 9600/8600シリーズ コマンドリファレンス 2.2
カテゴリー:スイッチング / ハードウェアIPフィルター
対象機種:8624、9606
ADD SWITCH L3FILTER=filter-id ENTRY [TOS=0..7] [TTL=0..255] [PROTOCOL={TCP|UDP|ICMP|IGMP|protocol}] [SIPADDR=ipadd] [DIPADDR=ipadd] [TCPSPORT={port|port-name}] [TCPDPORT={port|port-name}] [TCPSYN={TRUE|FALSE}] [TCPACK={TRUE|FALSE}] [TCPFIN={TRUE|FALSE}] [TYPE=protocoltype] [UDPSPORT={port|port-name}] [UDPDPORT={port|port-name}] [IPORT=port-number] [EPORT=port-number] [PRIORITY=0..7] [PORT=port-number] [NEWTOS=0..7] [ACTION={SETPRIORITY|SENDCOS|SETTOS|DENY|SENDEPORT|SENDMIRROR}[,...]]
filter-id: フィルター番号(1〜8)
protocol: IPプロトコル番号(0〜65535)
ipadd: IPアドレス
port: TCP/UDPポート番号(0〜65535)
port-name: サービス名
protocoltype: L3プロトコル番号(16進数)
port-number: スイッチポート番号(1〜)
ハードウェアIPフィルターにフィルターエントリーを追加する。
ADD SWITCH L3FILTER MATCHコマンドで指定したすべてのパケットフィールドに対して、フィルタリング条件を実際の値で指定し、マッチ時のアクション(複数可)を指定する。
エントリー番号はコマンド実行時にシステムが自動で割り当てる。この番号は可変なので、エントリーの追加や削除によって前後にずれる可能性がある。他のコマンドでエントリー番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドにENTRYパラメーターを付けて実行し、希望するエントリーであることを確認してから指定すること。
フィルターエントリーは「システム全体」で127個(IGMP有効時は125個)まで設定可能。
パラメーター |
L3FILTER: フィルター(マッチ条件)番号。この番号は可変なので、SHOW SWITCH L3FILTERコマンドで確認してから指定すること
TOS: (フィルタリング条件)対象パケットのIP TOS優先度(TOSオクテットのprecedence)フィールド値。有効範囲は0〜7。
TTL: (フィルタリング条件)対象パケットのIP TTL(生存時間)フィールド値。有効範囲は0〜255。
PROTOCOL: (フィルタリング条件)対象パケットのIPプロトコルフィールド値。TCP、UDP、ICMP、IGMPについては名前でも指定できる。その他プロトコルの場合はIPプロトコル番号で指定する。
SIPADDR: (フィルタリング条件)対象パケットの始点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対してADD SWITCH L3FILTER MATCHコマンドのSCLASSパラメーターで指定したマスクが適用される。ハードウェアIPフィルターはルーティングされない同一IPネットワーク内のトラフィックに対しても有効。
DIPADDR: (フィルタリング条件)対象パケットの終点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対してADD SWITCH L3FILTER MATCHコマンドのDCLASSパラメーターで指定したマスクが適用される。ハードウェアIPフィルターはルーティングされない同一IPネットワーク内のトラフィックに対しても有効。
TCPSPORT: (フィルタリング条件)対象パケットのTCP始点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにTCPを指定したときのみ有効。
TCPDPORT: (フィルタリング条件)対象パケットのTCP終点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにTCPを指定したときのみ有効。
TCPSYN: (フィルタリング条件)対象パケットのTCP制御フラグ「Syn」の値(オン・オフ)。TRUEはフラグが立っていることを、FALSEはフラグが立っていないことを示す。PROTOCOLパラメーターにTCPを指定したときのみ有効。また、EPORTパラメーターとは併用しないこと。
TCPACK: (フィルタリング条件)対象パケットのTCP制御フラグ「Ack」の値(オン・オフ)。TRUEはフラグが立っていることを、FALSEはフラグが立っていないことを示す。PROTOCOLパラメーターにTCPを指定したときのみ有効。また、EPORTパラメーターとは併用しないこと。
TCPFIN: (フィルタリング条件)対象パケットのTCP制御フラグ「Fin」の値(オン・オフ)。TRUEはフラグが立っていることを、FALSEはフラグが立っていないことを示す。PROTOCOLパラメーターにTCPを指定したときのみ有効。また、EPORTパラメーターとは併用しないこと。
TYPE: (フィルタリング条件)対象パケット(フレーム)のレイヤー3プロトコルタイプフィールド値(16進数)。本パラメーターを指定した場合、他のフィルタリング条件パラメーターは無効となる。また、ACTIONにSETTOSを指定することはできない。プロトコル番号は、ADD SWITCH L3FILTER MATCHコマンドのTYPEパラメーターで指定したフレームタイプにおけるものを指定すること。Ethernet Version 2と802.2 LLC(DSAP、SSAP)におけるプロトコルタイプは2バイト、SNAPのプロトコルタイプは5バイト長で指定する。
UDPSPORT: (フィルタリング条件)対象パケットのUDP始点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにUDPを指定したときのみ有効。
UDPDPORT: (フィルタリング条件)対象パケットのUDP終点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにUDPを指定したときのみ有効。
IPORT: (フィルタリング条件)対象パケットの入力スイッチポート。指定ポートから入力されたパケットだけがフィルタリングの対象となる。ADD SWITCH L3FILTER MATCHコマンドでIMPORT=TRUEを指定した場合にのみ有効。
EPORT: (フィルタリング条件)対象パケットの出力スイッチポート。指定ポートから出力されるパケットだけがフィルタリングの対象となる。ADD SWITCH L3FILTER MATCHコマンドでEMPORT=TRUEを指定した場合にのみ有効。ただし、EPORTパラメーターを指定した場合は、FDBかL3テーブルに登録されていないMACアドレス(ブロードキャスト、マルチキャスト、未学習のユニキャスト)宛てのパケットにはフィルターが適用されなくなるので注意すること。
PRIORITY: (アクションパラメーター)対象パケットに適用する802.1pユーザープライオリティー(0〜7)値。ACTIONパラメーターにSETPRIORITYかSENDCOSを指定したときのみ有効。ACTIONにSETPRIORITYを指定したときは、パケットのユーザープライオリティーフィールドにPRIORITYパラメーターで指定した値を書き込んで送出する(出力スイッチポートがタグ付きでないと意味を持たない)。ACTIONにSENDCOSを指定したときは、パケットをPRIORITYパラメーターで指定したユーザープライオリティーに対応する送信キューに入れる。省略時は0。
PORT: (アクションパラメーター)対象パケットを出力するスイッチポート。ACTIONパラメーターにSENDEPORTを指定したときのみ有効。入力ポートと出力ポートが同一VLANになるよう注意すること。
NEWTOS: (アクションパラメーター)パケット送信時にIPヘッダーのTOS優先度フィールドにセットする値。ACTIONにSETTOSを指定した場合のみ有効。
ACTION: パケットがフィルターの条件に一致したときのアクション。カンマ区切りで複数のアクションを指定できる。アクションの詳細は別表を参照のこと。
DENY | パケットを破棄する。もっとも効力の強いアクションであり、マッチしたエントリーの中にDENYアクションが含まれている場合は、通常のポートからパケットが出力されることはない(SENDEPORT、SENDCOSアクションがある場合でもパケットは出力されない)。ただし、ポートミラーリング機能が有効な場合は、ミラーポートからパケットのコピーが出力される(SENDMIRRORアクションも有効)。 |
SETTOS | パケットのIP TOS優先度(precedence)フィールドに、NEWTOSパラメーターで指定された値を書き込む。TYPEパラメーターでIP以外のプロトコルを指定した場合は無効。 |
SETPRIORITY | VLANタグフレームの802.1pユーザープライオリティーフィールドに、PRIORITYパラメーターで指定された値を書き込む。出力ポートがタグ付きの場合のみ有効。出力ポートがタグなしの場合はパケットにタグが付かないので、本アクションは意味を持たない。 |
SENDMIRROR | パケットのコピーをミラーポートから出力する。あらかじめ、ミラーポートを指定し、ポートミラーリング機能を有効にしておく必要がある。 |
SENDEPORT | パケットの出力先をPORTパラメーターで指定されたポートに変更する。このとき、出力ポートと入力ポートが同じVLANでなくてはならないので、設定には注意すること。 |
SENDCOS | パケットをPRIORITYパラメーターで指定されたプライオリティーに対応するレベルの送信キューに入れる。 |
例 |
■ ポート1〜3で受信した192.168.10.0/24からのIPパケットを破棄
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=C IMPORT=TRUE
■ 192.168.10.100からのTCPコネクション確立要求を拒否(片方向のみ拒否。他のホストから192.168.10.100へはコネクションを張れる)
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=1 ACTION=DENY
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=2 ACTION=DENY
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=3 ACTION=DENY
ADD SWITCH L3FILTER MATCH=SIPADDR,PROTOCOL,TCPSYN,TCPACK SCLASS=HOST
■ 192.168.10.5からのパケットの802.1pユーザープライオリティーフィールドに4をセットして送信
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.100 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.5 PRIORITY=4 ACTION=SETPRIORITY
備考・注意事項 |
フィルタリング条件としてEPORT(出力スイッチポート)を指定した場合、FDB、L3テーブルのどちらにも登録されていないMACアドレス(ブロードキャスト、マルチキャスト、未学習のユニキャスト)宛てのパケットにはフィルターが適用されなくなる。したがって、TCP制御フラグによるフィルタリング(TCPSYN、TCPACK、TCPFINパラメーター)を行う場合、および、ブロードキャスト、マルチキャストパケットのフィルタリングを行う場合は、EPORTパラメーターを併用しないこと。
IGMPを有効にすると、IGMP用にハードウェアIPフィルターのエントリーが2つ作成され、ハードウェアIPフィルター機能が有効化される。そのため、ユーザーが定義できるフィルターエントリーの数は2つ減少して125個までとなる。また、すでに126個以上のフィルターエントリーを作成している場合は、IGMPを有効にできない。その場合は、先にエントリーをいくつか削除し、IGMP用エントリーの空きを作る必要がある(DELETE SWITCH L3FILTER ENTRYコマンド)。IGMP用エントリーはユーザーには見えない。
関連コマンド |
DELETE SWITCH L3FILTER ENTRY
SET SWITCH L3FILTER ENTRY
SHOW SWITCH L3FILTER
Copyright (C) 2000-2002 アライドテレシス株式会社
PN: J613-M0522-00 Rev.C