[index] CentreCOM 8948XL コマンドリファレンス 2.9

スイッチング/ハードウェアパケットフィルター

  - 基本動作
   - フィルターの構成
   - フィルター処理の流れ
  - 設定手順
  - コマンド例
  - ハードウェアパケットフィルターのルール領域消費量

ハードウェアパケットフィルターは、ハードウェア（ASIC）レベルでパケットをフィルタリング（許可・拒否）する機能です。

Note - ハードウェアパケットフィルターにマッチしたパケットに対して、ポリシーベースQoSは適用されません（ここでの「マッチ」とは、破棄（Discard）だけでなく明示的な転送許可（Forward）も含みます）。ポリシーベースQoSを利用しながらパケットフィルタリングを行いたい場合は、ハードウェアパケットフィルターを併用するのではなく、QoSポリシーのフィルタリング機能（フローグループ、トラフィッククラスのアクション）を使ってください。

Note - IPv6アクセラレーターボードを装着している場合、IPv6ルーティングパケットのフィルタリングには、IPv6ハードウェアパケットフィルターを使用します。ハードウェアパケットフィルターとIPv6ハードウェアパケットフィルターは併用可能です。詳しくは「スイッチング」/「IPv6ハードウェアパケットフィルター」をご覧ください。

• 入力VLAN
  
• Ethernetのフレームフォーマット、プロトコルタイプ、送信元・宛先MACアドレス
  
• レイヤー2アドレス種別（ユニキャストとそれ以外）
  
• IPヘッダーのTOS優先度（precedence）、DSCP（DiffServ Code Point）、プロトコル、始点・終点IPアドレス
  
• IPXヘッダーの終点ネットワーク、始点・終点ソケット
  
• TCPヘッダーの始点・終点ポート
  
• UDPヘッダーの始点・終点ポート
  

• 転送（Forward）
  
• 破棄（Discard）
  

Note - ハードウェアパケットフィルターのL3以上の条件パラメーター（L2は使用可）とダブルタグVLAN（Nested VLAN）は併用できません。

基本動作

フィルターの構成

フィルター処理の流れ

Note - 以下の説明は、設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。あらかじめご了承ください。

1. フィルターが1つでも定義されている場合、受信パケットとフィルターに関連付けられているクラシファイアの条件を、フィルター番号の小さい順に照合します。
   
   
2. 一致するフィルターが見つかった場合は、その場でアクション（破棄か転送）を実行し、ハードウェアパケットフィルターの処理を完了します。
   
   
3. 一致するフィルターがなかった場合はハードウェアパケットフィルターの処理を完了し、通常どおりパケットを出力します。
   

Note - ハードウェアパケットフィルターは、スイッチ本体から送信されるパケットには適用されません。

設定手順

1. クラシファイアの作成（CREATE CLASSIFIERコマンド）
   
2. フィルターの追加（ADD SWITCH HWFILTERコマンド）
   

1. クラシファイアを作成します（CREATE CLASSIFIERコマンド）。
   
   CREATE CLASSIFIER=1 IPSADDR=192.168.100.38/32 IPDADDR=192.168.10.5/32 ↓

   
   

   Note - ハードウェアパケットフィルターで使用するクラシファイアは、CREATE CLASSIFIERコマンドのページに掲載されている「ハードウェアパケットフィルター・QoSポリシー用の構文」にしたがっている必要があります。同構文にないパラメーターを含むクラシファイアを使おうとすると、ADD SWITCH HWFILTERコマンド実行時にエラーとなります。

   
   
2. フィルターを作成（リストに追加）します（ADD SWITCH HWFILTERコマンド）。フィルターを作成するには、フィルター番号に加え、クラシファイア番号とマッチ時のアクション（転送か破棄）を指定する必要があります。
   
   ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD ↓


Note - フィルター番号は省略することもできます。その場合、新規フィルターはリストの最後尾に追加されます。既存フィルターと同じ番号を指定した場合は、既存フィルターの位置に新規フィルターが挿入され、既存フィルター以降は番号が1つずつ後ろにずれます。

Note - ハードウェアパケットフィルターは、すべてのポートで受信したパケットに適用されます。

Note - ハードウェアパケットフィルターは、スイッチ本体から送信されるパケットには適用されません。

コマンド例

CREATE CLASSIFIER=1 IPSADDR=192.168.10.100/32 IPDADDR=192.168.20.0/24 ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD ↓


CREATE CLASSIFIER=1 IPSADDR=10.0.0.0/8 IPPROTOCOL=ICMP ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD ↓


CREATE CLASSIFIER=1 IPDADDR=192.168.30.100/32 TCPDPORT=23 ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD ↓


CREATE CLASSIFIER=1 IPSADDR=192.168.20.0/24 IPDADDR=192.168.10.0/24 TCPFLAGS=SYN,ACK ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD ↓


Note - TCPFLAGSパラメーターでは、指定したフラグだけがチェック対象となります（指定しなかったフラグの状態には関知しません）。指定したフラグがすべてが立っていればマッチ、それ以外の場合は非マッチと判定されます。

CREATE CLASSIFIER=1 IPSADDR=192.168.10.0/24 ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD ↓


CREATE CLASSIFIER=1 IPSADDR=192.168.10.0/24 IPDADDR=192.168.10.0/24 ↓
CREATE CLASSIFIER=2 IPSADDR=192.168.10.0/24 IPDADDR=ANY ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=FORWARD ↓
ADD SWITCH HWFILTER=2 CLASSIFIER=2 ACTION=DISCARD ↓


Note - ハードウェアパケットフィルターでは、最初にマッチしたフィルターのアクションが実行されます。デフォルト拒否の設定を行うには、最初に許可するフィルターを並べた上で、最後にすべてを破棄するフィルターを設定します。また、デフォルト許可に設定する場合は、拒否するフィルターだけを並べていきます。ハードウェアパケットフィルター自体は、デフォルト許可です。

SHOW SWITCH HWFILTER ↓
SHOW SWITCH HWFILTER=1 ↓


SHOW CLASSIFIER ↓
SHOW CLASSIFIER=1-3 ↓
SHOW CLASSIFIER=ALL ↓


DELETE SWITCH HWFILTER=1 ↓
DELETE SWITCH HWFILTER=1-3 ↓


Note - ハードウェアパケットフィルターを削除しても、クラシファイアは削除されません。ハードウェアパケットフィルターとクラシファイアの関連付けが削除されるだけです。クラシファイアを削除するには、DESTROY CLASSIFIERコマンドを使います。

ハードウェアパケットフィルターのルール領域消費量

(C) 2004 - 2014 アライドテレシスホールディングス株式会社

PN: J613-M0021-12 Rev.M