[index] CentreCOM 9424T/SP コマンドリファレンス 2.3

ハードウェアパケットフィルター/概要・基本設定

  - 基本動作
   - フィルターの構成
   - フィルター処理の流れ
    - レガシーモード（アクションに許可が指定されているエントリーを優先処理）
    - エンハンスモード（エントリーID順に処理）
  - 設定手順
  - コマンド例
   - エンハンスモードで可能になった設定例
  - 注意事項
   - 本体宛てのパケット 
   - IGMP Snooping機能との併用

ハードウェアパケットフィルターは、ハードウェア（ASIC）レベルで入力パケットをフィルタリング（許可・拒否）する機能です。

ハードウェアパケットフィルターには以下の特長があります。

• ハードウェアで処理するため高速
  
• 入力ポート単位でフィルタリングが可能
  

• Ethernetの送信元・宛先MACアドレス、フレームフォーマットとプロトコルタイプ（タグ付き、タグなし）
  
• 入力VLAN
  
• 802.1pプライオリティー値
  
• IPヘッダーのTOS優先度（precedence）またはDSCP（DiffServ Code Point）、プロトコル、始点・終点IPアドレス
  
• TCPヘッダーの始点・終点ポート、制御フラグのフィールド値
  
• UDPヘッダーの始点・終点ポート
  

• 許可（permit）
  
• 破棄（deny）
  

基本動作

フィルターの構成

表 1

ACL	エントリーのID
DESCRIPTION	エントリーの説明
ACTION	マッチした場合のアクション
CLASSIFIERLIST	エントリーに割り当てるクラシファイアのID
PORTLIST	エントリーに割り当てるポート

• 最大エントリー数は64個
  
• 同一ポートに複数のエントリーを割り当てることができる（ただし、同じクラシファイアを含むエントリーを、同一ポートに割り当てることはできない）
  
• 同一エントリーを複数ポートに割り当てることができる
  
• 1ポートに割り当てられるクラシファイアの数は、128個まで（ポリシーベースQoSとハードウェアパケットフィルター機能合わせて）
  

フィルター処理の流れ

• レガシーモード（ファームウェアバージョン2.3.2J以前より動作するモード）
  
• エンハンスモード（ファームウェアバージョン2.3.3J以降で動作するモード）
  

レガシーモード（アクションに許可が指定されているエントリーを優先処理）

1. 受信したパケットがエントリーにマッチするかどうか調べます。
   
2. 許可するエントリーにマッチした場合、そのパケットを出力します。
   
3. 許可するエントリーにマッチせず、破棄するエントリーにマッチした場合、そのパケットを破棄します。
   
4. エントリーにマッチしないパケットを出力します。
   

Note - 設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。

エンハンスモード（エントリーID順に処理）

1. 受信したパケットがエントリーにマッチするかどうか、ACLのエントリーIDの番号順に調べます。
   
2. 条件にマッチした場合は、残りの条件は調べずに、その条件のアクションをします。
   
3. エントリーにマッチしないパケットを出力します。
   

Note - 設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。

Note - レガシーモードですでにハードウェアパケットフィルターを設定している場合に無効にすると、ハードウェアパケットフィルターが正しく動作しないことがあります。PURGE ACLコマンドでACLの設定を工場出荷時の状態に戻してから、エンハンスモードの処理フローに適したACLを設定しなおしてください。

設定手順

1. クラシファイアの作成（CREATE CLASSIFIERコマンド）
   
2. ACLのエントリーの作成（CREATE ACLコマンド）
   

1. クラシファイアを作成します。詳細は「クラシファイア」の章をご覧ください。
   
   CREATE CLASSIFIER=1 IPDADDR=192.168.10.5/32 ↓

   
   
2. ACLにエントリーを追加します。エントリーを追加するには、クラシファイア、マッチ時のアクション（許可か破棄）、エントリーを適用する入力ポートの指定が必要です。
   
   CREATE ACL=1 ACTION=DENY CLASSIFIERLIST=1 PORTLIST=8 ↓


コマンド例

CREATE CLASSIFIER=1 MACSADDR=00-00-f4-33-22-11 ↓
CREATE ACL=1 ACTION=DENY CLASSIFIERLIST=1 PORTLIST=6 ↓


CREATE CLASSIFIER=1 IPSADDR=192.168.10.100/32 IPDADDR=192.168.20.0/24 ↓
CREATE ACL=1 ACTION=DENY CLASSIFIERLIST=1 PORTLIST=5 ↓


CREATE CLASSIFIER=1 IPDADDR=192.168.30.100/32 TCPDPORT=23 ↓
CREATE ACL=1 ACTION=DENY CLASSIFIERLIST=1 PORTLIST=4 ↓


SHOW ACL ↓


SHOW CLASSIFIER ↓
SHOW CLASSIFIER=1-3 ↓


DESTROY ACL=1 ↓


Note - ACLからエントリーを削除しても、クラシファイアは削除されません。ACLとクラシファイアの関連付けが削除されるだけです。クラシファイアを削除するには、DESTROY CLASSIFIERコマンドを使います。

エンハンスモードで可能になった設定例

1. ACLの動作モードを変更します。
   
   DISABLE ACL LEGACYMODE ↓

   
   
2. クラシファイアを作成します。
   
   CREATE CLASSIFIER=1 PROTOCOL=ARP ↓
CREATE CLASSIFIER=2 IPDADDR=192.168.0.0/16 ↓
CREATE CLASSIFIER=3 IPDADDR=192.168.1.0/24 ↓
CREATE CLASSIFIER=4 ↓

   
   
3. ARPを許可します。
   
   CREATE ACL=1 ACTION=PERMIT CLASSIFIERLIST=1 PORTLIST=1 ↓
   
   
4. ACL IDの小さいエントリーに、サブネットマスクの長いクラシファイア2（192.168.1.0/24）を登録します。クラシファイア1（192.168.0.0/16）は、クラシファイア2の条件も含むため、先に登録しなければなりません。
   
   CREATE ACL=2 ACTION=DENY CLASSIFIERLIST=3 PORTLIST=1 ↓
   
   
5. クラシファイア1（192.168.0.0/16）を登録し、クラシファイア2の条件を除いてクラシファイア1にマッチする通信を許可します。
   
   CREATE ACL=3 ACTION=PERMIT CLASSIFIERLIST=2 PORTLIST=1 ↓
   
   
6. クラシファイア1、2のいずれにもマッチしないすべての通信を拒否するためにクラシファイア3を登録します。
   
   CREATE ACL=4 ACTION=DENY CLASSIFIERLIST=4 PORTLIST=1 ↓
   
   

1. マルチプルVLANを設定します。
   
   CREATE VLAN=mv VID=2 PORTPROTECTED ↓
ADD VLAN=mv VID=2 UNTAGGEDPORTS=1 GROUP=1 ↓
ADD VLAN=mv VID=2 UNTAGGEDPORTS=2 GROUP=2 ↓
ADD VLAN=mv VID=2 UNTAGGEDPORTS=3 GROUP=3 ↓

   　　　　　　　　　　　　　　　　　　・
   　　　　　　　　　　　　　　　　　　・
   　　　　　　　　　　　　　　　　　　・
   
   ADD VLAN=mv VID=2 UNTAGGEDPORTS=23-24 GROUP=uplink ↓

   
   
2. ACLの動作モードを変更します。
   
   DISABLE ACL LEGACYMODE ↓

   
   
3. クラシファイアを作成します。
   
   CREATE CLASSIFIER=1 MACSADDR=00:01:23:00:00:00 MACSMASK=ff:ff:ff:00:00:00 ↓
CREATE CLASSIFIER=2 MACSADDR=00:01:23:00:00:00 MACSMASK=ff:ff:ff:00:00:00 IPDADDR=192.168.1.100 ↓
CREATE CLASSIFIER=3 ↓

   
   
4. ACL IDの小さいエントリーに、条件の多いクラシファイア2（特定端末＋本製品宛て）を登録します。クラシファイア1（特定端末）は、クラシファイア2の条件の一部と重なるため、先に登録しなければなりません。
   
   CREATE ACL=1 ACTION=DENY CLASSIFIERLIST=2 PORTLIST=1-22 ↓
   
   
5. クラシファイア1（特定端末）を登録し、クラシファイア2の条件を除いてクラシファイア1にマッチする通信を許可します。
   
   CREATE ACL=2 ACTION=PERMIT CLASSIFIERLIST=1 PORTLIST=1-22 ↓
   
   
6. クラシファイア1、2のいずれにもマッチしないすべての通信を拒否するためにクラシファイア3を登録します。
   
   CREATE ACL=3 ACTION=DENY CLASSIFIERLIST=3 PORTLIST=1-22 ↓

注意事項

本体宛てのパケット

IGMP Snooping機能との併用

(C) 2004-2009 アライドテレシスホールディングス株式会社

PN: J613-M0109-12 Rev.G