[index] CentreCOM 9800シリーズ コマンドリファレンス 2.6
カテゴリー:スイッチング / ハードウェアパケットフィルター
ADD SWITCH HWFILTER=filter-id CLASSIFIER=rule-list ACTION={FORWARD|DISCARD|COPY|COPY,DISCARD} DPORT={port-list|ALL} [RULEPOS=pos]
filter-id: フィルター番号(1〜999)
rule-list: クラシファイア番号(1〜9999。ハイフン、カンマを使った複数指定も可能)
port-list: スイッチポート番号(1〜。ハイフン、カンマを使った複数指定も可能)
pos: エントリー番号(0〜)
ハードウェアパケットフィルターにフィルターエントリーを追加する。
パケットをフィルタリングするためのパラメーター(IPアドレス、ポート番号など)は、汎用のパケットフィルターであるクラシファイア(CREATE CLASSIFIERコマンドで作成)で定義する。本コマンドでは、クラシファイア番号とマッチ時のアクションを一組のエントリーとしてフィルターに追加する。
ハードウェアパケットフィルターは番号の小さい順に検索される。また、フィルター内のエントリーも番号の小さい順に検索される。アクションは最初にマッチしたエントリーで実行される。
パラメーター |
HWFILTER: フィルター番号。ハードウェアパケットフィルターの検索は番号の小さい順に行われる。番号は固定なので、他のフィルターを削除しても変更されることはない。また、番号に空きがあってもよい
CLASSIFIER: クラシファイア番号。ハイフン、カンマを使って複数指定することも可能。複数指定した場合は、クラシファイアの数だけ(同じアクションの)エントリーが作成される。単一のフィルター内で同一のクラシファイアを複数回使用したり、複数のフィルターで同一のクラシファイアを使うことも可能だが、その場合はDPORTパラメーターで指定するポートが重ならないようにすること
ACTION: パケットがクラシファイアに一致したときのアクション。FORWARD(転送)、DISCARD(破棄)、COPY(CPUにコピー)、COPY,DISCARD(CPUにコピー+破棄)から選択する。COPYとCOPY,DISCARDはフィルターのデバッグ用で、ENABLE IP DEBUGコマンドのPACKETオプションと組み合わせて使うことを想定している。通常はFORWARDとDISCARDだけを使うこと
DPORT: 出力スイッチポート。本エントリーは、DPORTで指定したポートから出力されるパケットにだけ適用される。ALLはすべてのスイッチポートを意味する。また、DPORTにALL以外を指定したときは、複数ポートへ出力されるブロードキャスト、マルチキャスト、未学習ユニキャストパケットは、フィルターの適用対象にならない
RULEPOS: エントリー番号。省略時はエントリーリストの末尾に追加される。すでにn個のエントリーが存在している場合(0〜n-1が存在)、本パラメーターを省略すると「n」を指定したのと同じ動作になる。「n」より大きなエントリー番号を指定することはできない。「0」を指定した場合は、エントリーリストの先頭に挿入される。既存エントリーと同じ番号を指定した場合は、既存エントリーの前に新規エントリーが追加され、既存エントリー以降は番号がCLASSIFIERパラメーターで指定したクラシファイアの数だけ後ろにずれる
例 |
■ ホスト192.168.20.200からネットワーク192.168.10.0/24宛てのIPパケットを破棄。ここでは、192.168.10.0/24がスイッチポート1-4に接続されている
CREATE CLASSIFIER=11 IPSADDR=192.168.20.200 IPDADDR=192.168.10.0/24
ADD SWITCH HWFILTER=1 CLASSIFIER=11 ACTION=DISCARD DPORT=1-4
備考・注意事項 |
DPORTには、可能な限り、フィルターを適用したいポートだけを指定すること。CREATE CLASSIFIERコマンドでIPDADDR、IPXDADDRを指定している場合、ADD SWITCH HWFILTERコマンドのDPORTパラメーターに指定したポートの数だけ内部テーブル領域が消費される。ADD SWITCH HWFILTERコマンドの実行時に「Insufficient space in the hardware packet classifier tables.」というエラーメッセージが表示されたときは、DPORTパラメーターに指定するポートを限定できないか検討してみるとよい。特に「DPORT=ALL」は、本当に必要なとき以外使わないこと。
DPORTにALL以外を指定した場合、複数ポートへ出力されるブロードキャスト、マルチキャスト、未学習ユニキャストパケットには、ハードウェアパケットフィルターが適用されない。
スイッチ本体宛てのパケット、および、スイッチ本体から送信されるパケットへの適用条件については、解説編の「本体宛てのパケットと本体発のパケット」を参照。その他、注意すべき各種仕様については解説編を参照。
関連コマンド |
CREATE CLASSIFIER
DELETE SWITCH HWFILTER
SHOW SWITCH HWFILTER
(C) 2002 - 2005 アライドテレシスホールディングス株式会社
PN: J613-M6933-01 Rev.G