[index] CentreCOM 9600シリーズ コマンドリファレンス 2.7
- 基本動作
- フィルターの構成
- フィルター処理の流れ
- 設定手順
- フィルター（マッチ条件）の作成
- フィルター番号の確認
- フィルターエントリーの追加
- フィルター番号の指定
- フィルタリング条件の指定
- アクションの指定
- コマンド例
- 設定例
- 特定スイッチポートからのみ外部へのUDP通信を許可
- TCP片方向通信
- 「マルチプルVLAN」的構成例
- IPベースのQoS
- ハードウェアIPフィルターによるポートミラーリング
ハードウェアIPフィルターは、ハードウェア（ASIC）レベルでIPトラフィックのフィルタリングを行う機能です。
Note - ハードウェアIPフィルターとソフトウェア処理によるフィルター（ソフトウェアIPフィルターとファイアウォール）を同時に使用することはできません。両者を有効にしている場合、ハードウェアIPフィルターは機能せず、ソフトウェア処理によるフィルターだけが働きます。ただし、その場合であっても、（内部的にハードウェアIPフィルターを利用している）IGMP Snoopingは機能します。
Note - PPP（PPPoE）とハードウェアIPフィルターは併用できません。PPPoEを使用するときは、ハードウェアIPフィルターを使わないでください。
| 基本動作 |
| フィルターの構成 |
| フィルター処理の流れ |
Note - 以下の説明は、設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。あらかじめご了承ください。
Note - 該当フィルターのどのエントリーにもマッチしなかったパケットは、アクションなしとなります。
Note - タグなしパケットは、宛先MACアドレスが本製品ならユーザープライオリティー4、本製品以外ならユーザープライオリティー0として扱われます。そのため、本製品によってルーティングされるIP、IPv6パケットは、プライオリティー4で処理されます。一方、本製品によってルーティングされるIPマルチキャストパケットは、宛先MACアドレスが本製品ではないため、プライオリティー0で処理されます。その他のレイヤー2スイッチングされるパケットは、プライオリティー0で処理されます。
Note - ここで書き込んだTOS優先度値が、フィルターエントリーの検索に影響することはありません（アクションリストの検証に入った時点で、すでにエントリーの検索が完了しているため）。フィルターエントリー検索時には、パケット受信時のTOS優先度値が使われます。
Note - 実際にプライオリティー値がセットされた状態でパケットが出力されるには、出力ポートがタグ付き（TAGGED）に設定されている必要があります。出力ポートがタグなし（UNTAGGED）の場合は、VLANタグがない状態でパケットが出力されるため、本アクションは実質的な意味を持ちません。
Note - ルーティング対象パケットには、ルーティング先のVLANタグが付きます。
Note - SENDMIRRORアクションによってミラーされたパケットには、SETTOS、SETPRIORITYアクションによるフィールド書き換えが反映されています。
Note - SENDEPORTアクションを使う場合は、PORTパラメーターで指定するポート（出力ポート）と入力ポートが同じVLANになるよう設定に注意してください。また、仕様により、本来ならL3スイッチング（ルーティング）されるはずのパケットは、出力ポート（PORT）のタグ設定（タグ付き・タグなし）にかかわらず、本来のルーティング先のVLANタグが付いた状態で出力されます
Note - SENDCOSアクションでは、PRIORITYパラメーターを送信キュー選択のためだけに使います。出力するパケットにプライオリティー値をセットするわけではありません（セットするにはSETPRIORITYアクションを使います）。
Note - タグなしパケットは、宛先MACアドレスが本製品ならユーザープライオリティー4、本製品以外ならユーザープライオリティー0として扱われます。そのため、本製品によってルーティングされるIP、IPv6パケットは、プライオリティー4で処理されます。一方、本製品によってルーティングされるIPマルチキャストパケットは、宛先MACアドレスが本製品ではないため、プライオリティー0で処理されます。その他のレイヤー2スイッチングされるパケットは、プライオリティー0で処理されます。
| 設定手順 |
| フィルター（マッチ条件）の作成 |
| TYPE | プロトコルタイプフィールド。他項目との併用は不可 |
| TOS | TOSオクテットの優先度値（precedence）フィールド |
| IPDSCP | TOSオクテットのDSCP（DiffServ Code Point）フィールド |
| TTL | 生存時間（TTL）フィールド |
| PROTOCOL | プロトコルフィールド |
| SIPADDR | 始点IPアドレス（SCLASSも指定すること） |
| DIPADDR | 終点IPアドレス（DCLASSも指定すること） |
| TCPSPORT | 始点ポート（PROTOCOLも指定すること） |
| TCPDPORT | 終点ポート（PROTOCOLも指定すること） |
| TCPSYN | Synフラグ（PROTOCOLも指定すること。EMPORTにTRUEを指定しないこと） |
| TCPACK | Ackフラグ（PROTOCOLも指定すること。EMPORTにTRUEを指定しないこと） |
| TCPFIN | Finフラグ（PROTOCOLも指定すること。EMPORTにTRUEを指定しないこと） |
| UDPSPORT | 始点ポート（PROTOCOLも指定すること） |
| UDPDPORT | 終点ポート（PROTOCOLも指定すること） |
Note - MATCHパラメーターにTYPEを指定した場合、他のヘッダーフィールドをフィルタリング条件として使うことはできません。また、SETTOSアクションは使用できません。
Note - EMPORTパラメーターにTRUEを指定した場合は、FDB、L3テーブルのどちらにも登録されていないMACアドレス（ブロードキャスト、マルチキャスト、未学習のユニキャスト）宛てのパケットがフィルタリング対象にならないという制限があります。TCP制御フラグによるフィルタリングを行う場合（マッチ条件にTCPSYN、TCPACK、TCPFINを指定する場合）、および、ブロードキャスト、マルチキャストパケットのフィルタリングを行う場合は、EMPORTにTRUEを指定しないでください。
| フィルター番号の確認 |
Note - フィルター番号は、ADD SWITCH L3FILTER MATCHコマンド実行時にシステムが自動で割り当てます。この番号は可変なので、他のフィルターの削除によって変更される可能性があります。フィルター番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドで確認してから指定してください。
| フィルターエントリーの追加 |
Note - エントリー番号は、ADD SWITCH L3FILTER ENTRYコマンド実行時にシステムが自動で割り当てます。この番号は可変なので、他のエントリーの追加・削除によって変更される可能性があります。エントリー番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドにENTRYパラメーターを付けて実行し、希望するエントリーの番号を確認してから指定してください。
| IPORT | 入力スイッチポート。指定ポートから入力されたパケットだけがマッチする |
| EPORT | 出力スイッチポート。指定ポートから出力されるパケットだけがマッチする（ただし、若干の制限あり。詳細は後述） |
| TYPE | Ethernetフレームのレイヤー3プロトコルタイプフィールド値（16進数）。ADD SWITCH L3FILTER MATCHコマンドのTYPEパラメーターで指定したフレームフォーマットにおける値を指定する。Ethernet Version 2と802.2 LLC(DSAP、SSAP）におけるプロトコルタイプは2バイト、SNAPのプロトコルタイプは5バイト長 |
| TOS | TOS優先度値（TOSオクテットのprecedenceフィールド）。有効範囲は0〜7 |
| IPDSCP | DSCP（DiffServ Code Point）フィールド値。有効範囲は0〜63 |
| TTL | 生存時間（TTL）フィールドの値。有効範囲は0〜255 |
| PROTOCOL | IPの上位プロトコル。TCP、UDPなどのプロトコル名、または、IPプロトコル番号で指定する |
| SIPADDR | 始点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対して、ADD SWITCH L3FILTER MATCHコマンドのSCLASSパラメーターで指定したマスクが適用される |
| DIPADDR | 終点IPアドレス。パケットマッチング時には、ここで指定したアドレスに対して、ADD SWITCH L3FILTER MATCHコマンドのDCLASSパラメーターで指定したマスクが適用される |
| TCPSPORT | 始点ポート番号またはサービス名 |
| TCPDPORT | 終点ポート番号またはサービス名 |
| TCPSYN | Synフラグのオン（TRUE）、オフ（FALSE）。EPORTパラメーターと併用しないこと |
| TCPACK | Ackフラグのオン（TRUE）、オフ（FALSE）。EPORTパラメーターと併用しないこと |
| TCPFIN | Finフラグのオン（TRUE）、オフ（FALSE）。EPORTパラメーターと併用しないこと |
| UDPSPORT | 始点ポート番号またはサービス名 |
| UDPDPORT | 終点ポート番号またはサービス名 |
Note - ADD SWITCH L3FILTER MATCHコマンドでIMPORT=TRUEかEMPORT=TRUEを指定していながら、IPORT、EPORTパラメーターでポートの番号を指定していないと、フィルタリングが行われません。なお、ポートは一度に1つしか指定できないので、複数のポートでフィルタリングを有効にしたい場合は、ポートの数だけエントリーを作成してください。
Note - フィルタリング条件としてEPORT（出力スイッチポート）を指定した場合、FDB、L3テーブルのどちらにも登録されていないMACアドレス（ブロードキャスト、マルチキャスト、未学習のユニキャスト）宛てのパケットにはフィルターが適用されなくなります。したがって、TCP制御フラグによるフィルタリング（TCPSYN、TCPACK、TCPFINパラメーター）を行う場合、および、ブロードキャスト、マルチキャストパケットのフィルタリングを行う場合は、EPORTパラメーターを併用しないでください。
| DENY | パケットを破棄する。マッチしたエントリーの中にDENYアクションが含まれている場合は、通常のポートからパケットが出力されることはない（SENDEPORT、SENDCOSアクションがある場合でもパケットは出力されない）。ただし、ポートミラーリング機能が有効な場合は、ミラーポートからパケットのコピーが出力される（SENDMIRRORアクションも有効） |
| SENDEPORT | ユニキャストパケット（ここでは、ブロードキャスト、マルチキャスト、および、未学習のユニキャストを除くパケットのこと）の出力先をPORTパラメーターで指定されたポートに変更する。このとき、出力ポート（PORT）と入力ポートが同じVLANでなくてはならないので、設定には注意すること。また、仕様により、本来ならL3スイッチング（ルーティング）されるはずのパケットは、出力ポート（PORT）のタグ設定（タグ付き・タグなし）にかかわらず、本来のルーティング先のVLANタグが付いた状態で出力される |
| SENDCOS | パケットをPRIORITYパラメーターで指定されたプライオリティーに対応するレベルの送信キューに入れる |
| SETPRIORITY | VLANタグフレームの802.1pユーザープライオリティーフィールドに、PRIORITYパラメーターで指定された値を書き込む。出力ポートがタグ付きの場合のみ有効。出力ポートがタグなしの場合はパケットにタグが付かないので、本アクションは意味を持たない |
| SETTOS | パケットのIP TOS優先度（precedence）フィールドに、NEWTOSパラメーターで指定された値を書き込む。TYPEパラメーターでIP以外のプロトコルを指定した場合は無効 |
| SENDMIRROR | パケットのコピーをミラーポートから出力する。あらかじめ、ミラーポートを指定し、ポートミラーリング機能を有効にしておく必要がある。パケットが複数のエントリーにマッチした場合、DENY、SEND〜を除く他のアクションがすべて適用された状態でパケットがミラーされる。また、DENY対象のパケットであってもミラーされる。仕様により、すべてのパケットがVLANタグ付きでミラーポートから出力される。また、ルーティング対象パケットには、ルーティング先のVLANタグが付く |
| コマンド例 |
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=C IMPORT=TRUE ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=1 ACTION=DENY ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=2 ACTION=DENY ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 IPORT=3 ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.100 ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=PROTOCOL EMPORT=TRUE ↓
ADD SWITCH L3FILTER=1 ENTRY PROTOCOL=ICMP EPORT=2 ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=PROTOCOL,TCPDPORT ↓
ADD SWITCH L3FILTER=1 ENTRY PROTOCOL=TCP TCPDPORT=TELNET PRIORITY=7 ACTION=SENDCOS ↓
ADD SWITCH L3FILTER MATCH=DIPADDR,PROTOCOL,TCPDPORT DCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY DIPADDR=192.168.30.100 PROTOCOL=TCP TCPDPORT=TELNET ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.5 PRIORITY=4 ACTION=SETPRIORITY ↓
ADD SWITCH L3FILTER MATCH=TOS ↓
ADD SWITCH L3FILTER=1 ENTRY TOS=1 PRIORITY=4 ACTION=SETPRIORITY ↓
SET SWITCH MIRROR=1 ↓
ENABLE SWITCH MIRROR ↓
ADD SWITCH L3FILTER MATCH=DIPADDR DCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY DIPADDR=192.168.10.100 ACTION=SENDMIRROR ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,PROTOCOL,TCPSYN,TCPACK SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.100 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,DIPADDR,PROTOCOL,TCPSYN,TCPACK SCLASS=C DCLASS=C ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 DIPADDR=192.168.20.0 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,PROTOCOL,TCPSYN,TCPACK SCLASS=C ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.1.1 ACTION=SETTOS NEWTOS=1 ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.1.1 ACTION=SENDCOS PRIORITY=7 ↓
ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.1.1 ACTION=SETTOS,SENDCOS NEWTOS=1 PRIORITY=7 ↓
Manager > show switch l3filter Hardware based filtering.... Enabled Software filtering bypass .. Disabled Filter ................. 1 Matched fields ......... sip Type ................... ETH-II Source address mask .... 255.255.255.0 Dest. address mask ..... 0.0.0.0 Ingress port mask ...... false Egress port mask ....... false Filter ................. 2 Matched fields ......... sip Type ................... ETH-II Source address mask .... 255.255.255.255 Dest. address mask ..... 0.0.0.0 Ingress port mask ...... false Egress port mask ....... false |
Manager > show switch l3filter=2 entry Hardware based filtering.... Enabled Software filtering bypass .. Disabled Filter ................. 2 Matched fields ......... sip Type ................... ETH-II Source address mask .... 255.255.255.255 Dest. address mask ..... 0.0.0.0 Ingress port mask ...... false Egress port mask ....... false Filter Entries: --------------------------------------------------------------------------- Entry ................ 1 Ingress Port ......... None Egress Port .......... None Source Address ....... 192.168.10.130 Source Mask .......... 255.255.255.255 Dest Address ......... 0.0.0.0 Dest Mask ............ 0.0.0.0 Protocol ............. 0 TTL .................. 0 TOS .................. 0 IPDSCP ............... 0 Type ................. 0800(ETH-II) Action ............... NODROP --------------------------------------------------------------------------- Entry ................ 2 Ingress Port ......... None Egress Port .......... None Source Address ....... 192.168.10.103 Source Mask .......... 255.255.255.255 Dest Address ......... 0.0.0.0 Dest Mask ............ 0.0.0.0 Protocol ............. 0 TTL .................. 0 TOS .................. 0 IPDSCP ............... 0 Type ................. 0800(ETH-II) Action ............... NODROP --------------------------------------------------------------------------- Entry ................ 3 Ingress Port ......... None Egress Port .......... None Source Address ....... 192.168.10.16 Source Mask .......... 255.255.255.255 Dest Address ......... 0.0.0.0 Dest Mask ............ 0.0.0.0 Protocol ............. 0 TTL .................. 0 TOS .................. 0 IPDSCP ............... 0 Type ................. 0800(ETH-II) Action ............... NODROP --------------------------------------------------------------------------- |
DELETE SWITCH L3FILTER=1 ENTRY=1 ↓
Note - エントリー番号は可変です。エントリーを削除すると、後続のエントリー番号が1つずつ前にずれるので注意してください。コマンド中でエントリー番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドにENTRYパラメーターを付けて実行し、希望のエントリーの番号を確認してから指定してください。
DELETE SWITCH L3FILTER=1 ↓
Note - フィルター番号は可変です。フィルター（マッチ条件）を削除すると、後続のフィルター番号が1つずつ前にずれるので注意してください。コマンド中でフィルター番号を指定するときは、必ずSHOW SWITCH L3FILTERコマンドで希望するフィルターの番号を確認してから指定してください。
ENABLE SWITCH L3FILTER ↓
| 設定例 |
| 特定スイッチポートからのみ外部へのUDP通信を許可 |
CREATE VLAN=white VID=10 ↓
CREATE VLAN=orange VID=20 ↓
ADD VLAN=white PORT=6 ↓
ADD VLAN=orange PORT=1-3 ↓
ENABLE IP ↓
ADD IP INT=vlan-white IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP INT=vlan-orange IP=192.168.20.1 MASK=255.255.255.0 ↓
ADD IP ROUTE=0.0.0.0 MASK=0.0.0.0 INT=vlan-white NEXTHOP=192.168.10.32 ↓
ADD SWITCH L3FILTER MATCH=PROTOCOL IMPORT=TRUE ↓
ADD SWITCH L3FILTER=1 ENTRY PROTOCOL=UDP IPORT=2 ACTION=DENY ↓
ADD SWITCH L3FILTER=1 ENTRY PROTOCOL=UDP IPORT=3 ACTION=DENY ↓
| TCP片方向通信 |
CREATE VLAN=white VID=10 ↓
CREATE VLAN=orange VID=20 ↓
ADD VLAN=white PORT=1-3 ↓
ADD VLAN=orange PORT=4-6 ↓
ENABLE IP ↓
ADD IP INT=vlan-white IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP INT=vlan-orange IP=192.168.20.1 MASK=255.255.255.0 ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,DIPADDR,PROTOCOL,TCPACK,TCPSYN SCLASS=C DCLASS=C ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 DIPADDR=192.168.20.0 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY ↓
| 「マルチプルVLAN」的構成例 |
CREATE VLAN=p1 VID=10 ↓
CREATE VLAN=p2 VID=20 ↓
CREATE VLAN=p3 VID=30 ↓
CREATE VLAN=common VID=60 ↓
ADD VLAN=p1 PORT=1 ↓
ADD VLAN=p2 PORT=2 ↓
ADD VLAN=p3 PORT=3 ↓
ADD VLAN=common PORT=6 ↓
ENABLE IP ↓
ADD IP INT=vlan-p1 IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP INT=vlan-p2 IP=192.168.20.1 MASK=255.255.255.0 ↓
ADD IP INT=vlan-p3 IP=192.168.30.1 MASK=255.255.255.0 ↓
ADD IP INT=vlan-common IP=172.16.10.1 MASK=255.255.255.0 ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,DIPADDR SCLASS=B DCLASS=B ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.0.0 DIPADDR=192.168.0.0 ACTION=DENY ↓
DISABLE TELNET SERVER ↓
| IPベースのQoS |
CREATE VLAN=white VID=10 ↓
CREATE VLAN=orange VID=20 ↓
ADD VLAN=white PORT=1-3 ↓
ADD VLAN=orange PORT=4-6 ↓
ENABLE IP ↓
ADD IP INT=vlan-white IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP INT=vlan-orange IP=192.168.20.1 MASK=255.255.255.0 ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,DIPADDR SCLASS=HOST DCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.5 DIPADDR=192.168.20.100 ACTION=SENDCOS PRIORITY=7 ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.20.100 DIPADDR=192.168.10.5 ACTION=SENDCOS PRIORITY=7 ↓
| ハードウェアIPフィルターによるポートミラーリング |
CREATE VLAN=white VID=10 ↓
CREATE VLAN=orange VID=20 ↓
ADD VLAN=white PORT=2-3 ↓
ADD VLAN=orange PORT=4-6 ↓
ENABLE IP ↓
ADD IP INT=vlan-white IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP INT=vlan-orange IP=192.168.20.1 MASK=255.255.255.0 ↓
SET SWITCH MIRROR=1 ↓
Note - このときポート1がVLAN default以外に所属しているとエラーになります。その場合は、DELETE VLAN PORTコマンドでポートを現在所属中のVLANから削除した上で、本コマンドを実行してください。
ENABLE SWITCH MIRROR ↓
ADD SWITCH L3FILTER MATCH=SIPADDR,DIPADDR SCLASS=HOST DCLASS=HOST ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.5 DIPADDR=192.168.20.100 ACTION=SENDMIRROR ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.20.100 DIPADDR=192.168.10.5 ACTION=SENDMIRROR ↓
(C) 2000 - 2006 アライドテレシスホールディングス株式会社
PN: J613-M6873-04 Rev.E