[index] AT-DC2552XS コマンドリファレンス 2.5.4.1
Note - ハードウェアパケットフィルターは、本製品が送信するパケットには適用されません。
Note - IGMP Snooping有効時、IGMPパケットにはハードウェアパケットフィルター（インターフェースACL、ポリシーマップ）が適用されません。
awplus(config)# access-list hardware acl1 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.1.0/24 any ↓ awplus(config-ip-hw-acl)# deny ip 192.168.2.0/24 any ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# access-list hardware acl2 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.3.0/24 any ↓ awplus(config-ip-hw-acl)# exit ↓ |
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# access-group acl1 ↓ awplus(config-if)# access-group acl2 ↓ |
awplus(config)# interface port1.0.1-port1.0.61 ↓ awplus(config-if)# access-group acl1 ↓ awplus(config-if)# access-group acl2 ↓ |
awplus(config)# interface port1.0.1-port1.0.48 ↓ awplus(config-if)# access-group acl1 ↓ awplus(config-if)# access-group acl2 ↓ awplus(config-if)# exit ↓ awplus(config)# interface port1.0.49-port1.0.61 ↓ awplus(config-if)# access-group acl2 ↓ awplus(config-if)# access-group acl1 ↓ awplus(config-if)# exit ↓ |
awplus# show platform classifier statistics utilization brief ↓ |
awplus(config)# access-list hardware acl1 ↓ awplus(config-ip-hw-acl)# permit tcp 192.168.10.0/24 192.168.20.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# access-list hardware acl2 ↓ awplus(config-ip-hw-acl)# deny tcp 192.168.10.0/24 192.168.20.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# class-map cmap1 ↓ awplus(config-cmap)# match access-group acl1 ↓ awplus(config-cmap)# match tcp-flags syn ack ↓ awplus(config-cmap)# exit ↓ awplus(config)# class-map cmap2 ↓ awplus(config-cmap)# match access-group acl2 ↓ awplus(config-cmap)# match tcp-flags syn ↓ awplus(config-cmap)# exit ↓ awplus(config)# policy-map pmap1 ↓ awplus(config-pmap)# class cmap1 ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# class cmap2 ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# exit ↓ awplus(config)# interface port1.0.1 ↓ awplus(config-if)# service-policy input pmap1 ↓ |
awplus(config)# access-list hardware acl3 ↓ awplus(config-ip-hw-acl)# permit tcp 192.168.10.0/24 192.168.20.0/24 ↓ awplus(config-ip-hw-acl)# permit tcp 192.168.10.0/24 192.168.30.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# access-list hardware acl4 ↓ awplus(config-ip-hw-acl)# deny tcp 192.168.10.0/24 192.168.20.0/24 ↓ awplus(config-ip-hw-acl)# deny tcp 192.168.10.0/24 192.168.30.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# class-map cmap3 ↓ awplus(config-cmap)# match access-group acl3 ↓ awplus(config-cmap)# match tcp-flags syn ack ↓ awplus(config-cmap)# exit ↓ awplus(config)# class-map cmap4 ↓ awplus(config-cmap)# match access-group acl4 ↓ awplus(config-cmap)# match tcp-flags syn ↓ awplus(config-cmap)# exit ↓ awplus(config)# policy-map pmap2 ↓ awplus(config-pmap)# class cmap3 ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# class cmap4 ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# exit ↓ awplus(config)# interface port1.0.1 ↓ awplus(config-if)# service-policy input pmap2 ↓ |
awplus(config)# interface port1.0.1-port1.0.61 ↓ awplus(config-if)# service-policy input pmap1 ↓ |
awplus(config)# interface port1.0.1-port1.0.61 ↓ awplus(config-if)# service-policy input pmap2 ↓ % Max number of Filter entries has exceeded. % Can't attach policy-map(pmap2) to port1.0.61 |
awplus(config)# interface vlan101-vlan150 ↓ awplus(config-if)# service-policy input pmap1 ↓ |
awplus# show platform classifier statistics utilization brief ↓ |
awplus(config)# access-list hardware acl2 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.100.38/32 192.168.10.5/32 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.100.38/32 192.168.10.11/32 ↓ awplus(config-ip-hw-acl)# exit ↓ |
awplus(config)# interface port1.0.13 ↓ awplus(config-if)# access-group acl2 ↓ awplus(config-if)# exit ↓ |
Note - 1つのスイッチポートに対して、ハードウェアアクセスリストを複数追加した場合、受信パケットとアクセスリストの照合はアクセスリストの追加順に行われます。受信パケットがどのアクセスリストともマッチしなかった場合、該当パケットは許可されます。
awplus(config)# interface port1.0.1-1.0.10 ↓ awplus(config-if)# access-group acl3 ↓ |
awplus(config)# interface sa1 ↓ awplus(config-if)# access-group acl4 ↓ % ACL cannot be attached to a static aggregator interface. |
Note - REFグループ（refX）上でのハードウェアパケットフィルター（インターフェースACL）の使用はサポート対象外です。
awplus(config)# access-list hardware acltest1 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.10.100/32 192.168.20.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# interface port1.0.1 ↓ awplus(config-if)# access-group acltest1 ↓ |
awplus(config)# access-list hardware acltest2 ↓ awplus(config-ip-hw-acl)# deny icmp 10.0.0.0/8 any ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# interface port1.0.2-1.0.4 ↓ awplus(config-if)# access-group acltest2 ↓ |
awplus(config)# access-list hardware acltest3 ↓ awplus(config-ip-hw-acl)# permit mac 00:0a:79:34:0b:00 00:00:00:00:00:ff any ↓ awplus(config-ip-hw-acl)# deny mac any any ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# interface port1.0.5 ↓ awplus(config-if)# access-group acltest3 ↓ |
awplus(config)# access-list hardware acltest4 ↓ awplus(config-ip-hw-acl)# deny tcp any 192.168.30.100/32 eq 23 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# interface port1.0.8 ↓ awplus(config-if)# access-group acltest4 ↓ |
awplus(config)# access-list hardware acltest5 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.10.0/24 any ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# access-group acltest5 ↓ |
awplus(config)# access-list hardware acltest5 ↓ awplus(config-ip-hw-acl)# permit ip 192.168.10.0/24 192.168.10.0/24 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.10.0/24 any ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# access-group acltest5 ↓ |
Note - ハードウェアパケットフィルターでは、最初にマッチしたアクセスリストのアクションが実行されます。デフォルト拒否の設定を行うには、最初に特定の条件を満たしたパケットを許可するアクセスリストを並べた上で、最後にすべてを破棄するアクセスリストを指定します。また、デフォルト許可に設定する場合は、特定の条件を満たしたパケットを拒否するアクセスリストだけを並べていきます。つまり、ハードウェアパケットフィルター自体はデフォルト許可です。
awplus# show interface port1.0.1-1.0.24 access-group ↓ |
awplus# show access-list ↓ |
awplus(config)# interface port1.0.1-1.0.24 ↓ awplus(config-if)# no access-group acltest11 ↓ awplus(config-if)# no access-group acltest10 ↓ |
Note - スイッチポートからハードウェアパケットフィルターを削除しても、ハードウェアアクセスリストそのものは削除されません。スイッチポートとハードウェアアクセスリストの関連付けが削除されるだけです。ハードウェアアクセスリストを削除するには、access-list hardware(list)コマンドをno形式で実行します。
Note - ここでは、ポリシーマップのパケットフィルタリング機能だけをとりあげます。ポリシーマップのQoS機能については、「トラフィック制御」の「Quality of Service」をご覧ください。
awplus(config)# access-list hardware SA10 ↓ awplus(config-ip-hw-acl)# permit tcp 192.168.10.0/24 192.168.20.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# access-list hardware S10 ↓ awplus(config-ip-hw-acl)# deny tcp 192.168.10.0/24 192.168.20.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ |
Note - ハードウェアアクセスリストの概要と作成方法については、「トラフィック制御」の「アクセスリスト」をご覧ください。
awplus(config)# class-map permitSA10 ↓ awplus(config-cmap)# match access-group SA10 ↓ awplus(config-cmap)# match tcp-flags syn ack ↓ awplus(config-cmap)# exit ↓ awplus(config)# class-map denyS10 ↓ awplus(config-cmap)# match access-group S10 ↓ awplus(config-cmap)# match tcp-flags syn ↓ awplus(config-cmap)# exit ↓ |
awplus(config)# policy-map pacl10 ↓ awplus(config-pmap)# |
awplus(config-pmap)# class permitSA10 ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# class denyS10 ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# exit ↓ |
awplus(config)# interface port1.0.1-1.0.2 ↓ awplus(config-if)# service-policy input pacl10 ↓ |
awplus(config)# interface port1.0.1-1.0.10 ↓ awplus(config-if)# service-policy input pacl10 ↓ |
awplus(config)# interface po1 ↓
awplus(config-if)# service-policy input pacl12 ↓
% Service policy cannot be applied to a dynamic aggregator interface.
awplus(config-if)# exit ↓
awplus(config)# interface ref1 ↓
awplus(config-if)# service-policy input pacl12 ↓
^
% Invalid input detected at '^' marker.
|
awplus(config)# interface vlan10 ↓ awplus(config-if)# service-policy input pcal10 ↓ |
(C) 2011-2013 アライドテレシスホールディングス株式会社
PN: 613-001633 Rev.D