[index] CentreCOM AR570S コマンドリファレンス 2.9
- 基本動作
- フィルターの構成
- フィルター処理の流れ
- 概要
- 詳細
- 設定手順
- フィルタリング条件の指定
- 処理内容の指定
- マッチしたパケットの記録
- インターフェースへの適用
- フィルターの削除
- トラフィックフィルターの設定例
- ポリシーフィルターの設定例
- プライオリティーフィルターの設定例
- その他
Note - 以下の説明内容は、旧バージョン仕様のものです。最新バージョンでは、任意の番号のIDに対して、IPフィルターの種類を設定できるよう拡張されています。（参照：ADD IP FILTERコマンドのTYPEパラメーター）
| トラフィックフィルター | 0〜99 | 受信パケットのヘッダー情報に基づき、パケットを破棄または許可する。不正アクセスを防ぐなど、おもにセキュリティーを高めるために使用する |
| ポリシーフィルター | 100〜199 | 受信パケットのヘッダー情報に基づき、パケットに内部的な経路選択ポリシー（サービスタイプ）を割り当て、経路選択時の動作に影響を与える。別途、サービスタイプ指定の経路エントリーを作成することにより、パケットごとに異なる経路をとらせることができる（ポリシールーティング）。また、パケットのTOSビット（D、T、R）書き換えも可 |
| プライオリティーフィルター | 200〜299 | 送信パケットのヘッダー情報に基づき、出力時の絶対優先度を設定する。特定のアプリケーショントラフィックを最優先で出力するような設定ができる（プライオリティールーティング） |
Note - プライオリティーフィルターは送信側インターフェースに設定するため、Firewall NATやIP NATと併用時、フィルターの条件にソースアドレスを指定する場合、NAT変換後のアドレスを指定する必要があります。
Note - Eth/PPPoEインターフェースでプライオリティーフィルターが動作する条件は、受信インターフェースの速度の合計より送信インターフェースの速度の合計が小さい場合になりますのでご注意ください。(例1) 100Mbpsの受信インターフェース1つに対して、10Mbpsの送信インターフェースが1つあるとき。 (例2) 100Mbpsの受信インターフェース2つに対して、100Mbpsの送信インターフェースが1つあるとき。
Note - QoS機能とプライオリティーフィルターは併用できません。
Note - IPsec、L2TPなどパケットのカプセリングを行う機能と併用時、フィルターはカプセリング処理後のパケットに対して適用されます。
Note - 上記以外にフィルター番号300〜399も使用できますが、この範囲はBGP-4の経路交換を制御するプレフィックスフィルター用の番号であり、パケットフィルタリングとは異なるためここでは扱いません。プレフィックスフィルターの使用方法については「IP」/「経路制御（BGP-4）」をご覧ください。
| 基本動作 |
| フィルターの構成 |
| フィルター処理の流れ |
Note - 以下の説明は、設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。あらかじめご了承ください。
Note - 経路エントリーの作成はADD IP ROUTEコマンドで行います。また、経路エントリーのサービスタイプ（0〜7）は同コマンドのPOLICYパラメーターで指定します。
| 設定手順 |
| フィルタリング条件の指定 |
| SOURCE | 始点IPアドレス。必須パラメーター |
| SMASK | 始点マスク（始点IPアドレスに対するマスク） |
| DESTINATION | 終点IPアドレス |
| DMASK | 終点マスク（終点IPアドレスに対するマスク） |
| PROTOCOL | IPの上位プロトコル |
| OPTIONS | IPオプション付きかどうか |
| SIZE | フラグメント再構成後の最大データグラムサイズ |
| SPORT | 始点TCP/UDPポート |
| DPORT | 終点TCP/UDPポート |
| ICMPTYPE | ICMPメッセージタイプ |
| ICMPCODE | ICMPサブコード |
| SESSION | TCPセッションの方向。すべて、接続開始（Syn=1、Ack=0）、接続済み（Ack=1）から選択する |
SOURCE=192.168.20.100 SMASK=255.255.255.255 ↓
SOURCE=0.0.0.0 DESTINATION=10.10.10.1 ↓
Note - DMASK省略時は255.255.255.255（ホスト）と見なされます。
SOURCE=172.16.20.0 SMASK=255.255.255.0 ↓
SOURCE=0.0.0.0 DESTINATION=10.10.10.0 DMASK=255.255.255.0 ↓
SOURCE=0.0.0.0 ↓
SOURCE=0.0.0.0 PROTOCOL=TCP ↓
SOURCE=0.0.0.0 PROTOCOL=ICMP ICMPTYPE=ECHO ↓
SOURCE=192.168.10.5 SMASK=255.255.255.255 PROTOCOL=TCP SPORT=80 SESSION=ESTABLISHED ↓
SOURCE=0.0.0.0 DESTINATION=10.1.2.3 PROTOCOL=ICMP ICMPTYPE=ECHO ↓
Note - SMASKまたは、DMASKパラメーターで指定したサブネットマスク長に対応するネットワークアドレスが、SOURCEまたは、DESTINATIONパラメーターで設定されていない場合フィルタールールにマッチしません。
| 処理内容の指定 |
| トラフィックフィルター（0〜99） | ACTION | EXCLUDE（パケットを破棄する）かINCLUDE（通過させる）を選択する。トラフィックフィルターは、エントリーリストの末尾に「すべてを破棄」する暗黙のエントリーが存在するので、「デフォルト拒否」のフィルターを作成するときは、例外的に許可するルールだけを記述すればよい。一方、「デフォルト許可」のフィルターを作成するときは、拒否するトラフィックのルールを列挙した上で、リストの最後に「すべて許可」のルールを必ず作成すること。そうでないと、暗黙の「すべて破棄」ルールによってすべてのトラフィックが拒否されてしまう。トラフィックフィルターは受信インターフェースで条件のチェックが行われ、マッチした場合はただちにアクションが実行される |
| ポリシーフィルター（100〜199） | POLICY | パケットに割り当てる「経路選択ポリシー」を指定する。経路選択ポリシー値の範囲は0〜7だが、POLICYパラメーターには0〜15の範囲を指定することができる。0〜7を指定した場合は、指定値がそのまま経路選択ポリシー値となる。8〜15を指定した場合は、経路選択ポリシーとして「POLICY - 8」を割り当て、さらに、パケットのTOSビット（D、T、R）を「POLICY - 8」に書き換える。たとえば、ポリシーフィルターのエントリー作成時に「POLICY=15」を指定した場合、該当エントリーにマッチしたパケットには経路選択ポリシー「7」（15 - 8）が割り当てられ、TOSビットも7（15 - 8）、すなわち、「D=1、T=1、R=1」に書き換えられる。経路選択時には、パケットに割り当てられた経路選択ポリシー値と経路エントリーのサービスタイプ（0〜7）が比較され、マッチした経路が優先的に使用される。経路表に該当するサービスタイプの経路がないときは、デフォルトサービスタイプ（0）の経路エントリーが使用される。ポリシーフィルターにマッチしなかったパケットはポリシー値0を持つものとみなされる。また、登録時にサービスタイプを指定しなかった経路エントリーはサービスタイプ0とみなされる。ポリシーフィルターは受信インターフェースで条件のチェックとポリシー値の付与（とオプションでTOSビットの書き換え）が行われ、経路選択時にポリシー値に基づいた選択が行われる |
| プライオリティーフィルター（200〜299） | PRIORITY | パケット送信時の絶対優先度をP0（最高）〜P7（最低）で指定する。パケットの送信は、つねに優先度の高いパケットから順に行われる。上位のパケットがある限り、下位のパケットは送信されない。プライオリティーフィルターは送信インターフェースで条件のチェックが行われ、マッチした場合はフィルターが設定した優先度に基づいてパケットの送信順序が決められる |
ADD IP FILTER=0 SOURCE=172.16.20.0 SMASK=255.255.255.0 ACTION=EXCLUDE ↓
ADD IP FILTER=100 SOURCE=0.0.0.0 PROTOCOL=TCP POLICY=1 ↓
ADD IP FILTER=100 SOURCE=192.168.10.100 SMASK=255.255.255.255 POLICY=15 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXT=0.0.0.0 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp1 NEXT=0.0.0.0 POLICY=7 ↓
Note - ADD IP ROUTEコマンドでスタティック経路を登録する際にPOLICYパラメーターを省略した場合、同経路のサービスタイプは「0」となります。
Note - パケットに割り当てられているのと同じポリシー値（サービスタイプ）を持つ経路エントリーがないときは、デフォルトサービスタイプ（0）の経路エントリーが使用されます。
| 0 | 0 | しない |
| 1 | 1 | しない |
| 2 | 2 | しない |
| 3 | 3 | しない |
| 4 | 4 | しない |
| 5 | 5 | しない |
| 6 | 6 | しない |
| 7 | 7 | しない |
| 8 | 0（8 - 8） | 0（D=0, T=0, M=0） |
| 9 | 1（9 - 8） | 1（D=0, T=0, M=1） |
| 10 | 2（10 - 8） | 2（D=0, T=1, M=0） |
| 11 | 3（11 - 8） | 3（D=0, T=1, M=1） |
| 12 | 4（12 - 8） | 4（D=1, T=0, M=0） |
| 13 | 5（13 - 8） | 5（D=1, T=0, M=1） |
| 14 | 6（14 - 8） | 6（D=1, T=1, M=0） |
| 15 | 7（15 - 8） | 7（D=1, T=1, M=1） |
ADD IP FITLER=200 SOURCE=0.0.0.0 PROTOCOL=TCP DPORT=23 PRIORITY=P0 ↓
| マッチしたパケットの記録 |
| NONE | 記録しない（デフォルト） | |
| 4〜1600 | 「IPFIL/PASS」（INCLUDE時）、「IPFIL/FAIL」（EXCLUDE時） | フィルター番号、エントリー番号、IPヘッダー情報（IPアドレス、プロトコル、ポート番号、サイズ） |
| 「IPFIL/DUMP」 | TCP/UDP/ICMPの場合はデータ部分の先頭4〜1600バイト。その他プロトコルの場合はIPデータの先頭4〜1600バイト | |
| DUMP | 「IPFIL/PASS」（INCLUDE時）、「IPFIL/FAIL」（EXCLUDE時） | フィルター番号、エントリー番号、IPヘッダー情報（IPアドレス、プロトコル、ポート番号、サイズ） |
| 「IPFIL/DUMP」 | TCP/UDP/ICMPの場合はデータ部分の先頭32バイト。その他プロトコルの場合はIPデータの先頭32バイト。「LOG=32」と指定した場合と同じ | |
| HEADER | 「IPFIL/PASS」（INCLUDE時）、「IPFIL/FAIL」（EXCLUDE時） | フィルター番号、エントリー番号、IPヘッダー情報（IPアドレス、プロトコル、ポート番号、サイズ） |
16 22:52:29 3 IPG IPFIL PASS 2/1 Pass 192.168.20.100>192.168.10.100 TCP
1040>21 Start 44:0
|
ADD IP FILT=2 SO=192.168.20.100 SMA=255.255.255.255 DEST=192.168.10.100 DMA=255.255.255.255 AC=INCLUDE ↓
SET IP FILT=2 ENTRY=1 PROTO=TCP DPORT=FTP LOG=HEADER ↓
16 22:59:48 3 IPG IPFIL FAIL 2/3 Fail 192.168.20.100>192.168.10.100 TCP
1042>23 Start 44:0
|
ADD IP FILT=2 SO=0.0.0.0 DPORT=23 PROTO=TCP AC=EXCLUDE LOG=HEADER ↓
16 23:04:03 3 IPG IPFIL FAIL 0/1 Fail 192.168.20.100>192.168.20.1 ICMP 8/0
1328:1304
|
ADD IP FILT=0 AC=EXCLUDE LOG=HEADER SO=0.0.0.0 PROTO=ICMP ICMPTYPE=ECHO ↓
| インターフェースへの適用 |
SET IP INT=ppp0 FILTER=0 ↓
SET IP INT=vlan1 POLICYFILTER=100 ↓
SET IP INT=pp0 PRIORITYFILTER=200 ↓
SET IP INT=ppp0 FILTER=NONE ↓
| フィルターの削除 |
DELETE IP FILTER=10 ENTRY=2 ↓
Note - エントリーを削除しても、他のエントリーの番号は変わりません。
DELETE IP FILTER=10 ENTRY=ALL ↓
SET IP INT=vlan1 POLICYFILTER=NONE ↓
| トラフィックフィルターの設定例 |
ADD IP FILTER=0 SOURCE=192.168.20.7 SMASK=255.255.255.255 ACTION=EXCLUDE ↓
ADD IP FILTER=0 SOURCE=0.0.0.0 ACTION=INCLUDE ↓
SET IP INT=vlan1 FILTER=0 ↓
ADD IP FILTER=0 SOURCE=192.168.20.0 SMASK=255.255.255.0 ACTION=INCLUDE ↓
SET IP FILTER=0 ENTRY=1 LOG=HEADER ↓
Note - エントリー番号は可変なので、必ずSHOW IP FILTERコマンドで希望するエントリーの番号を調べてから指定してください。
ADD IP FILT=1 SO=192.168.20.7 SMA=255.255.255.255 DEST=192.168.10.5 DMA=255.255.255.255 AC=INCLUDE ↓
SET IP FILT=1 ENTRY=1 PROTO=TCP DPORT=TELNET ↓
SET IP INT=vlan1 FILTER=1 ↓
ADD IP FILT=0 SO=192.168.10.0 SMA=255.255.255.0 DES=192.168.20.0 DMA=255.255.255.0 PROTO=TCP SESS=ESTAB AC=INCLUDE ↓
SET IP INT=eth0 FILTER=0 ↓
ADD IP FILT=1 SO=192.168.20.0 SMA=255.255.255.0 DES=192.168.10.0 DMA=255.255.255.0 PROTO=TCP SESS=ANY AC=INCLUDE ↓
SET IP INT=vlan1 FILTER=1 ↓
| ポリシーフィルターの設定例 |
ADD IP FILT=100 SO=192.168.10.100 SM=255.255.255.255 DEST=192.168.20.0 DM=255.255.255.0 POLICY=1 ↓
ADD IP FILT=100 SO=0.0.0.0 DEST=192.168.20.0 DMA=255.255.255.0 POLICY=2 ↓
SET IP INT=vlan1 POLICYFILTER=100 ↓
ADD IP ROUTE=192.168.20.0 MASK=255.255.255.0 INTERFACE=fr0 NEXT=192.168.100.2 DLC=16 POLICY=1 ↓
ADD IP ROUTE=192.168.20.0 MASK=255.255.255.0 INTERFACE=fr0 NEXT=192.168.100.2 DLC=17 POLICY=2 ↓
| プライオリティーフィルターの設定例 |
ADD IP FILT=200 SO=192.168.20.0 SMA=255.255.255.0 DEST=192.168.10.5 DMA=255.255.255.255 PROTO=TCP DPORT=22 PRIORITY=P0 ↓
ADD IP FILT=200 SO=192.168.20.0 SMA=255.255.255.0 PROTO=ANY PRIORITY=P7 ↓
SET IP INT=ppp0 PRIORITYFILTER=200 ↓
| その他 |
SHOW IP FILTER ↓
SHOW IP INT ↓
(C) 2006-2013 アライドテレシスホールディングス株式会社
PN: 613-000273 Rev.J