[index] CentreCOM 9600/8600シリーズ コマンドリファレンス 2.2

スイッチング/ハードウェアIPフィルター

対象機種：8624、9606

  - 基本動作
   - フィルターの構成
   - フィルター処理の流れ
  - 設定手順
  - コマンド例
  - 設定例
   - 特定スイッチポートからのみ外部へのUDP通信を許可
   - TCP片方向通信
   - 「マルチプルVLAN」的構成例
   - IPベースのQoS
   - ハードウェアIPフィルターによるポートミラーリング

ハードウェアIPフィルターは、ハードウェア（ASIC）レベルでIPトラフィックのフィルタリングを行う機能です。

Note - ハードウェアIPフィルターとソフトウェアIPフィルター、ハードウェアIPフィルターとファイアウォールを同時に使用することはできません。

ハードウェアIPフィルターには以下の特長があります。


パケットのフィルタリング条件には、以下の各項目を使用できます。


条件に一致したパケットに対しては、以下の処理（アクション）を適用できます（複数の処理を適用することも可能）。一致しなかったパケットは通常通り処理されます。


 

基本動作

ハードウェアIPフィルターの基本動作について説明します。

 

フィルターの構成

ハードウェアIPフィルターは、マッチ条件（フィルター）とフィルターエントリーで構成されます。


作成可能なフィルター数は次のとおりです。

Note - IGMPを有効にすると、IGMP用にハードウェアIPフィルターのエントリーが2つ作成されます。そのため、ユーザーの使用できるフィルターエントリーが2つ少なくなります（127個から125個になる）。また、マッチ条件も1つ減って7個になります。

 

フィルター処理の流れ

ハードウェアIPフィルターの処理は、おおむね次の手順にしたがって行われます。

Note - 以下の説明は、設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。あらかじめご了承ください。

  1. ハードウェアIPフィルター機能の有効時にIPパケットを受信すると、FDB（L2）またはL3テーブル（L3）を参照して出力先（出力ポート）を決定したのち、すべてのフィルター（マッチ条件）、すべてのフィルターエントリーをチェックし、受信パケットの入出力スイッチポート、IP、TCP、UDPヘッダーフィールドと一致するものがあるかどうかを調べていきます。一致するエントリーが1つ以上あった場合は、一致したエントリーのアクションをすべて「アクションリスト」にリストアップしておきます。

  2. 一致するエントリーがなかった場合はフィルター処理を完了し、通常どおりパケットを処理します（パケットを出力）。

  3. 一致したエントリーの中に同じアクションが複数ある場合（アクションリスト内に同じアクションが複数ある場合）は、フィルター番号の最も大きなアクション（最後に一致したエントリーのアクション）だけが有効になります。アクションリストから重複するアクションを削除すると、実行すべきアクションのリスト（重複なし）ができあがります。

  4. アクションリストができたら、以下の順序でパケットを処理します。フィルター番号順に処理されるのではない点に注意してください。また、以下の各手順では「フィルター処理を終了」と明記していない限り、自動的に次の手順に進みます（パケットに対し、複数のアクションが適用される場合があります）。

    1. アクションリスト内にSETTOSアクションがあるか調べます。SETTOSアクションがある場合は、IPヘッダーのTOS優先度（precedence）フィールドにNEWTOSパラメーターで指定された値を書き込みます。

      Note - ここで書き込んだTOS優先度値が、フィルターエントリーの検索に影響することはありません（アクションリストの検証に入った時点で、すでにエントリーの検索が完了しているため）。フィルターエントリー検索時には、パケット受信時のTOS優先度値が使われます。

    2. アクションリスト内にSETPRIORITYアクションがあるか調べます。SETPRIORITYアクションがある場合は、VLANタグフレームのユーザープライオリティーフィールドにPRIORITYパラメーターで指定された値を書き込みます。ただし、実際にプライオリティー値がセットされた状態でパケットが出力されるには、出力ポートがタグ付き（TAGGED）に設定されている必要があります。出力ポートがタグなし（UNTAGGED）の場合は、VLANタグがない状態でパケットが出力されるため、本アクションは意味を持ちません。

    3. アクションリスト内にSENDMIRRORアクションがあるか調べます。SENDMIRRORアクションがある場合は、ミラーポートとして設定されているポートからパケットのコピーを出力します。仕様により、すべてのパケットがVLANタグ付きでミラーポートから出力されます。

    4. アクションリスト内にDENYアクションがあるか調べます。DENYアクションがある場合は、パケットを破棄してフィルター処理を終了します。この場合、通常のポートからパケットが出力されることはありません（SENDEPORT、SENDCOSアクションがある場合でもパケットは出力されません）。ただし、ポートミラーリング機能が有効な場合は、ミラーポートからパケットのコピーが出力されます（SENDMIRRORアクションも有効です）。

    5. アクションリスト内にSENDEPORTアクションがあるか調べます。SENDEPORTアクションがある場合は、パケットの出力先を、FDBやL3テーブルを参照して決定された出力ポートではなく、PORTパラメーターで指定されたポートに変更します。

      Note - SENDEPORTアクションを使う場合は、入力ポートと出力ポートが同じVLANになるよう設定に注意してください。

    6. アクションリスト内にSENDCOSアクションがあるか調べます。SENDCOSアクションがある場合は、ここまでの手順で確定した出力先ポートの送信キューにパケットを格納し（出力し）、フィルター処理を完了します。このとき、PRIORITYパラメーターで指定されたユーザープライオリティー値に対応するレベルの送信キューを使います。

      Note - SENDCOSアクションでは、PRIORITYパラメーターを送信キュー選択のためだけに使います。出力するパケットにプライオリティー値をセットするわけではありません（セットするにはSETPRIORITYアクションを使います）。

    7. アクションリスト内にSENDCOSアクションがない場合は、ここまでの手順で確定した出力先ポートの送信キューにパケットを格納します。このとき、パケット受信時の802.1pユーザープライオリティー値をもとに、どのレベルのキューに入れるかを決定します。

 

設定手順

ハードウェアIPフィルターの設定は、次の流れで行います。

  1. マッチ条件（フィルター）の作成（ADD SWITCH L3FILTER MATCHコマンド）
  2. マッチ条件（フィルター）番号の確認（SHOW SWITCH L3FILTERコマンド）
  3. フィルターエントリーの追加（ADD SWITCH L3FILTER ENTRYコマンド）
  4. ハードウェアIPフィルターの有効化（ENABLE SWITCH L3FILTERコマンド）

以下、各手順について詳しく解説します。

  1. マッチ条件（フィルター）を作成し、IP/TCP/UDPヘッダーのどのフィールドを比較条件として使用するかを指定します。ADD SWITCH L3FILTER MATCHコマンドを使います。



    Note - EMPORTパラメーターにTRUEを指定した場合は、FDB、L3テーブルのどちらにも登録されていないMACアドレス（ブロードキャスト、マルチキャスト、未学習のユニキャスト）宛てのパケットがフィルタリング対象にならないという制限があります。TCP制御フラグによるフィルタリングを行う場合（マッチ条件にTCPSYN、TCPACK、TCPFINを指定する場合）、および、ブロードキャスト、マルチキャストパケットのフィルタリングを行う場合は、EMPORTにTRUEを指定しないでください。

  2. 手順1で作成したマッチ条件（フィルター）の番号を確認します（SHOW SWITCH L3FILTERコマンド）。

    Note - フィルター番号は、ADD SWITCH L3FILTER MATCHコマンド実行時にシステムが自動で割り当てます。この番号は可変なので、他のフィルターの削除によって変更される可能性があります。フィルター番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドで確認してから指定してください。

  3. マッチ条件（フィルター）にフィルターエントリーを追加します。手順1で指定したすべてのフィールドに対して具体的な値を指定してください。L3FILTER=nには、手順2で確認したフィルター番号を指定します。また、マッチしたパケットに対する処理（アクション）はACTIONパラメーターで指定します。アクションは複数指定することも可能で、その場合はカンマで区切って指定します。

    Note - エントリー番号は、ADD SWITCH L3FILTER ENTRYコマンド実行時にシステムが自動で割り当てます。この番号は可変なので、他のエントリーの追加・削除によって変更される可能性があります。エントリー番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドにENTRYパラメーターを付けて実行し、希望するエントリーの番号を確認してから指定してください。


    表 2：条件パラメーター（受信パケットのヘッダーその他とつきあわせるパラメーター）
    項目名
    説明
    入出力スイッチポート
    IPORT 入力スイッチポート。指定ポートから入力されたパケットだけがマッチする
    EPORT 出力スイッチポート。指定ポートから出力されるパケットだけがマッチする（ただし、若干の制限あり。詳細は後述）
    IPヘッダー
    TOS TOS優先度値（TOSオクテットのprecedenceフィールド）。有効範囲は0〜7。
    TTL 生存時間（TTL）フィールドの値。有効範囲は0〜255。
    PROTOCOL IPの上位プロトコル。TCP、UDPなどのプロトコル名、または、IPプロトコル番号で指定する。
    SIPADDR 始点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対して、ADD SWITCH L3FILTER MATCHコマンドのSCLASSパラメーターで指定したマスクが適用される。
    DIPADDR 終点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対して、ADD SWITCH L3FILTER MATCHコマンドのDCLASSパラメーターで指定したマスクが適用される。
    TCPヘッダー
    TCPSPORT 始点ポート番号またはサービス名
    TCPDPORT 終点ポート番号またはサービス名
    TCPSYN Synフラグのオン（TRUE）、オフ（FALSE）。EPORTパラメーターと併用しないこと
    TCPACK Ackフラグのオン（TRUE）、オフ（FALSE）。EPORTパラメーターと併用しないこと
    TCPFIN Finフラグのオン（TRUE）、オフ（FALSE）。EPORTパラメーターと併用しないこと
    UDPヘッダー
    UDPSPORT 始点ポート番号またはサービス名
    UDPDPORT 終点ポート番号またはサービス名



  4. ハードウェアIPフィルターを有効にします。デフォルトは無効です。


基本設定は以上です。これにより、条件に一致したパケットに対して、指定のアクションが実行されます。

 

コマンド例

次に具体的なコマンド例を示します。

なお、以下の例ではENABLE SWITCH L3FILTERを省略しています。また、いずれの例でも、フィルターは1つしか作成していないものと仮定しています。複数のフィルターを作成する場合は、ADD SWITCH L3FILTER ENTRYコマンドのL3FILTERパラメーターで適切なフィルター番号を指定してください。フィルター番号はSHOW SWITCH L3FILTERコマンドで確認できます。

■ ポート1〜3で受信した192.168.10.0/24からのIPパケットを破棄


■ 192.168.10.100（単一ホスト）からのIPパケットを破棄


■ ポート2から送信されるICMPパケットを破棄


■ telnetパケットをユーザープライオリティー7に対応した送信キューに入れる


■ 192.168.30.100へのtelnetパケットを破棄


■ 192.168.10.5からのパケットの802.1pユーザープライオリティーフィールドに4をセットして送信


■ 受信パケットのIP TOS優先度が1の場合、ユーザープライオリティーを4にして送信


■ 192.168.10.100宛てのパケットをミラーポート1から出力。ミラーリングされたパケットにはVLANタグが付いています。


■ 192.168.10.100からのTCPコネクション確立要求を拒否（片方向のみ拒否。他のホストから192.168.10.100へはコネクションを張れる）


■ 192.168.10.0/24から192.168.20.0/24へのTCPコネクション確立要求を拒否（片方向のみ拒否。192.168.20.0/24から192.168.10.0/24へはコネクションを張れる）


■ ハードウェアIPフィルターは、ルーティングされない同一IPネットワーク内のトラフィックに対しても有効です。そのため、「192.168.10.0/24から他ネットワークへのTCPコネクション確立要求を拒否」するつもりで次のような設定を行うと、192.168.10.0/24内でもTCPの通信ができなくなってしまいます。


通常、ネットワーククラス単位でフィルターを設定するとき（SCLASS、DCLASSにA, B, Cまたは1〜32のマスク長を指定したとき）は、前の例のように送信元（SIPADDR）と宛先（DIPADDR）の両方を指定してください。

Note - ハードウェアIPフィルターでは「拒否」のアクションが最優先されるため、デフォルト拒否に設定した上で、特定のホストにのみ通信を許可する設定が簡単にはできません。たとえば、「サブネット192.168.10.0/24から外部への通信は原則として禁止するが、192.168.10.80だけは特例として通信を認める」といった設定は非常に困難です。

■ ある条件を満たしたパケットに対して複数の処理を行いたい場合は、1つのエントリーで複数のアクションを指定してください。同一フィルター（マッチ条件）内で、同じフィルタリング条件を持つエントリーを複数作ることはできません。

たとえば、192.168.1.1からのパケットに対して、TOS precedenceの書き換えと送信キューの指定を行いたい場合、次のように設定することはできません。3行目と4行目のエントリーのフィルタリング条件が同じため、4行目を入力するときにエラーになります。


このような場合は、次のようにしてください。


■ ハードウェアIPフィルターを使用するために、必ずしもIPモジュールを有効にする必要はありません。純粋なレイヤー2スイッチとして本製品を使用する場合であっても、ハードウェアIPフィルターを使えば、IPアドレスやプロトコルに応じたフィルタリングが可能です。

■ どのようなハードウェアIPフィルター（マッチ条件）が作成されているかを確認するには、SHOW SWITCH L3FILTERコマンドを使います。


■ ハードウェアIPフィルターのフィルターエントリーを確認するには、SHOW SWITCH L3FILTERコマンドにENTRYオプションを付けます。このときは、フィルター番号を必ず指定しなくてはなりません。


■ ハードウェアIPフィルターからエントリーを削除するには、DELETE SWITCH L3FILTERコマンドのENTRYパラメーターでエントリー番号を指定します。


Note - エントリー番号は可変です。エントリーを削除すると、後続のエントリー番号が1つずつ前にずれるので注意してください。コマンド中でエントリー番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドにENTRYパラメーターを付けて実行し、希望のエントリーの番号を確認してから指定してください。

■ フィルター（マッチ条件）を削除するには、エントリーをすべて削除したあとで次のように実行します。


Note - フィルター番号は可変です。フィルター（マッチ条件）を削除すると、後続のフィルター番号が1つずつ前にずれるので注意してください。コマンド中でフィルター番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドで希望するフィルターの番号を確認してから指定してください。

 

設定例


 

特定スイッチポートからのみ外部へのUDP通信を許可

ハードウェアIPフィルターを利用して、VLAN内の特定ポートからのみ外部へのUDP通信を許可する設定例を示します。ここでは、次のようなネットワーク構成を例に説明します。

表 5
VLAN名（VID）
untaggedポート
taggedポート
IPアドレス
white（10） 24 なし 192.168.10.1
orange（20） 1〜3 なし 192.168.20.1



ここでは、次のようなフィルタリング条件を考えます。


ポート単位でのフィルタリングには、DHCPクライアントのIPアドレスが変更された場合でも対応できるメリットがあります。

Note - ハードウェアIPフィルターには「許可」のアクションがありません。そのため、ハードウェアIPフィルターをトラフィック制限に使用する場合は、拒否するトラフィックのパターンを指定していくことになります。

スイッチAの設定
  1. VLANの設定を行います。


  2. IPモジュールを有効にします。


  3. VLANインターフェースにIPアドレスを設定します。


  4. デフォルトルートを設定します。


  5. ハードウェアIPフィルターの設定を行います。


設定は以上です。


 

TCP片方向通信

マッチ条件としてTCPの制御フラグSynとAckを使用し、片方のVLANからのみTCPの通信を開始できるように設定します。

表 6
VLAN名（VID）
untaggedポート
taggedポート
IPアドレス
white（10） 1〜12 なし 192.168.10.1
orange（20） 13〜24 なし 192.168.20.1



ここでは、次のようなフィルタリング条件を考えます。


Note - ハードウェアIPフィルターには「許可」のアクションがありません。そのため、ハードウェアIPフィルターをトラフィック制限に使用する場合は、拒否するトラフィックのパターンを指定していくことになります。

スイッチAの設定
  1. VLANの設定を行います。


  2. IPモジュールを有効にします。


  3. VLANインターフェースにIPアドレスを設定します。


  4. ハードウェアIPフィルターの設定を行います。


設定は以上です。


 

「マルチプルVLAN」的構成例

ポート1、2、3を個別のVLANとし、VLAN commonを共有するよう設定します。個々のVLAN間の通信は禁止します。ここでは、次のようなネットワーク構成を例に説明します。

表 7
VLAN名（VID）
untaggedポート
taggedポート
IPアドレス
p1（10） 1 なし 192.168.10.1/24
p2（20） 2 なし 192.168.20.1/24
p3（30） 3 なし 192.168.30.1/24
common（240） 24 なし 172.16.10.1/24



スイッチAの設定
  1. VLANの設定を行います。


  2. IPモジュールを有効にします。


  3. VLANインターフェースにIPアドレスを設定します。


  4. ハードウェアIPフィルターの設定を行います。


  5. 本体への不正アクセスを防ぐため、Telnetサーバーを停止します。


設定は以上です。


 

IPベースのQoS

IPアドレスやTCP/UDPポートに基づきパケット送信時の優先度に差を付けるIPベースQoSの設定例を示します。ここでは、次のようなネットワーク構成を例に説明します。

表 8
VLAN名（VID）
untaggedポート
taggedポート
IPアドレス
white（10） 1〜12 なし 192.168.10.1
orange（20） 13〜24 なし 192.168.20.1



ここでは、次のようなQoSを設定します。

スイッチAの設定
  1. VLANの設定を行います。


  2. IPモジュールを有効にします。


  3. VLANインターフェースにIPアドレスを設定します。


  4. ハードウェアIPフィルターの設定を行います。


設定は以上です。


 

ハードウェアIPフィルターによるポートミラーリング

ハードウェアIPフィルターを用いて、特定のIPパケットだけをミラーポートにコピーする設定例を示します。ここでは、次のようなネットワーク構成を例に説明します。

表 9
VLAN名（VID）
untaggedポート
taggedポート
IPアドレス
white（10） 2〜12 なし 192.168.10.1
orange（20） 13〜24 なし 192.168.20.1



ここでは、ホストA（192.168.20.100）とサーバー（192.168.10.5）間のIPトラフィックだけをミラーポートにコピーするよう設定します。ミラーポートには1番ポートを使います。

なお、仕様によりハードウェアIPフィルター経由でミラーリングされたパケットは、VLANタグが付いた状態でミラーポートに出力されます。キャプチャーソフトがVLANタグを識別できない場合、IPパケットがプロトコルタイプ0x8100（802.1Qタグ）として表示される場合がありますのでご注意ください。

スイッチAの設定
  1. VLANの設定を行います。


  2. IPモジュールを有効にします。


  3. VLANインターフェースにIPアドレスを設定します。


  4. ミラーポートを設定します。


    Note - このときポート1がVLAN default以外に所属しているとエラーになります。その場合は、DELETE VLAN PORTコマンドでポートを現在所属中のVLANから削除した上で、本コマンドを実行してください。

  5. ポートミラーリング機能を有効にします。先にミラーポートを設定しておかないと本コマンドはエラーになります。


  6. ハードウェアIPフィルターの設定を行います。


設定は以上です。これにより、ホストA・サーバー間のIPトラフィックだけがミラーポート（ポート1）にコピーされるようになります。ミラーポートにアナライザーを接続すれば、ホストA・サーバー間のトラフィックを解析できます。なお、ハードウェアIPフィルターによるミラーリングでは、ミラーされたパケットにVLANタグが付きます。







Copyright (C) 2000-2002 アライドテレシス株式会社

PN: J613-M0522-00 Rev.C