[index] CentreCOM 8316XL/8324XL コマンドリファレンス 2.7
- 基本動作
- フィルターの構成
- フィルター処理の流れ
- 設定手順
- フィルター（マッチ条件）の作成
- フィルター番号の確認
- フィルターエントリーの追加
- フィルター番号の指定
- フィルタリング条件の指定
- アクションの指定
- コマンド例
- 設定例
- 特定スイッチポートからのみUDP通信を許可
- TCP片方向通信
ハードウェアパケットフィルターは、ハードウェア（ASIC）レベルでIPトラフィックのフィルタリングを行う機能です。
ハードウェアパケットフィルターには以下の特長があります。
| 基本動作 |
| フィルターの構成 |
| フィルター処理の流れ |
Note - 以下の説明は、設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。あらかじめご了承ください。
Note - NOMATCHACTIONが指定されているフィルターの場合、該当フィルターのどのエントリーにもマッチしなかったパケットには、NOMATCHACTIONパラメーターで指定されたアクションが適用されます。NOMATCHACTIONパラメーターが指定されていない場合は、アクションなしとなります。
Note - ここで書き込んだTOS優先度値、DSCP値が、フィルターエントリーの検索に影響することはありません（アクションリストの検証に入った時点で、すでにエントリーの検索が完了しているため）。フィルターエントリー検索時には、パケット受信時のTOS優先度値、DSCP値が使われます。
Note - MOVEPRIOTOTOSアクションで使われる802.1pフィールド値は、パケット受信時の値です。802.1pフィールドを書き換えるアクション（SETPRIORITY、MOVETOSTOPRIO）によって書き換えられた値ではありません。
Note - 実際にプライオリティー値がセットされた状態でパケットが出力されるには、出力ポートがタグ付き（TAGGED）に設定されている必要があります。出力ポートがタグなし（UNTAGGED）の場合は、VLANタグがない状態でパケットが出力されるため、本アクションは実質的な意味を持ちません。
Note - SENDMIRRORアクションによってミラーされたパケットには、SETTOS、SETIPDSCP、MOVEPRIOTOTOS、SETPRIORITY、MOVETOSTOPRIOアクションによるフィールド書き換えが反映されています。
Note - SENDEPORT、SENDNONUNICASTTOPORTアクションを使う場合は、入力ポートと出力ポートが同じVLANになるよう設定に注意してください。
Note - SENDCOSアクションでは、PRIORITYパラメーターを送信キュー選択のためだけに使います。出力するパケットにプライオリティー値をセットするわけではありません（セットするにはSETPRIORITYかMOVETOSTOPRIOアクションを使います）。
| 設定手順 |
| フィルター（マッチ条件）の作成 |
| MACDADDR | 宛先MACアドレスフィールド |
| MACSADDR | 送信元MACアドレスフィールド |
| TYPE | プロトコルタイプフィールド。他のヘッダー項目との併用は不可 |
| TOS | TOSオクテットの優先度値（precedence）フィールド |
| IPDSCP | TOSオクテットのDSCP（DiffServ Code Point）フィールド |
| TTL | 生存時間（TTL）フィールド |
| PROTOCOL | プロトコルフィールド |
| SIPADDR | 始点IPアドレス（SCLASSも指定すること） |
| DIPADDR | 終点IPアドレス（DCLASSも指定すること） |
| TCPSPORT | 始点ポート（PROTOCOLも指定すること） |
| TCPDPORT | 終点ポート（PROTOCOLも指定すること） |
| TCPSYN | Synフラグ（PROTOCOLも指定すること。EMPORTにTRUEを指定しないこと） |
| TCPACK | Ackフラグ（PROTOCOLも指定すること。EMPORTにTRUEを指定しないこと） |
| TCPFIN | Finフラグ（PROTOCOLも指定すること。EMPORTにTRUEを指定しないこと） |
| UDPSPORT | 始点ポート（PROTOCOLも指定すること） |
| UDPDPORT | 終点ポート（PROTOCOLも指定すること） |
Note - EMPORTパラメーターにTRUEを指定した場合は、FDBに登録されていないMACアドレス（ブロードキャスト、マルチキャスト、未学習のユニキャスト）宛てのパケットがフィルタリング対象にならないという制限があります。TCP制御フラグによるフィルタリングを行う場合（マッチ条件にTCPSYN、TCPACK、TCPFINを指定する場合）、および、ブロードキャスト、マルチキャストパケットのフィルタリングを行う場合は、EMPORTにTRUEを指定しないでください。
Note - 複数のマッチ条件を指定したとき、マッチ条件の型が一致するような場合には、本製品のソフトウェアでマッチ条件が一つにまとめられる場合があります。同じパケットに対する処理でも、複数のマッチ条件がまとめられた場合と、一つ一つ実行された場合で、結果が異なることがあります。
| フィルター番号の確認 |
Note - フィルター番号は、ADD SWITCH L3FILTER MATCHコマンド実行時にシステムが自動で割り当てます。この番号は可変なので、他のフィルターの削除によって変更される可能性があります。フィルター番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドで確認してから指定してください。
| フィルターエントリーの追加 |
Note - エントリー番号は、ADD SWITCH L3FILTER ENTRYコマンド実行時にシステムが自動で割り当てます。この番号は可変なので、他のエントリーの追加・削除によって変更される可能性があります。エントリー番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドにENTRYパラメーターを付けて実行し、希望するエントリーの番号を確認してから指定してください。
| IPORT | 入力スイッチポート。指定ポートから入力されたパケットだけがマッチする |
| EPORT | 出力スイッチポート。指定ポートから出力されるパケットだけがマッチする（ただし、若干の制限あり。詳細は後述） |
| MACDADDR | 宛先MACアドレス。ここで指定したアドレスに対して、ADD SWITCH L3FILTER MATCHコマンドのMACDADDRパラメーターで指定したマスクが適用される |
| MACSADDR | 送信元MACアドレスフィールド。ここで指定したアドレスに対して、ADD SWITCH L3FILTER MATCHコマンドのMACSADDRパラメーターで指定したマスクが適用される |
| TYPE | Ethernetフレームのレイヤー3プロトコルタイプフィールド値（16進数）。ADD SWITCH L3FILTER MATCHコマンドのTYPEパラメーターで指定したフレームフォーマットにおける値を指定する。Ethernet Version 2と802.2 LLC（DSAP、SSAP）におけるプロトコルタイプは2バイト、SNAPのプロトコルタイプは5バイト長 |
| TOS | TOS優先度値（TOSオクテットのprecedenceフィールド）。有効範囲は0〜7 |
| IPDSCP | DSCP（DiffServ Code Point）フィールド値。有効範囲は0〜63 |
| TTL | 生存時間（TTL）フィールドの値。有効範囲は0〜255 |
| PROTOCOL | IPの上位プロトコル。TCP、UDPなどのプロトコル名、または、IPプロトコル番号で指定する |
| SIPADDR | 始点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対して、ADD SWITCH L3FILTER MATCHコマンドのSCLASSパラメーターで指定したマスクが適用される |
| DIPADDR | 終点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対して、ADD SWITCH L3FILTER MATCHコマンドのDCLASSパラメーターで指定したマスクが適用される |
| TCPSPORT | 始点ポート番号またはサービス名 |
| TCPDPORT | 終点ポート番号またはサービス名 |
| TCPSYN | Synフラグのオン（TRUE）、オフ（FALSE）。EPORTパラメーターと併用しないこと |
| TCPACK | Ackフラグのオン（TRUE）、オフ（FALSE）。EPORTパラメーターと併用しないこと |
| TCPFIN | Finフラグのオン（TRUE）、オフ（FALSE）。EPORTパラメーターと併用しないこと |
| UDPSPORT | 始点ポート番号またはサービス名 |
| UDPDPORT | 終点ポート番号またはサービス名 |
Note - ADD SWITCH L3FILTER MATCHコマンドでIMPORT=TRUEかEMPORT=TRUEを指定していながら、IPORT、EPORTパラメーターでポートの番号を指定していないと、フィルタリングが行われません。なお、ポートは一度に1つしか指定できないので、複数のポートでフィルタリングを有効にしたい場合は、ポートの数だけエントリーを作成してください。
Note - フィルタリング条件としてEPORT（出力スイッチポート）を指定した場合、FDBに登録されていないMACアドレス（ブロードキャスト、マルチキャスト、未学習のユニキャスト）宛てのパケットにはフィルターが適用されなくなります。したがって、TCP制御フラグによるフィルタリング（TCPSYN、TCPACK、TCPFINパラメーター）を行う場合、および、ブロードキャスト、マルチキャストパケットのフィルタリングを行う場合は、EPORTパラメーターを併用しないでください。
| DENY | パケットを破棄する。マッチしたエントリーの中にDENYアクションが含まれている場合は、NODROPによって打ち消されない限り、通常のポートからパケットが出力されることはない（SENDEPORT、SENDCOSアクションがある場合でもパケットは出力されない）。ただし、ポートミラーリング機能が有効な場合は、ミラーポートからパケットのコピーが出力される（SENDMIRRORアクションも有効） |
| NODROP | DENYアクションを打ち消し、本来破棄されるべきパケットを出力する。おもに、デフォルト拒否の設定において、一部のパケットだけを許可したい場合に使う |
| SENDEPORT | ユニキャストパケット（ここでは、ブロードキャスト、マルチキャスト、および、未学習のユニキャストを除くパケットのこと）の出力先をPORTパラメーターで指定されたポートに変更する。このとき、出力ポートと入力ポートが同じVLANでなくてはならないので、設定には注意すること |
| SENDNONUNICASTTOPORT | 非ユニキャストパケット（ここでは、ブロードキャスト、マルチキャスト、および、未学習のユニキャストのこと）の出力先をPORTパラメーターで指定されたポートだけに変更する。このとき、出力ポートと入力ポートが同じVLANでなくてはならないので、設定には注意すること |
| SENDCOS | パケットをPRIORITYパラメーターで指定されたプライオリティーに対応するレベルの送信キューに入れる |
| MOVETOSTOPRIO | （受信時の）IPヘッダーのTOS優先度（precedence）フィールドの値を、VLANタグフレームの802.1pユーザープライオリティーフィールドにコピーする。また、コピー後のユーザープライオリティーに対応するレベルの送信キューにパケットを入れる |
| MOVETOSTOPRIO | （受信時の）IPヘッダーのTOS優先度（precedence）フィールドの値を、VLANタグフレームの802.1pユーザープライオリティーフィールドにコピーする。また、コピー後のユーザープライオリティーに対応するレベルの送信キューにパケットを入れる |
| SETPRIORITY | VLANタグフレームの802.1pユーザープライオリティーフィールドに、PRIORITYパラメーターで指定された値を書き込む。出力ポートがタグ付きの場合のみ有効。出力ポートがタグなしの場合はパケットにタグが付かないので、本アクションは意味を持たない |
| SETTOS | パケットのIP TOS優先度（precedence）フィールドに、NEWTOSパラメーターで指定された値を書き込む。TYPEパラメーターでIP以外のプロトコルを指定した場合は無効 |
| MOVEPRIOTOTOS | （受信時の）VLANタグフレームの802.1pユーザープライオリティーフィールドの値を、IPヘッダーのTOS優先度（precedence）フィールドにコピーする |
| SETIPDSCP | IPヘッダーのDSCP（DiffServ Code Point）フィールドに、NEWIPDSCPパラメーターで指定された値を書き込む。TYPEパラメーターでIP以外のプロトコルを指定した場合は無効 |
| SENDMIRROR | パケットのコピーをミラーポートから出力する。あらかじめ、ミラーポートを指定し、ポートミラーリング機能を有効にしておく必要がある。パケットが複数のエントリーにマッチした場合、DENY、NODROP、SEND〜を除く他のアクションがすべて適用された状態でパケットがミラーされる。また、DENY対象のパケットであってもミラーされる |
| コマンド例 |
ADD SWITCH L3FILTER MATCH=MACSADDR ↓
ADD SWITCH L3FILTER=1 ENTRY MACSADDR=00-00-f4-33-22-11 ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=MACSADDR MACSADDR=ff-ff-ff-ff-ff-00 ↓
ADD SWITCH L3FILTER=1 ENTRY MACSADDR=00-00-f4-33-22-00 ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=C IMPORT=TRUE ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=1 ACTION=DENY ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=2 ACTION=DENY ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=3 ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.100 ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=PROTOCOL EMPORT=TRUE ↓
ADD SWITCH L3FILTER=1 ENTRY PROTOCOL=ICMP EPORT=2 ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=C ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
ADD SWITCH L3FILTER=2 ENTRY SIPADDR=192.168.10.103 ACTION=NODROP ↓
ADD SWITCH L3FILTER MATCH=PROTOCOL,TCPDPORT ↓
ADD SWITCH L3FILTER=1 ENTRY PROTOCOL=TCP TCPDPORT=TELNET PRIORITY=7 ACTION=SENDCOS ↓
ADD SWITCH L3FILTER MATCH=DIPADDR,PROTOCOL,TCPDPORT DCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY DIPADDR=192.168.30.100 PROTOCOL=TCP TCPDPORT=TELNET ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.5 PRIORITY=4 ACTION=SETPRIORITY ↓
ADD SWITCH L3FILTER MATCH=TOS ↓
ADD SWITCH L3FILTER=1 ENTRY TOS=1 PRIORITY=4 ACTION=SETPRIORITY ↓
SET SWITCH MIRROR=1 ↓
ENABLE SWITCH MIRROR ↓
ADD SWITCH L3FILTER MATCH=DIPADDR DCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY DIPADDR=192.168.10.100 ACTION=SENDMIRROR ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,PROTOCOL,TCPSYN,TCPACK SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.100 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,DIPADDR,PROTOCOL,TCPSYN,TCPACK SCLASS=C DCLASS=C ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 DIPADDR=192.168.20.0 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.1.1 ACTION=SETTOS NEWTOS=1 ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.1.1 ACTION=SENDCOS PRIORITY=7 ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.1.1 ACTION=SETTOS,SENDCOS NEWTOS=1 PRIORITY=7 ↓
Manager > show switch l3filter Hardware based filtering.... Enabled Software filtering bypass .. Disabled Match Entry ................ 3 / 16 Entry Block 0 (Port1-8) .... 3 / 254 Entry Block 1 (Port9-16) ... 2 / 254 Entry Block 2 (Port17-24) .. 2 / 254 Filter ................. 1 Matched fields ......... sip Type ................... ETHII Source MAC addr. mask .. ff-ff-ff-ff-ff-ff Dest. MAC addr. mask ... ff-ff-ff-ff-ff-ff Source IP addr. mask ... 255.255.255.0 Dest. IP addr. mask .... 0.0.0.0 Ingress port mask ...... true Egress port mask ....... false Manager > show switch l3filter=1 entry Hardware based filtering.... Enabled Software filtering bypass .. Disabled Match Entry ................ 3 / 16 Entry Block 0 (Port1-8) .... 3 / 254 Entry Block 1 (Port9-16) ... 2 / 254 Entry Block 2 (Port17-24) .. 2 / 254 Filter ................. 1 Matched fields ......... sip Type ................... ETHII Source MAC addr. mask .. ff-ff-ff-ff-ff-ff Dest. MAC addr. mask ... ff-ff-ff-ff-ff-ff Source IP addr. mask ... 255.255.255.0 Dest. IP addr. mask .... 0.0.0.0 Ingress port mask ...... true Egress port mask ....... false Filter Entries: --------------------------------------------------------------------------- Entry ................ 1 Ingress Port ......... 1 Egress Port .......... None Source MAC Address ... 00-00-00-00-00-00 Source MAC Mask ...... ff-ff-ff-ff-ff-ff Dest MAC Address ..... 00-00-00-00-00-00 Dest MAC Mask ........ ff-ff-ff-ff-ff-ff Source Address ....... 192.168.10.0 Source Mask .......... 255.255.255.0 Dest Address ......... 0.0.0.0 Dest Mask ............ 0.0.0.0 Protocol ............. 0 TTL .................. 0 TOS .................. 0 IPDSCP ............... 0 Type ................. 0800(ETHII) Action ............... DENY --------------------------------------------------------------------------- |
Manager > show switch l3filter=1 entry Hardware based filtering.... Enabled Software filtering bypass .. Disabled Filter ................. 1 Matched fields ......... type Type ................... ETHII Source MAC addr. mask .. ff-ff-ff-ff-ff-ff Dest. MAC addr. mask ... ff-ff-ff-ff-ff-ff Source IP addr. mask ... 0.0.0.0 Dest. IP addr. mask .... 0.0.0.0 Ingress port mask ...... false Egress port mask ....... false Filter Entries: --------------------------------------------------------------------------- Entry ................ 1 Ingress Port ......... None Egress Port .......... None Source MAC Address ... 00-00-00-00-00-00 Source MAC Mask ...... ff-ff-ff-ff-ff-ff Dest MAC Address ..... 00-00-00-00-00-00 Dest MAC Mask ........ ff-ff-ff-ff-ff-ff Source Address ....... 0.0.0.0 Source Mask .......... 0.0.0.0 Dest Address ......... 0.0.0.0 Dest Mask ............ 0.0.0.0 Protocol ............. 0 TTL .................. 0 TOS .................. 0 IPDSCP ............... 0 Type ................. 0017(ETHII) Action ............... DENY --------------------------------------------------------------------------- |
DELETE SWITCH L3FILTER=1 ENTRY=1 ↓
Note - エントリー番号は可変です。エントリーを削除すると、後続のエントリー番号が1つずつ前にずれるので注意してください。コマンド中でエントリー番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドにENTRYパラメーターを付けて実行し、希望のエントリーの番号を確認してから指定してください。
DELETE SWITCH L3FILTER=1 ↓
Note - フィルター番号は可変です。フィルター（マッチ条件）を削除すると、後続のフィルター番号が1つずつ前にずれるので注意してください。コマンド中でフィルター番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドで希望するフィルターの番号を確認してから指定してください。
ENABLE SWITCH L3FILTER ↓
| 設定例 |
| 特定スイッチポートからのみUDP通信を許可 |
| default（1） | 1-16 | なし |
Note - ハードウェアパケットフィルターには「許可」のアクションがありません。そのため、ハードウェアパケットフィルターをトラフィック制限に使用する場合は、拒否するトラフィックのパターンを指定していくことになります。
ADD SWITCH L3FILTER MATCH=PROTOCOL IMPORT=TRUE ↓
ADD SWITCH L3FILTER=1 ENTRY PROTOCOL=UDP IPORT=2 ACTION=DENY ↓
ADD SWITCH L3FILTER=1 ENTRY PROTOCOL=UDP IPORT=3 ACTION=DENY ↓
ENABLE SWITCH L3FILTER ↓
| TCP片方向通信 |
| default（1） | 1〜16 | なし | 192.168.10.1 |
Note - ハードウェアパケットフィルターには「許可」のアクションがありません。そのため、ハードウェアパケットフィルターをトラフィック制限に使用する場合は、拒否するトラフィックのパターンを指定していくことになります。
ENABLE IP ↓
ADD IP INT=vlan-default IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,DIPADDR,PROTOCOL,TCPACK,TCPSYN SCLASS=C DCLASS=C ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.10 DIPADDR=192.168.10.100 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY ↓
ENABLE SWITCH L3FILTER ↓
Copyright (C) 2004-2010 アライドテレシスホールディングス株式会社
PN: J613-M0249-11 Rev.J