[index] CentreCOM ARX640S コマンドリファレンス 5.1.5

ブリッジング / 一般設定

ご購入時設定
基本設定
ローカルブリッジ
リモートブリッジ
EtherIP over IPv4
EtherIP over IPv6
EtherIP over IPsec（over IPv4）
EtherIP over IPsec（over IPv6）
詳細設定
ブリッジ対象プロトコル
タグ付きフレームのブリッジング
フォワーディングデータベース
ブリッジフィルター
フィルター処理の流れ
MACアクセスリストの種類
MACアクセスリストの作成
MACアクセスリストの適用
他機能との関係（パケット処理順序）
BVIインターフェース

本製品は、Ethernetフレームを中継するブリッジとして動作させることができます。ここでは、ブリッジ機能の設定方法について説明します。

ブリッジングが可能なインターフェースは次の4種類です。
ただし、VLANインターフェース間でのブリッジングはできません。

ご購入時設定

 ご購入時など、スタートアップコンフィグが存在しない状態で起動した場合は、ブリッジ機能に関連するものとして下記の設定が存在します。必要に応じて設定の変更や削除を行ってください。

interface vlan 1
 ip address 192.168.1.1/24
!
ip dhcp pool vlan 1
 range 192.168.1.155 192.168.1.254
dhcp-server ip enable


以下では、ご購入時の設定が存在しないものとしてブリッジ機能の設定手順を説明します。

ご購入時設定の削除については、「運用・管理」/「システム」の「ご購入時設定内容の削除」をご覧ください。

基本設定

 本製品をブリッジとして使用するための基本的な設定を示します。

ローカルブリッジ

 下記のインターフェース間ですべてのプロトコルをブリッジします。

  1. ブリッジ機能を有効にします。

    *Router(config)# bridge irb enable ↓


  2. ブリッジグループを作成します。

    *Router(config)# bridge-group 1 ↓


  3. vlan 1インターフェースとgigabitEthernet 0インターフェースを、前の手順で作成したブリッジグループに割り当てます。
    gigabitEthernet 0インターフェースは初期状態が無効なので、no shutdownで有効化しています。

    *Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓
*Router(config)# interface gigabitEthernet 0 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# no shutdown ↓
*Router(config-if)# exit ↓


リモートブリッジ

EtherIP over IPv4

 EtherIP over IPv4は、既存のIPv4ネットワーク経由でEthernet LAN同士をブリッジ接続するための仕組みです。

ここでは、下記の構成において、ブリッジA・Bのvlan 1同士をリモートブリッジ接続します。

以下では、ブリッジA側の設定例を示します。
なお、前提事項として、ローカル側ブリッジA（自装置）のWAN側IPアドレスは10.1.1.1、リモート側ブリッジB（対向装置）のWAN側IPアドレスは10.2.2.2とし、ブリッジA・B間で通信を行うために必要なIPの設定はすんでいるものとします。
  1. ブリッジ機能を有効にします。

    *Router(config)# bridge irb enable ↓


  2. ブリッジグループを作成します。

    *Router(config)# bridge-group 1 ↓


  3. LAN側インターフェース（vlan 1）をブリッジグループに割り当てます。

    *Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓


  4. トンネルインターフェースを作成します。

    *Router(config)# interface tunnel 0 ↓


  5. トンネリング方式としてetherip ip（EtherIP over IPv4）を指定します。

    *Router(config-if-tunnel)# tunnel mode etherip ip ↓


  6. トンネルの両端アドレスを指定します。

    *Router(config-if-tunnel)# tunnel source 10.1.1.1 ↓
*Router(config-if-tunnel)# tunnel destination 10.2.2.2 ↓


  7. トンネルインターフェースをブリッジグループに割り当てます。

    *Router(config-if-tunnel)# bridge-group 1 ↓


  8. トンネルインターフェースを有効にします。

    *Router(config-if-tunnel)# no shutdown ↓
*Router(config-if-tunnel)# exit ↓

Note - トンネルインターフェースに関連する設定がすべて終わったら、設定内容をスタートアップコンフィグに保存して再起動してください。設定を保存して再起動しないと、トンネルインターフェースがリンクアップしない場合があります。

設定は以上です。

EtherIP over IPv6

 EtherIP over IPv6は、既存のIPv6ネットワーク経由でEthernet LAN同士をブリッジ接続するための仕組みです。

ここでは、下記の構成において、ブリッジA・Bのvlan 1同士をリモートブリッジ接続します。

以下では、ブリッジA側の設定例を示します。
なお、前提事項として、ローカル側ブリッジA（自装置）のWAN側IPv6アドレスは2001:1:1:1::1、リモート側ブリッジB（対向装置）のWAN側IPv6アドレスは2001:2:2:2::1とし、ブリッジA・B間で通信を行うために必要なIPv6の設定はすんでいるものとします。
  1. ブリッジ機能を有効にします。

    *Router(config)# bridge irb enable ↓


  2. ブリッジグループを作成します。

    *Router(config)# bridge-group 1 ↓


  3. LAN側インターフェース（vlan 1）をブリッジグループに割り当てます。

    *Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓


  4. トンネルインターフェースを作成します。

    *Router(config)# interface tunnel 0 ↓


  5. トンネリング方式としてetherip ipv6（EtherIP over IPv6）を指定します。

    *Router(config-if-tunnel)# tunnel mode etherip ipv6 ↓


  6. トンネルの両端アドレスを指定します。

    *Router(config-if-tunnel)# tunnel source 2001:1:1:1::1 ↓
*Router(config-if-tunnel)# tunnel destination 2001:2:2:2::1 ↓


  7. トンネルインターフェースをブリッジグループに割り当てます。

    *Router(config-if-tunnel)# bridge-group 1 ↓


  8. トンネルインターフェースを有効にします。

    *Router(config-if-tunnel)# no shutdown ↓
*Router(config-if-tunnel)# exit ↓

Note - トンネルインターフェースに関連する設定がすべて終わったら、設定内容をスタートアップコンフィグに保存して再起動してください。設定を保存して再起動しないと、トンネルインターフェースがリンクアップしない場合があります。

設定は以上です。

EtherIP over IPsec（over IPv4）

 EtherIP over IPsec（over IPv4）は、トランスポートモードのIPsecを使ってEtherIPパケットを暗号化し、既存のIPv4ネットワーク経由でEthernet LAN同士を安全にブリッジ接続するための仕組みです。

ここでは、下記の構成において、ブリッジA・Bのvlan 1同士をリモートブリッジ接続します。

以下では、ブリッジA側の設定例を示します。
なお、前提事項として、ローカル側ブリッジA（自装置）のWAN側IPアドレスは10.1.1.1、リモート側ブリッジB（対向装置）のWAN側IPアドレスは10.2.2.2とし、ブリッジA・B間で通信を行うために必要なIPの設定はすんでいるものとします。
  1. ブリッジ機能を有効にします。

    *Router(config)# bridge irb enable ↓


  2. ブリッジグループを作成します。

    *Router(config)# bridge-group 1 ↓


  3. LAN側インターフェース（vlan 1）をブリッジグループに割り当てます。

    *Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓


  4. ISAKMPポリシー「ethervpn」を作成します。

    *Router(config)# isakmp proposal isakmp encryption 3des hash sha1 group 2 ↓
*Router(config)# isakmp policy ethervpn ↓
*Router(config-isakmp-policy)# peer 10.2.2.2 ↓
*Router(config-isakmp-policy)# auth preshared key jogejoge ↓
*Router(config-isakmp-policy)# proposal isakmp ↓
*Router(config-isakmp-policy)# exit ↓


  5. IPsec処理の対象パケットを指定するための拡張IPアクセスリストを作成します。

    *Router(config)# access-list ip extended ethervpn ↓
*Router(config-acl-ip-ext)# permit ip host 10.1.1.1 host 10.2.2.2 ↓
*Router(config-acl-ip-ext)# exit ↓


  6. トランスポートモードのIPsecポリシー「ethervpn」を作成します。

    *Router(config)# ipsec proposal ipsec esp encryption 3des hash sha1 ↓
*Router(config)# ipsec policy ethervpn ↓
*Router(config-ipsec-policy)# peer 10.2.2.2 ↓
*Router(config-ipsec-policy)# mode transport ↓
*Router(config-ipsec-policy)# access-list ethervpn ↓
*Router(config-ipsec-policy)# proposal ipsec ↓
*Router(config-ipsec-policy)# exit ↓


  7. トンネルインターフェースを作成します。

    *Router(config)# interface tunnel 0 ↓


  8. トンネリング方式としてetherip ipsec（EtherIP over IPsec）を指定します。

    *Router(config-if-tunnel)# tunnel mode etherip ipsec ↓


  9. トンネルインターフェースにIPsecポリシーを関連付けます。

    *Router(config-if-tunnel)# tunnel policy ethervpn ↓


  10. トンネルインターフェースをブリッジグループに割り当てます。

    *Router(config-if-tunnel)# bridge-group 1 ↓


  11. トンネルインターフェースを有効にします。

    *Router(config-if-tunnel)# no shutdown ↓
*Router(config-if-tunnel)# exit ↓

Note - トンネルインターフェースに関連する設定がすべて終わったら、設定内容をスタートアップコンフィグに保存して再起動してください。設定を保存して再起動しないと、トンネルインターフェースがリンクアップしない場合があります。

設定は以上です。

IPsecの詳細については、「IPsec」の「一般設定」をご覧ください。

EtherIP over IPsec（over IPv6）

 EtherIP over IPsec（over IPv6）は、トランスポートモードのIPsecを使ってEtherIPパケットを暗号化し、既存のIPv6ネットワーク経由でEthernet LAN同士を安全にブリッジ接続するための仕組みです。

ここでは、下記の構成において、ブリッジA・Bのvlan 1同士をリモートブリッジ接続します。

以下では、ブリッジA側の設定例を示します。
なお、前提事項として、ローカル側ブリッジA（自装置）のWAN側IPv6アドレスは2001:1:1:1::1、リモート側ブリッジB（対向装置）のWAN側IPv6アドレスは2001:2:2:2::1とし、ブリッジA・B間で通信を行うために必要なIPv6の設定はすんでいるものとします。
  1. ブリッジ機能を有効にします。

    *Router(config)# bridge irb enable ↓


  2. ブリッジグループを作成します。

    *Router(config)# bridge-group 1 ↓


  3. LAN側インターフェース（vlan 1）をブリッジグループに割り当てます。

    *Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓


  4. ISAKMPポリシー「ethervpn」を作成します。

    *Router(config)# isakmp proposal isakmp encryption 3des hash sha1 group 2 ↓
*Router(config)# isakmp policy ethervpn ↓
*Router(config-isakmp-policy)# peer 2001:2:2:2::1 ↓
*Router(config-isakmp-policy)# auth preshared key jogejoge ↓
*Router(config-isakmp-policy)# proposal isakmp ↓
*Router(config-isakmp-policy)# exit ↓


  5. IPsec処理の対象パケットを指定するための拡張IPv6アクセスリストを作成します。

    *Router(config)# access-list ipv6 extended ethervpn ↓
*Router(config-acl-ipv6-ext)# permit ip host 2001:1:1:1::1 host 2001:2:2:2::1 ↓
*Router(config-acl-ipv6-ext)# exit ↓


  6. トランスポートモードのIPsecポリシー「ethervpn」を作成します。

    *Router(config)# ipsec proposal ipsec esp encryption 3des hash sha1 ↓
*Router(config)# ipsec policy ethervpn ↓
*Router(config-ipsec-policy)# peer 2001:2:2:2::1 ↓
*Router(config-ipsec-policy)# mode transport ↓
*Router(config-ipsec-policy)# access-list ethervpn ↓
*Router(config-ipsec-policy)# proposal ipsec ↓
*Router(config-ipsec-policy)# exit ↓


  7. トンネルインターフェースを作成します。

    *Router(config)# interface tunnel 0 ↓


  8. トンネリング方式としてetherip ipsec（EtherIP over IPsec）を指定します。

    *Router(config-if-tunnel)# tunnel mode etherip ipsec ↓


  9. トンネルインターフェースにIPsecポリシーを関連付けます。

    *Router(config-if-tunnel)# tunnel policy ethervpn ↓


  10. トンネルインターフェースをブリッジグループに割り当てます。

    *Router(config-if-tunnel)# bridge-group 1 ↓


  11. トンネルインターフェースを有効にします。

    *Router(config-if-tunnel)# no shutdown ↓
*Router(config-if-tunnel)# exit ↓

Note - トンネルインターフェースに関連する設定がすべて終わったら、設定内容をスタートアップコンフィグに保存して再起動してください。設定を保存して再起動しないと、トンネルインターフェースがリンクアップしない場合があります。

設定は以上です。

IPsecの詳細については、「IPsec」の「一般設定」をご覧ください。

詳細設定

ブリッジ対象プロトコル

 ブリッジグループの初期状態ではすべてのパケットをブリッジングしますが、下記のプロトコルについてはブリッジングの対象から外す設定が可能です。

これらのうち、IPv4とIPv6については、ブリッジング対象から外すことによって通常どおりルーティングさせることが可能です。

ブリッジ対象プロトコルの設定は、bridge protocolコマンドでブリッジグループごとに行います。

■ ブリッジグループ1において、IPv4とPPPoEをブリッジング対象から外すには次のようにします。

*Router(config)# no bridge 1 protocol ip ↓
*Router(config)# no bridge 1 protocol pppoe ↓


なお、ブリッジング、ルーティング、フィルタリングなど、各種機能によるパケット処理順序の詳細については、「付録」の「パケット処理フロー」をご参照ください。

タグ付きフレームのブリッジング

 本製品は、VLANインターフェースで受信したタグ付きフレームのブリッジングに対応しています。EtherIPトンネルインターフェースと併用することで、タグ付きフレームのリモートブリッジングが可能です。

ブリッジグループの初期状態では、VLANインターフェースで受信したタグ付きフレームを別のインターフェースにブリッジングするときにVLANタグを削除しますが、VLANタグ保持の設定をすることでタグ付きフレームのブリッジングが可能になります。

■ VLANインターフェースで受信したフレームをブリッジングするときにVLANタグを保持させるには、ブリッジグループを指定してbridge dot1q pass-throughコマンドを実行します。

*Router(config)# bridge 1 dot1q pass-through ↓


フォワーディングデータベース

 フォワーディングデータベース（MACアドレステーブル）は、ブリッジが受信フレームの転送先ポートを決定するために使用するデータベースです。

■ フォワーディングデータベースの内容を確認するには、show bridgeコマンドを実行します。

*Router> show bridge ↓


■ スタティックエントリーを追加するには、bridge addressコマンドを使います。forwardで転送、discardで破棄の指定が可能です。

*Router(config)# bridge 1 address 00-00-f4-12-34-56 forward gigabitEthernet 3 ↓
*Router(config)# bridge 1 address 00-00-f4-88-88-88 discard ↓


■ スタティックエントリーを削除するには、bridge addressコマンドをno形式で実行します。

*Router(config)# no bridge 1 address 00-00-f4-12-34-56 ↓
*Router(config)# no bridge 1 address 00-00-f4-88-88-88 ↓


■ ダイナミックエントリーを消去するには、clear bridgeコマンドを使います。

*Router# clear bridge ↓


ブリッジフィルター

 ブリッジフィルターは、ブリッジグループ所属インターフェースで送受信するEthernetフレームのヘッダーフィールド値に基づき、ブリッジグループにおけるフレームの転送可否を決定する機能です。

ブリッジフィルターは、MACアクセスリストを作成し、ブリッジグループ所属インターフェースに適用することで有効になります。
Note - MACアクセスリストを利用する同種の機能として「MACフィルター」があります。ブリッジフィルターはブリッジング対象となるフレームだけに適用されますが、MACフィルターは本製品が送受信するフレームなどを含む、インターフェースを通過するすべてのフレームに適用されます。MACフィルターについては、「ファイアウォール」の「MACフィルター」をご覧ください。

フィルター処理の流れ

 MACアクセスリストの適用されているブリッジグループ所属インターフェースでフレームを送受信するとき、送信時なら送信用アクセスリスト、受信時なら受信用アクセスリストをエントリーの追加順にチェックし、最初にマッチしたエントリーで指定された処理（許可・拒否）を実行します。いずれのエントリーにもマッチしなかったフレームは暗黙の「すべて拒否」エントリーによって破棄されます。

MACアクセスリストの種類

 「ファイアウォール」/「MACフィルター」の「MACアクセスリストの種類」をご覧ください。

MACアクセスリストの作成

 「ファイアウォール」/「MACフィルター」の「MACアクセスリストの作成」をご覧ください。

MACアクセスリストの適用

 作成したMACアクセスリストは、ブリッジグループ所属インターフェースに適用することで有効になります。各インターフェースには、受信用と送信用のいずれか1つのMACアクセスリストを適用することができます。

■ MACアクセスリストをインターフェースに適用するには、bridge-group pattern-listコマンドを使います。
たとえば、ブリッジグループ1所属のgigabitEthernet 0インターフェースに受信用アクセスリスト「b1ge0_in」を適用するには、次のようにします。

*Router(config)# interface gigabitEthernet 0 ↓
*Router(config-if)# bridge-group 1 pattern-list b1ge0_in in ↓

Note - 存在しないアクセスリストをインターフェースに適用すると、すべてのフレームが拒否されるので注意してください。

■ アクセスリストの適用を解除するには、bridge-group pattern-listコマンドをno形式で実行します。

*Router(config)# interface gigabitEthernet 0 ↓
*Router(config-if)# no bridge-group 1 pattern-list b1ge0_in in ↓


他機能との関係（パケット処理順序）

 パケット転送処理（ブリッジング、ルーティング）や各種フィルタリング機能を含む、パケット処理順序の詳細については、「付録」の「パケット処理フロー」をご参照ください。

BVIインターフェース

 BVIインターフェースは、ブリッジグループ全体を表す仮想的なレイヤー3インターフェースで、ブリッジとして動作している本製品へのIP/IPv6アクセスや、ブリッジグループと他のインターフェースとの間のIP/IPv6ルーティングに使用します。
BVIインターフェースは、VLAN対応スイッチにおけるVLANインターフェースを思い浮かべるとわかりやすいでしょう。

■ BVIインターフェースを作成するには、interface bviコマンドでブリッジグループ番号を指定します。

*Router(config)# interface bvi 1 ↓


■ 作成したBVIインターフェースにはIPアドレスやIPv6アドレスを設定して、装置自身へのアクセスに使ったり、他のインターフェースとのルーティングを行ったりすることが可能です。

*Router(config-if-bvi)# ip address 192.168.100.1/24 ↓
*Router(config-if-bvi)# no shutdown ↓

Note - 作成直後のBVIインターフェースは無効です。使用前に有効化してください。

Note - interface bviコマンドで指定したブリッジグループを割り当てたインターフェースを変更した場合（例：gigabitEthernet 0にbridge-group 1を設定していたものを削除し、gigabitEthernet 1に再設定した場合）には、設定内容をスタートアップコンフィグに保存して再起動してください。設定を保存して再起動しないと、BVIインターフェースで使用するMACアドレスが更新されない場合があります。

(C) 2011 - 2014 アライドテレシスホールディングス株式会社

PN: 613-001491 Rev.E