[index] CentreCOM 8624EL コマンドリファレンス 2.8
カテゴリー：スイッチング / ハードウェアIPフィルター
ADD SWITCH L3FILTER=filter-id ENTRY [TOS=0..7] [IPDSCP=0..63] [TTL=0..255] [PROTOCOL={TCP|UDP|ICMP|IGMP|protocol}] [SIPADDR=ipadd] [DIPADDR=ipadd] [TCPSPORT={port|port-name}] [TCPDPORT={port|port-name}] [TCPSYN={TRUE|FALSE}] [TCPACK={TRUE|FALSE}] [TCPFIN={TRUE|FALSE}] [TYPE=protocoltype] [UDPSPORT={port|port-name}] [UDPDPORT={port|port-name}] [IPORT=port-number] [EPORT=port-number] [PRIORITY=0..7] [PORT=port-number] [NEWTOS=0..7] [NEWIPDSCP=0..63] [ACTION={SETPRIORITY|SENDCOS|SETTOS|DENY|SENDEPORT|SENDMIRROR|MOVEPRIOTOTOS|MOVETOSTOPRIO|NODROP|SENDNONUNICASTTOPORT|SETIPDSCP}[,...]]
filter-id: フィルター番号（1〜14）
protocol: IPプロトコル番号（0〜255）
ipadd: IPアドレス
port: TCP/UDPポート番号（0〜65535）
port-name: サービス名
protocoltype: L3プロトコル番号（16進数）
port-number: スイッチポート番号（1〜）
ハードウェアIPフィルターにフィルターエントリーを追加する。
ADD SWITCH L3FILTER MATCHコマンドで指定したすべてのパケットフィールドに対して、フィルタリング条件を実際の値で指定し、マッチ時のアクション（複数可）を指定する。
エントリー番号はコマンド実行時にシステムが自動で割り当てる。この番号は可変なので、エントリーの追加や削除によって前後にずれる可能性がある。他のコマンドでエントリー番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドにENTRYパラメーターを付けて実行し、希望するエントリーであることを確認してから指定すること。
フィルターエントリーは「システム全体」で124個まで設定可能。
| パラメーター |
L3FILTER: フィルター（マッチ条件）番号。この番号は可変なので、SHOW SWITCH L3FILTERコマンドで確認してから指定すること
TOS: （フィルタリング条件）対象パケットのIP TOS優先度（TOSオクテットのprecedence）フィールド値。有効範囲は0〜7。IPDSCPとは同時に指定できない。
IPDSCP: （フィルタリング条件）対象パケットのIP DSCP（DiffServ Code Point）フィールド値。有効範囲は0〜63。TOSとは同時に指定できない。
TTL: （フィルタリング条件）対象パケットのIP TTL（生存時間）フィールド値。有効範囲は0〜255。
PROTOCOL: （フィルタリング条件）対象パケットのIPプロトコルフィールド値。TCP、UDP、ICMP、IGMPについては名前でも指定できる。その他プロトコルの場合はIPプロトコル番号で指定する。
SIPADDR: （フィルタリング条件）対象パケットの始点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対してADD SWITCH L3FILTER MATCHコマンドのSCLASSパラメーターで指定したマスクが適用される。ハードウェアIPフィルターはルーティングされない同一IPネットワーク内のトラフィックに対しても有効。
DIPADDR: （フィルタリング条件）対象パケットの終点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対してADD SWITCH L3FILTER MATCHコマンドのDCLASSパラメーターで指定したマスクが適用される。ハードウェアIPフィルターはルーティングされない同一IPネットワーク内のトラフィックに対しても有効。
TCPSPORT: （フィルタリング条件）対象パケットのTCP始点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにTCPを指定したときのみ有効。
TCPDPORT: （フィルタリング条件）対象パケットのTCP終点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにTCPを指定したときのみ有効。
TCPSYN: （フィルタリング条件）対象パケットのTCP制御フラグ「Syn」の値（オン・オフ）。TRUEはフラグが立っていることを、FALSEはフラグが立っていないことを示す。PROTOCOLパラメーターにTCPを指定したときのみ有効。また、EPORTパラメーターとは併用しないこと。
TCPACK: （フィルタリング条件）対象パケットのTCP制御フラグ「Ack」の値（オン・オフ）。TRUEはフラグが立っていることを、FALSEはフラグが立っていないことを示す。PROTOCOLパラメーターにTCPを指定したときのみ有効。また、EPORTパラメーターとは併用しないこと。
TCPFIN: （フィルタリング条件）対象パケットのTCP制御フラグ「Fin」の値（オン・オフ）。TRUEはフラグが立っていることを、FALSEはフラグが立っていないことを示す。PROTOCOLパラメーターにTCPを指定したときのみ有効。また、EPORTパラメーターとは併用しないこと。
TYPE: （フィルタリング条件）対象パケット（フレーム）のレイヤー3プロトコルタイプフィールド値（16進数）。本パラメーターを指定した場合、他のフィルタリング条件パラメーターは無効となる。また、ACTIONにSETTOSを指定することはできない。プロトコル番号は、ADD SWITCH L3FILTER MATCHコマンドのTYPEパラメーターで指定したフレームフォーマットにおけるものを指定すること。Ethernet Version 2と802.2 LLC(DSAP、SSAP）におけるプロトコルタイプは2バイト、SNAPのプロトコルタイプは5バイト長で指定する。
UDPSPORT: （フィルタリング条件）対象パケットのUDP始点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにUDPを指定したときのみ有効。
UDPDPORT: （フィルタリング条件）対象パケットのUDP終点ポート。ポート番号かサービス名で指定する。PROTOCOLパラメーターにUDPを指定したときのみ有効。
IPORT: （フィルタリング条件）対象パケットの入力スイッチポート。指定ポートから入力されたパケットだけがフィルタリングの対象となる。ADD SWITCH L3FILTER MATCHコマンドでIMPORT=TRUEを指定した場合にのみ有効。
EPORT: （フィルタリング条件）対象パケットの出力スイッチポート。指定ポートから出力されるパケットだけがフィルタリングの対象となる。ADD SWITCH L3FILTER MATCHコマンドでEMPORT=TRUEを指定した場合にのみ有効。ただし、EPORTパラメーターを指定した場合は、FDBかL3テーブルに登録されていないMACアドレス（ブロードキャスト、マルチキャスト、未学習のユニキャスト）宛てのパケットにはフィルターが適用されなくなるので注意すること。
PRIORITY: （アクションパラメーター）対象パケットに適用する802.1pユーザープライオリティー（0〜7）値。ACTIONパラメーターにSETPRIORITYかSENDCOSを指定したときのみ有効。ACTIONにSETPRIORITYを指定したときは、パケットのユーザープライオリティーフィールドにPRIORITYパラメーターで指定した値を書き込んで送出する（出力スイッチポートがタグ付きでないと意味を持たない）。ACTIONにSENDCOSを指定したときは、パケットをPRIORITYパラメーターで指定したユーザープライオリティーに対応する送信キューに入れる。省略時は0。
PORT: （アクションパラメーター）対象パケットを出力するスイッチポート。ACTIONパラメーターにSENDEPORTかSENDNONUNICASTTOPORTを指定したときのみ有効。このとき、本パラメーターで指定するポート（出力ポート）と入力ポートが同一VLANになるよう注意すること。
NEWTOS: （アクションパラメーター）パケット送信時にIPヘッダーのTOS優先度フィールドにセットする値。ACTIONにSETTOSを指定した場合のみ有効。
NEWIPDSCP: （アクションパラメーター）パケット送信時にIPヘッダーのDSCPフィールドにセットする値。ACTIONにSETIPDSCPを指定した場合のみ有効。
ACTION: パケットがフィルターの条件に一致したときのアクション。カンマ区切りで複数のアクションを指定できる。別表に示すとおり、アクションはいくつかの「カテゴリー」に分類できる。表1で（相互排他）と記されているカテゴリーは、パケットが同一カテゴリー内の複数のアクションにマッチした場合に、最後にマッチしたエントリー、すなわち、フィルター番号・エントリー番号のもっとも大きなエントリーのアクションだけが実行されることを示している。アクションの詳細は別表を参照のこと。
| DENY | パケットを破棄する。マッチしたエントリーの中にDENYアクションが含まれている場合は、NODROPによって打ち消されない限り、通常のポートからパケットが出力されることはない（SENDEPORT、SENDCOSアクションがある場合でもパケットは出力されない）。ただし、ポートミラーリング機能が有効な場合は、ミラーポートからパケットのコピーが出力される（SENDMIRRORアクションも有効） |
| NODROP | DENYアクションを打ち消し、本来破棄されるべきパケットを出力する。おもに、デフォルト拒否の設定において、一部のパケットだけを許可したい場合に使う |
| SENDEPORT | ユニキャストパケット（ここでは、ブロードキャスト、マルチキャスト、および、未学習のユニキャストを除くパケットのこと）の出力先をPORTパラメーターで指定されたポートに変更する。このとき、出力ポート（PORT）と入力ポートが同じVLANでなくてはならないので、設定には注意すること。また、仕様により、本来ならL3スイッチング（ルーティング）されるはずのパケットは、出力ポート（PORT）のタグ設定（タグ付き・タグなし）にかかわらず、本来のルーティング先のVLANタグが付いた状態で出力される |
| SENDNONUNICASTTOPORT | 非ユニキャストパケット（ここでは、ブロードキャスト、マルチキャスト、および、未学習のユニキャストのこと）の出力先をPORTパラメーターで指定されたポートだけに変更する。このとき、出力ポートと入力ポートが同じVLANでなくてはならないので、設定には注意すること。 |
| SENDCOS | パケットをPRIORITYパラメーターで指定されたプライオリティーに対応するレベルの送信キューに入れる |
| MOVETOSTOPRIO | （受信時の）IPヘッダーのTOS優先度（precedence）フィールドの値を、VLANタグフレームの802.1pユーザープライオリティーフィールドにコピーする。また、コピー後のユーザープライオリティーに対応するレベルの送信キューにパケットを入れる |
| MOVETOSTOPRIO | （受信時の）IPヘッダーのTOS優先度（precedence）フィールドの値を、VLANタグフレームの802.1pユーザープライオリティーフィールドにコピーする。また、コピー後のユーザープライオリティーに対応するレベルの送信キューにパケットを入れる |
| SETPRIORITY | VLANタグフレームの802.1pユーザープライオリティーフィールドに、PRIORITYパラメーターで指定された値を書き込む。出力ポートがタグ付きの場合のみ有効。出力ポートがタグなしの場合はパケットにタグが付かないので、本アクションは意味を持たない |
| SETTOS | パケットのIP TOS優先度（precedence）フィールドに、NEWTOSパラメーターで指定された値を書き込む。TYPEパラメーターでIP以外のプロトコルを指定した場合は無効 |
| MOVEPRIOTOTOS | （受信時の）VLANタグフレームの802.1pユーザープライオリティーフィールドの値を、IPヘッダーのTOS優先度（precedence）フィールドにコピーする |
| SETIPDSCP | IPヘッダーのDSCP（DiffServ Code Point）フィールドに、NEWIPDSCPパラメーターで指定された値を書き込む。TYPEパラメーターでIP以外のプロトコルを指定した場合は無効 |
| SENDMIRROR | パケットのコピーをミラーポートから出力する。あらかじめ、ミラーポートを指定し、ポートミラーリング機能を有効にしておく必要がある。パケットが複数のエントリーにマッチした場合、DENY、NODROP、SEND〜を除く他のアクションがすべて適用された状態でパケットがミラーされる。また、DENY対象のパケットであってもミラーされる |
| 例 |
■ ポート1〜3で受信した192.168.10.0/24からのIPパケットを破棄
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=C IMPORT=TRUE■ 192.168.10.100からのTCPコネクション確立要求を拒否（片方向のみ拒否。他のホストから192.168.10.100へはコネクションを張れる）
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=1 ACTION=DENY
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=2 ACTION=DENY
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=3 ACTION=DENY
ADD SWITCH L3FILTER MATCH=SIPADDR,PROTOCOL,TCPSYN,TCPACK SCLASS=HOST■ 192.168.10.5からのパケットの802.1pユーザープライオリティーフィールドに4をセットして送信
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.100 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST■ 192.168.10.0/24からのパケットは原則拒否だが、192.168.10.103からのパケットだけは許可
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.5 PRIORITY=4 ACTION=SETPRIORITY
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=C
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 ACTION=DENY
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST
ADD SWITCH L3FILTER=2 ENTRY SIPADDR=192.168.10.103 ACTION=NODROP
| 備考・注意事項 |
フィルタリング条件としてEPORT（出力スイッチポート）を指定した場合、FDB、L3テーブルのどちらにも登録されていないMACアドレス（ブロードキャスト、マルチキャスト、未学習のユニキャスト）宛てのパケットにはフィルターが適用されなくなる。したがって、TCP制御フラグによるフィルタリング（TCPSYN、TCPACK、TCPFINパラメーター）を行う場合、および、ブロードキャスト、マルチキャストパケットのフィルタリングを行う場合は、EPORTパラメーターを併用しないこと。
| 関連コマンド |
DELETE SWITCH L3FILTER ENTRY
SET SWITCH L3FILTER ENTRY
SHOW SWITCH L3FILTER
(C) 2004 - 2006 アライドテレシスホールディングス株式会社
PN: J613-M0688-02 Rev.C