[index] SwitchBlade 4000シリーズ コマンドリファレンス 2.6

スイッチング/ハードウェアパケットフィルター

  - 基本動作
   - フィルターの構成
   - フィルター処理の流れ
  - 設定手順
  - コマンド例
  - 注意事項
   - DPORT指定について
   - 本体宛てのパケットと本体発のパケット
    - 本体宛てのパケット
    - 本体発のパケット
   - DVLAN、SVLANについて
   - 包含関係にあるネットワークアドレスについて

ハードウェアパケットフィルターは、ハードウェア（ASIC）レベルでパケットをフィルタリング（許可・拒否）する機能です。

Note - ファイアウォールとハードウェアパケットフィルターは併用可能です。ただしその場合、ハードウェアパケットフィルターはスイッチングされるパケットにだけ適用され、ルーティングされるパケットには適用されません。なお、ファイアウォール機能が無効であっても、ファイアウォールポリシーにインターフェース（VLAN）を追加すると、本件においてはファイアウォールを併用していることになりますのでご注意ください。なお、ファイアウォールポリシーに追加されたインターフェース（VLAN）経由の通信（ルーティング）はソフトウェア処理となります。

• ハードウェアで処理するため、ソフトウェア処理のファイアウォールよりも高速
  
• 出力ポート単位でフィルタリングが可能（ファイアウォールはVLAN単位）
  
• ルーティングされないトラフィック（同一VLAN内のトラフィック）に対してもフィルタリングが可能（たとえば、IPモジュールを有効にしていない状態、すなわちレイヤー2スイッチとして使用している場合でもIPのフィルタリングが可能）
  

• 出力スイッチポート
  
• 入力VLAN、出力VLAN
  
• Ethernetのフレームフォーマット、プロトコルタイプ
  
• レイヤー2アドレス種別（ユニキャストとそれ以外）
  
• IPヘッダーのTOS優先度（precedence）、DSCP（DiffServ Code Point）、プロトコル、始点・終点IPアドレス
  
• IPXヘッダーの終点ネットワーク、始点・終点ソケット
  
• TCPヘッダーの始点・終点ポート
  
• UDPヘッダーの始点・終点ポート
  

• 転送（Forward）
  
• 破棄（Discard）
  

Note - ハードウェアパケットフィルターの設定コマンド（ADD SWITCH HWFILTERコマンド）には、転送、破棄以外にデバッグ用のアクションが存在しますが、通常の運用では使わないためここでは触れません。

基本動作

フィルターの構成

Note - スイッチ本体宛てのパケット、および、スイッチ本体から送信されるパケットへの適用条件については、本章の「本体宛てのパケットと本体発のパケット」をご覧ください。

フィルター処理の流れ

Note - 以下の説明は、設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。あらかじめご了承ください。

1. ハードウェアパケットフィルターが1つでも定義されている場合、送信パケットとフィルターエントリーを、フィルター番号の小さい順、エントリー番号の小さい順に照合します。
   
   
2. 一致するエントリーが見つかった場合は、その場でアクション（破棄か転送）を実行し、フィルターの処理を完了します。
   
   
3. 一致するエントリーがなかった場合はフィルター処理を完了し、通常どおりパケットを出力します。
   

設定手順

1. クラシファイアの作成（CREATE CLASSIFIERコマンド）
   
2. フィルターエントリーの追加（ADD SWITCH HWFILTERコマンド）
   

1. クラシファイアを作成します。詳細は「スイッチング」の「クラシファイア」をご覧ください。
   
   CREATE CLASSIFIER=1 IPDADDR=192.168.10.5 IPSADDR=192.168.100.38 ↓

   
   

   Note - クラシファイアの設定において、ファイアウォールポリシーに追加されたインターフェース（VLAN）をSVLANに指定しないでください。指定した場合、そのクラシファイアは、ルーティングパケットに対しては機能しません（スイッチングパケットに対しては機能します）。この現象は、ファイアウォール機能が無効であっても発生するのでご注意ください。

   
   

   Note - SVLANを指定したクラシファイアは、インスタンスをまたぐパケットに対しては無効です。

   
   
2. ハードウェアパケットフィルターにエントリーを追加します。エントリーを追加するには、クラシファイア、マッチ時のアクション（転送か破棄）、エントリーを適用する送出ポートの指定が必要です。
   
   ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD DPORT=1.8 ↓


Note - DPORT（送出スイッチポート）には、可能な限り、フィルターを適用したいポートだけを指定するようにしてください。CREATE CLASSIFIERコマンドでIPDADDR、IPXDADDRを指定している場合、ADD SWITCH HWFILTERコマンドのDPORTパラメーターに指定したポートの数だけ内部テーブル領域が消費されます。ADD SWITCH HWFILTERコマンドの実行時に「Insufficient space in the hardware packet classifier tables.」というエラーメッセージが表示されたときは、DPORTパラメーターに指定するポートを限定できないか確認してください。特に「DPORT=ALL」は、本当に必要なとき以外使わないでください。詳しくは本章の「DPORT指定に関する注意」をご参照ください。

Note - DPORTにALL以外を指定した場合、複数ポートへ出力されるブロードキャスト、マルチキャスト、未学習ユニキャストパケットはフィルターの適用対象になりません。

Note - スイッチ本体宛てのパケット、および、スイッチ本体から送信されるパケットへの適用条件については、本章の「本体宛てのパケットと本体発のパケット」をご覧ください。

コマンド例

CREATE CLASSIFIER=1 IPSADDR=10.0.0.0/8 ↓
CREATE CLASSIFIER=2 IPSADDR=127.0.0.0/8 ↓
CREATE CLASSIFIER=3 IPSADDR=169.254.0.0/16 ↓
CREATE CLASSIFIER=4 IPSADDR=172.16.0.0/12 ↓
CREATE CLASSIFIER=5 IPSADDR=192.168.0.0/16 ↓
CREATE CLASSIFIER=6 IPSADDR=224.0.0.0/3 ↓
CREATE CLASSIFIER=7 IPSADDR=0.0.0.0/8 ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1-7 ACTION=DISCARD DPORT=2.8 ↓


CREATE CLASSIFIER=1 IPSADDR=192.168.10.100/32 IPDADDR=192.168.20.0/24 ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD DPORT=1.5-1.8 ↓


CREATE CLASSIFIER=1 IPPROTOCOL=ICMP ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD DPORT=1.2 ↓


CREATE CLASSIFIER=1 IPDADDR=192.168.30.100/32 TCPDPORT=23 ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD DPORT=2.42 ↓


CREATE CLASSIFIER=1 IPSADDR=192.168.10.0/24 ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD DPORT=ALL ↓


CREATE CLASSIFIER=1 IPSADDR=192.168.10.0/24 ↓
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD DPORT=1.5-1.8 ↓


Note - DPORT（送出スイッチポート）には、可能な限り、フィルターを適用したいポートだけを指定するようにしてください。CREATE CLASSIFIERコマンドでIPDADDR、IPXDADDRを指定している場合、ADD SWITCH HWFILTERコマンドのDPORTパラメーターに指定したポートの数だけ内部テーブル領域が消費されます。ADD SWITCH HWFILTERコマンドの実行時に「Insufficient space in the hardware packet classifier tables.」というエラーメッセージが表示されたときは、DPORTパラメーターに指定するポートを限定できないか確認してください。特に「DPORT=ALL」は、本当に必要なとき以外使わないでください。詳しくは本章の「DPORT指定に関する注意」をご参照ください。

Note - ハードウェアパケットフィルターでは、最初にマッチしたエントリーのアクションが実行されます。デフォルト拒否の設定を行うには、最初に許可するエントリーを並べた上で、最後にすべてを破棄するエントリーを設定します。また、デフォルト許可に設定する場合は、拒否するエントリーだけを並べていきます。ハードウェアパケットフィルター自体は、デフォルト許可です。

SHOW SWITCH HWFILTER ↓


SHOW CLASSIFIER ↓
SHOW CLASSIFIER=1-3 ↓
SHOW CLASSIFIER=ALL ↓


DELETE SWITCH HWFILTER=1 CLASSIFIER=2 ↓
DELETE SWITCH HWFILTER=1 CLASSIFIER=5-8 ↓


DELETE SWITCH HWFILTER=1 CLASSIFIER=3 RULEPOS=4 ↓


Note - エントリー番号は可変です。エントリーを削除すると、後続のエントリー番号が1つずつ前にずれるので注意してください。コマンド中でエントリー番号を指定するときは、必ずSHOW SWITCH HWFILTERコマンドを実行し、希望のエントリーの番号を確認してから指定してください。

DELETE SWITCH HWFILTER=1 ↓
DELETE SWITCH HWFILTER=1 CLASSIFIER=ALL ↓


Note - ハードウェアパケットフィルターやエントリーを削除しても、クラシファイアは削除されません。ハードウェアパケットフィルターとクラシファイアの関連付けが削除されるだけです。クラシファイアを削除するには、DESTROY CLASSIFIERコマンドを使います。

注意事項

DPORT指定について

CREATE CLASSIFIER=1 IPDADDR=10.1.2.0/24
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD DPORT=ALL


CREATE CLASSIFIER=1 IPDADDR=10.1.2.0/24
ADD SWITCH HWFILTER=1 CLASSIFIER=1 ACTION=DISCARD DPORT=1.1-1.3


本体宛てのパケットと本体発のパケット

本体宛てのパケット

• DPORT=ALLを指定した場合、このフィルターはすべてのCPU宛てパケットに適用されます。ただし、フィルター条件にIPDADDRを含む場合は適用されません。
  
  
• DPORTにインスタンス上の全ポートを明示的に指定した場合（例：8ポートラインカードでDPORT=1.1-1.8とした場合）、このフィルターは該当インスタンス上のポートで受信するすべてのCPU宛てパケットに適用されます。ただし、フィルター条件にIPDADDRを含む場合は適用されません。
  
  
• DPORTに上記以外を指定した場合、このフィルターはCPU宛てパケットには適用されません。
  

本体発のパケット

• CPU発のユニキャストパケットには、原則として通常どおりフィルターが適用されます。たとえば、DPORT=1.5のフィルターは、ポート1.5から送信されるCPU発パケットに適用されます。
  
  
• CPU発のマルチキャストパケットには、いっさいフィルターが適用されません。
  
  
• CPU発のブロードキャストパケットには、下記のいずれかの条件を満たすフィルターだけが適用されます。いずれの条件も満たさないフィルターは適用されません。
  
  
  • DPORT=ALLが指定されている
    
    
  • DPORTに指定したポートの所属インスタンス内に、同一VLAN所属の他のポートが存在しない場合
    
    
  • DPORTに指定したポートの所属インスタンス内に、同一VLAN所属で、なおかつ、リンクアップしている他のポートが存在しない場合
    

DVLAN、SVLANについて

CREATE CLASSIFIER=10 DVLAN=30 ↓
CREATE CLASSIFIER=20 SVLAN=10 ↓
ADD SWITCH HWFILTER=10 CLASSIFIER=20 ACTION=FORWARD DPORT=1.3 (1) ↓
ADD SWITCH HWFILTER=10 CLASSIFIER=10 ACTION=DISCARD DPORT=1.3 (2) ↓


包含関係にあるネットワークアドレスについて

1. AS > AD Forward
   
2. BS > BD Forward
   
3. ZS > ZD Discard
   

• AS > BD
  
• BS > AD
  

1. AS > AD Forward
   
2. BS > BD Forward
   
3. AS > BD Discard
   
4. BS > AD Discard
   
5. ZS > ZD Discard
   

1. AS > AD Forward
   
2. BS > BD Forward
   
3. CS > CD Forward
   
4. ZS > ZD Discard
   

• AS > BD, AS > CD
  
• BS > AD, BS > CD
  
• CS > AD, CS > BD
  

(C) 2003 - 2005 アライドテレシスホールディングス株式会社

PN: J613-M6964-02 Rev.G