[index] CentreCOM x610シリーズ コマンドリファレンス 5.4.7
NoteAMFとアクセスリスト/ファイアウォールを併用する場合、以下にご注意ください。
access-list hardware TEST permit ip 172.31.0.0/16 172.31.0.0/16 <---- AMF パケットを許可 permit ip 192.168.10.0/24 any deny ip any any
NoteハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定が「ipv4-full-ipv6」になっている必要があります。初期設定の「ipv4-limited-ipv6」でもハードウェアIPv6アクセスリストは使用できますが、「ipv4-limited-ipv6」では始点・終点IPv6アドレスの指定ができないため、限られた使い方しかできません。ハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定を「ipv4-full-ipv6」に変更し、設定を保存した上で、システムを再起動してください。以下の説明は「ipv4-full-ipv6」で動作していることを前提としています。
Note同一ポート上において、ハードウェアパケットフィルターとポリシーマップを併用することも可能です。その場合、該当ポートで受信したパケットの処理は、ハードウェアパケットフィルター、ポリシーマップの順に行われます。両方を通過しないとパケットは出力されません。詳細は本解説編の「フィルター処理の流れ」をご覧ください。
Noteハードウェアパケットフィルターでは、予約済みリンクローカルアドレスのIPマルチキャストパケット（MACアドレス：0100.5e00.00xx、IPアドレス：224.0.0.x）および予約済みIPv6マルチキャストパケットに対してはフィルタリングできません。該当パケットをフィルタリングしたい場合は、ポリシーマップを使用することでフィルタリングが可能です。
Noteハードウェアパケットフィルターをサポートリミットまで使用したい場合は、boot configにコンフィグが設定された状態で製品を起動してください。boot config未設定の状態で起動した場合、AMFのリカバリー機能により、使用できるハードウェアパケットフィルターの数が通常よりも少なくなります。なお、製品のサポートリミットについては、リリースノートに記載のサポートリミット一覧を参照ください。
Noteハードウェアパケットフィルターでは、IP/IPv6ヘッダーのDSCP値やTCPヘッダーの制御フラグ値などに基づくフィルタリングはできません。これらの条件でフィルタリングを行いたい場合は、ポリシーマップのフィルタリング機能を利用してください。詳しくは、「トラフィック制御」の「Quality of Service」をご覧ください（「ポリシーマップのフィルタリング機能」他）。
Note以下の説明は、設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。あらかじめご了承ください。
Noteハードウェアパケットフィルターは、スイッチ本体から送信されるパケットには適用されません。
Note同一ポート上において、ハードウェアパケットフィルターとポリシーマップを併用している場合、該当ポートで受信したパケットの処理はハードウェアパケットフィルター、ポリシーマップの順に行われます。両方を通過しないとパケットは出力されません。
Note同一ポート上でパケットフィルタリングによる「破棄」とポリシーベースルーティングを併用するとき、どちらの条件にも一致するパケットが含まれる場合は、フィルタリングにハードウェアパケットフィルターを使用せず、QoSのポリシーマップだけでフィルタリングとポリシーベースルーティングを設定してください。
access-list 3001 deny ip 192.168.10.0/24 192.168.20.0/24 access-list 3002 permit ip 192.168.10.0/24 any
awplus(config)# class-map 3001 ↓ awplus(config-cmap)# match access-group 3001 ↓ awplus(config-cmap)# exit ↓ awplus(config)# class-map 3002 ↓ awplus(config-cmap)# match access-group 3002 ↓ awplus(config-cmap)# exit ↓ awplus(config)# policy-map pbr ↓ awplus(config-pmap)# class 3001 ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# class 3002 ↓ awplus(config-pmap-c)# set ip next-hop 192.168.30.1 ↓
NoteハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定が「ipv4-full-ipv6」になっている必要があります。初期設定の「ipv4-limited-ipv6」でもハードウェアIPv6アクセスリストは使用できますが、「ipv4-limited-ipv6」では始点・終点IPv6アドレスの指定ができないため、限られた使い方しかできません。ハードウェアIPv6アクセスリストの全機能を使用する場合は、platform hwfilter-sizeコマンドの設定を「ipv4-full-ipv6」に変更し、設定を保存した上で、システムを再起動してください。以下の説明は「ipv4-full-ipv6」で動作していることを前提としています。
awplus(config)# access-list 3000 deny ip 192.168.100.38/32 192.168.10.5/32 ↓ awplus(config)# access-list 3001 deny ip 192.168.100.38/32 192.168.10.11/32 ↓ awplus(config)# access-list 3002 deny ip any 192.168.10.5/32 ↓
awplus(config)# ipv6 access-list v6acl1 ↓ awplus(config-ipv6-hw-acl)# deny ipv6 2001:db8:10:20::/64 2001:db8:10:10::/64 ↓ awplus(config-ipv6-hw-acl)# exit ↓ awplus(config)# ipv6 access-list v6acl2 ↓ awplus(config-ipv6-hw-acl)# deny ipv6 any 2001:db8:10:ffff::/64 ↓ awplus(config-ipv6-hw-acl)# exit ↓
awplus(config)# interface port1.0.12 ↓ awplus(config-if)# access-group 3000 ↓ awplus(config-if)# access-group 3001 ↓ awplus(config-if)# ipv6 traffic-filter v6acl1 ↓ awplus(config-if)# exit ↓
awplus(config)# vlan access-map test ↓ awplus(config-vmap)# match access-group 3002 ↓ awplus(config)# vlan filter test vlan-list 200 input ↓
Note1つのスイッチポートに対して、ハードウェアアクセスリストを複数追加した場合、受信パケットとアクセスリストの照合はアクセスリストの追加順に行われます。受信パケットがどのアクセスリストともマッチしなかった場合、該当パケットは許可されます。
Noteハードウェアパケットフィルターは、スイッチ本体から送信されるパケットには適用されません。
awplus(config)# interface sa1 ↓ awplus(config-if)# access-group 3010 ↓
awplus(config)# interface port1.0.12 ↓ awplus(config-if)# access-group 3010 ↓ % ACL cannot be attached to an interface that is a member of a static-channel-group. Try attaching the ACL to "sa" interface.
awplus(config)# interface port1.0.1-1.0.10 ↓ awplus(config-if)# access-group 3020 ↓
awplus(config)# interface po1 ↓ awplus(config-if)# access-group 3020 ↓ % ACL cannot be attached to a dynamic aggregator interface.
awplus(config)# access-list 3010 deny ip 192.168.10.100/32 192.168.20.0/24 ↓ awplus(config)# interface port1.0.1 ↓ awplus(config-if)# access-group 3010 ↓
awplus(config)# access-list 3020 deny icmp 10.0.0.0/8 any ↓ awplus(config)# interface port1.0.2-1.0.4 ↓ awplus(config-if)# access-group 3020 ↓
awplus(config)# access-list 4010 permit 000a.7934.0b00 0000.0000.00ff any ↓ awplus(config)# access-list 4011 deny any any ↓ awplus(config)# interface port1.0.5 ↓ awplus(config-if)# access-group 4010 ↓ awplus(config-if)# access-group 4011 ↓
awplus(config)# access-list 3030 deny tcp any 192.168.30.100/32 eq 23 ↓ awplus(config)# interface port1.0.8 ↓ awplus(config-if)# access-group 3030 ↓■ ハードウェアパケットフィルターは、ルーティングされない同一サブネット内のトラフィックに対しても有効です。そのため、「192.168.10.0/24の存在するポート1.0.1～1.0.12において、192.168.10.0/24から他のサブネットへのIP通信を拒否」するつもりで次のような設定を行うと、192.168.10.0/24内でもIP通信ができなくなってしまいます。
awplus(config)# access-list 3041 deny ip 192.168.10.0/24 any ↓ awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# access-group 3041 ↓
awplus(config)# access-list 3040 permit ip 192.168.10.0/24 192.168.10.0/24 ↓ awplus(config)# access-list 3041 deny ip 192.168.10.0/24 any ↓ awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# access-group 3040 ↓ awplus(config-if)# access-group 3041 ↓
Noteハードウェアパケットフィルターでは、最初にマッチしたアクセスリストのアクションが実行されます。デフォルト拒否の設定を行うには、最初に特定の条件を満たしたパケットを許可するアクセスリストを並べた上で、最後にすべてを破棄するアクセスリストを指定します。また、デフォルト許可に設定する場合は、特定の条件を満たしたパケットを拒否するアクセスリストだけを並べていきます。つまり、ハードウェアパケットフィルター自体はデフォルト許可です。
awplus> show interface port1.0.1-1.0.12 access-group ↓ Interface port1.0.12 access-group 3000 access-group 3001
awplus# show access-list ↓
awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# no access-group 3041 ↓ awplus(config-if)# no access-group 3040 ↓ awplus(config-if)# no ipv6 traffic-filter v6acl1 ↓
Noteスイッチポートからハードウェアパケットフィルターを削除しても、ハードウェアアクセスリストそのものは削除されません。スイッチポートとハードウェアアクセスリストの関連付けが削除されるだけです。ハードウェアアクセスリストを削除するには、access-list(hardware ip)コマンド、access-list(hardware mac)コマンド、access-list hardware(list)コマンド、ipv6 access-list(list)コマンドをno形式で実行します。
awplus(config)# access-list hardware mylist ↓ awplus(config-ip-hw-acl)# deny ip 192.168.100.0/24 192.168.10.0/24 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.100.0/24 192.168.20.0/24 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.100.0/24 192.168.30.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# interface port1.0.1 ↓ awplus(config-if)# access-group mylist ↓
awplus# show access-list mylist ↓ Hardware IP access list mylist 10 deny ip 192.168.100.0/24 192.168.10.0/24 20 deny ip 192.168.100.0/24 192.168.20.0/24 30 deny ip 192.168.100.0/24 192.168.30.0/24 awplus#
Noteシーケンス番号を指定しないで設定した場合、10ステップで自動にシーケンス番号が設定されます。
awplus(config)# access-list hardware mylist ↓ % This access-list is attached to an interface. The modified configuration will be applied to the interface automatically after exiting this configration mode by entering "exit" or "end" command. awplus(config-ip-hw-acl)# 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)#
Noteアクセスグループを設定している場合、エントリーの追加はaccess-list hardware(list)コマンドの変更のみで可能です。
Noteアクセスグループを設定している場合、ハードウェアパケットフィルターのシーケンス番号を利用して設定変更した場合、設定内容が適用されるタイミングは、ハードウェアアクセスリストモードから、ExitまたはEndを実行し、グローバルコンフィグレーションモードまたは特権EXECモードに移行したときになります。それまでは、設定変更前のフィルター設定が動作します。
awplus# show access-list mylist ↓ Hardware IP access list mylist 10 deny ip 192.168.100.0/24 192.168.10.0/24 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 20 deny ip 192.168.100.0/24 192.168.20.0/24 30 deny ip 192.168.100.0/24 192.168.30.0/24 awplus#
awplus(config)# access-list hardware mylist ↓ % This access-list is attached to an interface. The modified configuration will be applied to the interface automatically after exiting this configration mode by entering "exit" or "end" command. awplus(config-ip-hw-acl)# no 30 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)#
awplus(config)# access-list hardware mylist ↓ % This access-list is attached to an interface. The modified configuration will be applied to the interface automatically after exiting this configration mode by entering "exit" or "end" command. awplus(config-ip-hw-acl)# no deny ip 192.168.100.0/24 192.168.30.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)#
awplus# show access-list mylist ↓ Hardware IP access list mylist 10 deny ip 192.168.100.0/24 192.168.10.0/24 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 20 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#
awplus# show access-list mylist ↓ Hardware IP access list mylist 10 deny ip 192.168.100.0/24 192.168.10.0/24 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 20 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#
awplus(config)# access-list hardware mylist ↓ % This access-list is attached to an interface. The modified configuration will be applied to the interface automatically after exiting this configration mode by entering "exit" or "end" command. awplus(config-ip-hw-acl)# 17 deny ip 192.168.100.0/24 192.168.10.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)#
awplus# show access-list mylist ↓ Hardware IP access list mylist 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 17 deny ip 192.168.100.0/24 192.168.10.0/24 20 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#
Noteアクセスリスト内で同じ条件とアクションを持つエントリーをシーケンス番号で指定して新たに設定した場合、設定したシーケンス番号にエントリーは移動します。
awplus# show access-list mylist ↓ Hardware IP access list mylist 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 17 deny ip 192.168.100.0/24 192.168.10.0/24 20 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#
awplus# show access-list mylist ↓ Hardware IP access list mylist 10 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 20 deny ip 192.168.100.0/24 192.168.10.0/24 30 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#
(C) 2011 - 2017 アライドテレシスホールディングス株式会社
PN: 613-001613 Rev.R