[index]
CentreCOM ARX640S コマンドリファレンス 5.0.0
ブリッジング / 一般設定
- ご購入時設定
- 基本設定
- ローカルブリッジ
- リモートブリッジ
- EtherIP over IPv4
- EtherIP over IPv6
- EtherIP over IPsec（over IPv4）
- EtherIP over IPsec（over IPv6）
- 詳細設定
- ブリッジ対象プロトコル
- フォワーディングデータベース
- ブリッジフィルター
- フィルター処理の流れ
- MACアクセスリストの種類
- MACアクセスリストの作成
- MACアクセスリストの適用
- 他機能との関係（パケット処理順序）
- BVIインターフェース
本製品は、Ethernetフレームを中継するブリッジとして動作させることができます。ここでは、ブリッジ機能の設定方法について説明します。
ブリッジングが可能なインターフェースは次の3種類です。
- VLANインターフェース（vlan 1〜4085）
- WAN側Ethernetインターフェース（gigabitEthernet 0〜1）
- EtherIPトンネルインターフェース（tunnel 0〜1023）
ただし、VLANインターフェース間でのブリッジングはできません。
ご購入時設定
ご購入時など、スタートアップコンフィグが存在しない状態で起動した場合は、ブリッジ機能に関連するものとして下記の設定が存在します。必要に応じて設定の変更や削除を行ってください。
- LAN側インターフェース（vlan 1）にIPアドレス192.168.1.1/24が設定済み
- DHCPサーバーが有効
- LAN側インターフェース（vlan 1）用のDHCPプールが存在
- IPアドレス192.168.1.155〜192.168.1.254を動的に割り当て
interface vlan 1
ip address 192.168.1.1/24
!
ip dhcp pool vlan 1
range 192.168.1.155 192.168.1.254
dhcp-server ip enable
|
以下では、ご購入時の設定が存在しないものとしてブリッジ機能の設定手順を説明します。
ご購入時設定の削除については、「運用・管理」/「システム」の「ご購入時設定内容の削除」をご覧ください。
基本設定
本製品をブリッジとして使用するための基本的な設定を示します。
ローカルブリッジ
下記のインターフェース間ですべてのプロトコルをブリッジします。
- ブリッジ機能を有効にします。
*Router(config)# bridge irb enable ↓
|
- ブリッジグループを作成します。
*Router(config)# bridge-group 1 ↓
|
- vlan 1インターフェースとgigabitEthernet 0インターフェースを、前の手順で作成したブリッジグループに割り当てます。
gigabitEthernet 0インターフェースは初期状態が無効なので、no shutdownで有効化しています。
*Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓
*Router(config)# interface gigabitEthernet 0 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# no shutdown ↓
*Router(config-if)# exit ↓
|
リモートブリッジ
EtherIP over IPv4
EtherIP over IPv4は、既存のIPv4ネットワーク経由でEthernet LAN同士をブリッジ接続するための仕組みです。
ここでは、下記の構成において、ブリッジA・Bのvlan 1同士をリモートブリッジ接続します。
以下では、ブリッジA側の設定例を示します。
なお、前提事項として、ローカル側ブリッジA（自装置）のWAN側IPアドレスは10.1.1.1、リモート側ブリッジB（対向装置）のWAN側IPアドレスは10.2.2.2とし、ブリッジA・B間で通信を行うために必要なIPの設定はすんでいるものとします。
- ブリッジ機能を有効にします。
*Router(config)# bridge irb enable ↓
|
- ブリッジグループを作成します。
*Router(config)# bridge-group 1 ↓
|
- LAN側インターフェース（vlan 1）をブリッジグループに割り当てます。
*Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓
|
- トンネルインターフェースを作成します。
*Router(config)# interface tunnel 0 ↓
|
- トンネリング方式としてetherip ip（EtherIP over IPv4）を指定します。
*Router(config-if-tunnel)# tunnel mode etherip ip ↓
|
- トンネルの両端アドレスを指定します。
*Router(config-if-tunnel)# tunnel source 10.1.1.1 ↓
*Router(config-if-tunnel)# tunnel destination 10.2.2.2 ↓
|
- トンネルインターフェースをブリッジグループに割り当てます。
*Router(config-if-tunnel)# bridge-group 1 ↓
|
- トンネルインターフェースを有効にします。
*Router(config-if-tunnel)# no shutdown ↓
*Router(config-if-tunnel)# exit ↓
|
設定は以上です。
EtherIP over IPv6
EtherIP over IPv6は、既存のIPv6ネットワーク経由でEthernet LAN同士をブリッジ接続するための仕組みです。
ここでは、下記の構成において、ブリッジA・Bのvlan 1同士をリモートブリッジ接続します。
以下では、ブリッジA側の設定例を示します。
なお、前提事項として、ローカル側ブリッジA（自装置）のWAN側IPv6アドレスは2001:1:1:1::1、リモート側ブリッジB（対向装置）のWAN側IPv6アドレスは2001:2:2:2::1とし、ブリッジA・B間で通信を行うために必要なIPv6の設定はすんでいるものとします。
- ブリッジ機能を有効にします。
*Router(config)# bridge irb enable ↓
|
- ブリッジグループを作成します。
*Router(config)# bridge-group 1 ↓
|
- LAN側インターフェース（vlan 1）をブリッジグループに割り当てます。
*Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓
|
- トンネルインターフェースを作成します。
*Router(config)# interface tunnel 0 ↓
|
- トンネリング方式としてetherip ipv6（EtherIP over IPv6）を指定します。
*Router(config-if-tunnel)# tunnel mode etherip ipv6 ↓
|
- トンネルの両端アドレスを指定します。
*Router(config-if-tunnel)# tunnel source 2001:1:1:1::1 ↓
*Router(config-if-tunnel)# tunnel destination 2001:2:2:2::1 ↓
|
- トンネルインターフェースをブリッジグループに割り当てます。
*Router(config-if-tunnel)# bridge-group 1 ↓
|
- トンネルインターフェースを有効にします。
*Router(config-if-tunnel)# no shutdown ↓
*Router(config-if-tunnel)# exit ↓
|
設定は以上です。
EtherIP over IPsec（over IPv4）
EtherIP over IPsec（over IPv4）は、トランスポートモードのIPsecを使ってEtherIPパケットを暗号化し、既存のIPv4ネットワーク経由でEthernet LAN同士を安全にブリッジ接続するための仕組みです。
ここでは、下記の構成において、ブリッジA・Bのvlan 1同士をリモートブリッジ接続します。
以下では、ブリッジA側の設定例を示します。
なお、前提事項として、ローカル側ブリッジA（自装置）のWAN側IPアドレスは10.1.1.1、リモート側ブリッジB（対向装置）のWAN側IPアドレスは10.2.2.2とし、ブリッジA・B間で通信を行うために必要なIPの設定はすんでいるものとします。
- ブリッジ機能を有効にします。
*Router(config)# bridge irb enable ↓
|
- ブリッジグループを作成します。
*Router(config)# bridge-group 1 ↓
|
- LAN側インターフェース（vlan 1）をブリッジグループに割り当てます。
*Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓
|
- ISAKMPポリシー「ethervpn」を作成します。
*Router(config)# isakmp proposal isakmp encryption 3des hash sha1 group 2 ↓
*Router(config)# isakmp policy ethervpn ↓
*Router(config-isakmp-policy)# peer 10.2.2.2 ↓
*Router(config-isakmp-policy)# auth preshared key jogejoge ↓
*Router(config-isakmp-policy)# proposal isakmp ↓
*Router(config-isakmp-policy)# exit ↓
|
- IPsec処理の対象パケットを指定するための拡張IPアクセスリストを作成します。トランスポートモードのIPsecポリシーでは、自装置と対向装置のアドレスをホストアドレスとして指定する必要があります。
*Router(config)# access-list ip extended ethervpn ↓
*Router(config-acl-ip-ext)# permit ip host 10.1.1.1 host 10.2.2.2 ↓
*Router(config-acl-ip-ext)# exit ↓
|
- トランスポートモードのIPsecポリシー「ethervpn」を作成します。
*Router(config)# ipsec proposal ipsec esp encryption 3des hash sha1 ↓
*Router(config)# ipsec policy ethervpn ↓
*Router(config-ipsec-policy)# peer 10.2.2.2 ↓
*Router(config-ipsec-policy)# mode transport ↓
*Router(config-ipsec-policy)# access-list ethervpn ↓
*Router(config-ipsec-policy)# proposal ipsec ↓
*Router(config-ipsec-policy)# exit ↓
|
- トンネルインターフェースを作成します。
*Router(config)# interface tunnel 0 ↓
|
- トンネリング方式としてetherip ipsec（EtherIP over IPsec）を指定します。
*Router(config-if-tunnel)# tunnel mode etherip ipsec ↓
|
- トンネルインターフェースにIPsecポリシーを関連付けます。
*Router(config-if-tunnel)# tunnel policy ethervpn ↓
|
- トンネルインターフェースをブリッジグループに割り当てます。
*Router(config-if-tunnel)# bridge-group 1 ↓
|
- トンネルインターフェースを有効にします。
*Router(config-if-tunnel)# no shutdown ↓
*Router(config-if-tunnel)# exit ↓
|
設定は以上です。
IPsecの詳細については、「IPsec」の「一般設定」をご覧ください。
EtherIP over IPsec（over IPv6）
EtherIP over IPsec（over IPv6）は、トランスポートモードのIPsecを使ってEtherIPパケットを暗号化し、既存のIPv6ネットワーク経由でEthernet LAN同士を安全にブリッジ接続するための仕組みです。
ここでは、下記の構成において、ブリッジA・Bのvlan 1同士をリモートブリッジ接続します。
以下では、ブリッジA側の設定例を示します。
なお、前提事項として、ローカル側ブリッジA（自装置）のWAN側IPv6アドレスは2001:1:1:1::1、リモート側ブリッジB（対向装置）のWAN側IPv6アドレスは2001:2:2:2::1とし、ブリッジA・B間で通信を行うために必要なIPv6の設定はすんでいるものとします。
- ブリッジ機能を有効にします。
*Router(config)# bridge irb enable ↓
|
- ブリッジグループを作成します。
*Router(config)# bridge-group 1 ↓
|
- LAN側インターフェース（vlan 1）をブリッジグループに割り当てます。
*Router(config)# interface vlan 1 ↓
*Router(config-if)# bridge-group 1 ↓
*Router(config-if)# exit ↓
|
- ISAKMPポリシー「ethervpn」を作成します。
*Router(config)# isakmp proposal isakmp encryption 3des hash sha1 group 2 ↓
*Router(config)# isakmp policy ethervpn ↓
*Router(config-isakmp-policy)# peer 2001:2:2:2::1 ↓
*Router(config-isakmp-policy)# auth preshared key jogejoge ↓
*Router(config-isakmp-policy)# proposal isakmp ↓
*Router(config-isakmp-policy)# exit ↓
|
- IPsec処理の対象パケットを指定するための拡張IPv6アクセスリストを作成します。トランスポートモードのIPsecポリシーでは、自装置と対向装置のアドレスをホストアドレスとして指定する必要があります。
*Router(config)# access-list ipv6 extended ethervpn ↓
*Router(config-acl-ipv6-ext)# permit ip host 2001:1:1:1::1 host 2001:2:2:2::1 ↓
*Router(config-acl-ipv6-ext)# exit ↓
|
- トランスポートモードのIPsecポリシー「ethervpn」を作成します。
*Router(config)# ipsec proposal ipsec esp encryption 3des hash sha1 ↓
*Router(config)# ipsec policy ethervpn ↓
*Router(config-ipsec-policy)# peer 2001:2:2:2::1 ↓
*Router(config-ipsec-policy)# mode transport ↓
*Router(config-ipsec-policy)# access-list ethervpn ↓
*Router(config-ipsec-policy)# proposal ipsec ↓
*Router(config-ipsec-policy)# exit ↓
|
- トンネルインターフェースを作成します。
*Router(config)# interface tunnel 0 ↓
|
- トンネリング方式としてetherip ipsec（EtherIP over IPsec）を指定します。
*Router(config-if-tunnel)# tunnel mode etherip ipsec ↓
|
- トンネルインターフェースにIPsecポリシーを関連付けます。
*Router(config-if-tunnel)# tunnel policy ethervpn ↓
|
- トンネルインターフェースをブリッジグループに割り当てます。
*Router(config-if-tunnel)# bridge-group 1 ↓
|
- トンネルインターフェースを有効にします。
*Router(config-if-tunnel)# no shutdown ↓
*Router(config-if-tunnel)# exit ↓
|
設定は以上です。
IPsecの詳細については、「IPsec」の「一般設定」をご覧ください。
詳細設定
ブリッジ対象プロトコル
ブリッジグループの初期状態ではすべてのパケットをブリッジングしますが、下記のプロトコルについてはブリッジングの対象から外す設定が可能です。
これらのうち、IPv4とIPv6については、ブリッジング対象から外すことによって通常どおりルーティングさせることが可能です。
ブリッジ対象プロトコルの設定は、bridge protocolコマンドでブリッジグループごとに行います。
■ ブリッジグループ1において、IPv4とPPPoEをブリッジング対象から外すには次のようにします。
*Router(config)# no bridge 1 protocol ip ↓
*Router(config)# no bridge 1 protocol pppoe ↓
|
なお、ブリッジング、ルーティング、フィルタリングなど、各種機能によるパケット処理順序の詳細については、「付録」の「パケット処理フロー」をご参照ください。
フォワーディングデータベース
フォワーディングデータベース（MACアドレステーブル）は、ブリッジが受信フレームの転送先ポートを決定するために使用するデータベースです。
■ フォワーディングデータベースの内容を確認するには、show bridgeコマンドを実行します。
■ スタティックエントリーを追加するには、bridge addressコマンドを使います。forwardで転送、discardで破棄の指定が可能です。
*Router(config)# bridge 1 address 00-00-f4-12-34-56 forward gigabitEthernet 3 ↓
*Router(config)# bridge 1 address 00-00-f4-88-88-88 discard ↓
|
■ スタティックエントリーを削除するには、bridge addressコマンドをno形式で実行します。
*Router(config)# no bridge 1 address 00-00-f4-12-34-56 ↓
*Router(config)# no bridge 1 address 00-00-f4-88-88-88 ↓
|
■ ダイナミックエントリーを消去するには、clear bridgeコマンドを使います。
ブリッジフィルター
ブリッジフィルターは、ブリッジグループ所属インターフェースで送受信するEthernetフレームのヘッダーフィールド値に基づき、ブリッジグループにおけるフレームの転送可否を決定する機能です。
ブリッジフィルターは、MACアクセスリストを作成し、ブリッジグループ所属インターフェースに適用することで有効になります。
Note - MACアクセスリストを利用する同種の機能として「MACフィルター」があります。ブリッジフィルターはブリッジング対象となるフレームだけに適用されますが、MACフィルターは本製品が送受信するフレームなどを含む、インターフェースを通過するすべてのフレームに適用されます。MACフィルターについては、「ファイアウォール」の「MACフィルター」をご覧ください。
フィルター処理の流れ
MACアクセスリストの適用されているブリッジグループ所属インターフェースでフレームを送受信するとき、送信時なら送信用アクセスリスト、受信時なら受信用アクセスリストをエントリーの追加順にチェックし、最初にマッチしたエントリーで指定された処理（許可・拒否）を実行します。いずれのエントリーにもマッチしなかったフレームは暗黙の「すべて拒否」エントリーによって破棄されます。
MACアクセスリストの種類
「ファイアウォール」/「MACフィルター」の「MACアクセスリストの種類」をご覧ください。
MACアクセスリストの作成
「ファイアウォール」/「MACフィルター」の「MACアクセスリストの作成」をご覧ください。
MACアクセスリストの適用
作成したMACアクセスリストは、ブリッジグループ所属インターフェースに適用することで有効になります。各インターフェースには、受信用と送信用にそれぞれ1つずつMACアクセスリストを適用することができます。
■ MACアクセスリストをインターフェースに適用するには、bridge-group pattern-listコマンドを使います。
たとえば、ブリッジグループ1所属のgigabitEthernet 0インターフェースに送信用アクセスリスト「b1ge0_out」と受信用アクセスリスト「b1ge0_in」を適用するには、次のようにします。
*Router(config)# interface gigabitEthernet 0 ↓
*Router(config-if)# bridge-group 1 pattern-list b1ge0_in in ↓
*Router(config-if)# bridge-group 1 pattern-list b1ge0_out out ↓
|
Note - 存在しないアクセスリストをインターフェースに適用すると、すべてのフレームが拒否されるので注意してください。
■ アクセスリストの適用を解除するには、bridge-group pattern-listコマンドをno形式で実行します。
*Router(config)# interface gigabitEthernet 0 ↓
*Router(config-if)# no bridge-group 1 pattern-list b1ge0_in in ↓
*Router(config-if)# no bridge-group 1 pattern-list b1ge0_out out ↓
|
他機能との関係（パケット処理順序）
パケット転送処理（ブリッジング、ルーティング）や各種フィルタリング機能を含む、パケット処理順序の詳細については、「付録」の「パケット処理フロー」をご参照ください。
BVIインターフェース
BVIインターフェースは、ブリッジグループ全体を表す仮想的なレイヤー3インターフェースで、ブリッジとして動作している本製品へのIP/IPv6アクセスや、ブリッジグループと他のインターフェースとの間のIP/IPv6ルーティングに使用します。
BVIインターフェースは、VLAN対応スイッチにおけるVLANインターフェースを思い浮かべるとわかりやすいでしょう。
■ BVIインターフェースを作成するには、interface bviコマンドでブリッジグループ番号を指定します。
*Router(config)# interface bvi 1 ↓
|
■ 作成したBVIインターフェースにはIPアドレスやIPv6アドレスを設定して、装置自身へのアクセスに使ったり、他のインターフェースとのルーティングを行ったりすることが可能です。
*Router(config-if-bvi)# ip address 192.168.100.1/24 ↓
*Router(config-if-bvi)# no shutdown ↓
|
Note - 作成直後のBVIインターフェースは無効です。使用前に有効化してください。
(C) 2011 アライドテレシスホールディングス株式会社
PN: 613-001491 Rev.A