[index] CentreCOM x610シリーズ コマンドリファレンス 5.4.3

トラフィック制御 / ハードウェアパケットフィルター

Note - 同一ポート上において、ハードウェアパケットフィルターとポリシーマップを併用することも可能です。その場合、該当ポートで受信したパケットの処理は、ハードウェアパケットフィルター、ポリシーマップの順に行われます。両方を通過しないとパケットは出力されません。詳細は本解説編の「フィルター処理の流れ」をご覧ください。

Note - 予約済みリンクローカルアドレスのマルチキャストパケット（MACアドレス：0100.5e00.00xx、IPアドレス：224.0.0.x）に対してはフィルタリングできません。該当パケットをフィルタリングしたい場合は、ポリシーマップを使用することでフィルタリングが可能です。

• Ethernetヘッダー
  
  • 送信元MACアドレス
    
  • 宛先MACアドレス
    
• IPヘッダー
  
  • 始点IPアドレス
    
  • 終点IPアドレス
    
  • 上位プロトコル（IPすべて、TCP、UDP、ICMP、任意のプロトコルタイプ）
    
• TCP/UDPヘッダー
  
  • 始点ポート番号
    
  • 終点ポート番号
    
• ICMPヘッダー
  
  • メッセージタイプ
    

Note - ハードウェアパケットフィルターでは、入力VLAN、IPヘッダーのDSCP値やTOS優先度値、TCPヘッダーの制御フラグ値などに基づくフィルタリングはできません。これらの条件でフィルタリングを行いたい場合は、ポリシーマップのフィルタリング機能を利用してください。詳しくは、「トラフィック制御」の「Quality of Service」をご覧ください（「ポリシーマップのフィルタリング機能」他）。

• 通常転送（permit）
  
• 破棄（deny）
  
• 通常転送 ＋ CPUにコピー（copy-to-cpu）
  
• 破棄 ＋ CPUに転送（send-to-cpu）
  
• 通常転送 ＋ ミラーポートにコピー（copy-to-mirror）
  

Note - 以下の説明は、設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。あらかじめご了承ください。

1. 受信スイッチポートにハードウェアパケットフィルターが適用されている場合、受信パケットとアクセスリストの条件を、スイッチポートにアクセスリストを関連付けた順序で照合します。
   
   
2. いずれかのアクセスリストにおいて条件が一致した場合は、その場でアクセスリストのアクション（転送、破棄など）を実行し、ハードウェアパケットフィルターの処理を完了します。
   
   
3. 一致するアクセスリストがなかった場合は該当受信スイッチポートにおけるハードウェアパケットフィルターの処理を完了し、通常どおりパケットの転送処理を実行します。また、スイッチポートにハードウェアパケットフィルターが適用されていない場合も同様です。
   

Note - ハードウェアパケットフィルターは、スイッチ本体から送信されるパケットには適用されません。

Note - 同一ポート上において、ハードウェアパケットフィルターとポリシーマップを併用している場合、該当ポートで受信したパケットの処理はハードウェアパケットフィルター、ポリシーマップの順に行われます。両方を通過しないとパケットは出力されません。

1. ハードウェアアクセスリストを作成（access-list(hardware ip)コマンド、access-list(hardware mac)コマンド）
   
2. 受信スイッチポートにアクセスリストを追加（access-groupコマンド）
   

1. ハードウェアIPアクセスリストを作成し、IPパケットの条件とマッチしたときの処理を指定します。これにはaccess-list(hardware ip)コマンドを使います。
   

   awplus(config)# access-list 3000 deny ip 192.168.100.38/32 192.168.10.5/32 ↓ awplus(config)# access-list 3001 deny ip 192.168.100.38/32 192.168.10.11/32 ↓

   
   
2. 受信スイッチポートにハードウェアアクセスリストを追加します。interfaceコマンドで対象スイッチポートを指定してインターフェースモードに入り、access-groupコマンドで関連付けるハードウェアIPアクセスリストを指定します。
   

   awplus(config)# interface port1.0.12 ↓ awplus(config-if)# access-group 3000 ↓ awplus(config-if)# access-group 3001 ↓ awplus(config-if)# exit ↓

Note - 1つのスイッチポートに対して、ハードウェアアクセスリストを複数追加した場合、受信パケットとアクセスリストの照合はアクセスリストの追加順に行われます。受信パケットがどのアクセスリストともマッチしなかった場合、該当パケットは許可されます。

Note - ハードウェアパケットフィルターは、スイッチ本体から送信されるパケットには適用されません。

• スタティックチャンネルグループ（手動設定のトランクグループ）の場合は、インターフェース名「saX」（Xはスタティックチャンネルグループ番号）に対してアクセスリストを設定します。たとえば、スタティックチャンネルグループ「1」にハードウェアIPアクセスリスト3010を適用するには、次のようにします。
  

  awplus(config)# interface sa1 ↓ awplus(config-if)# access-group 3010 ↓

  
  スタティックチャンネルグループのメンバーポートに対してアクセスリストを適用することはできないので注意してください。
  

  awplus(config)# interface port1.0.12 ↓ awplus(config-if)# access-group 3010 ↓ % ACL cannot be attached to an interface that is a member of a static-channel-group. Try attaching the ACL to "sa" interface.

  
  
• LACPチャンネルグループ（自動設定のトランクグループ）の場合は、該当グループに所属しているすべてのスイッチポートに対してアクセスリストを設定します。たとえば、スイッチポート1.0.1〜1.0.10からなるLACPチャンネルグループ「1」にハードウェアIPアクセスリスト3020を適用するには、次のようにしてください。
  

  awplus(config)# interface port1.0.1-1.0.10 ↓ awplus(config-if)# access-group 3020 ↓

  
  インターフェース名「poX」（XはLACPチャンネルグループ番号）に対してアクセスリストを適用することはできないので注意してください。
  

  awplus(config)# interface po1 ↓ awplus(config-if)# access-group 3020 ↓ % ACL cannot be attached to a dynamic aggregator interface.

awplus(config)# access-list 3010 deny ip 192.168.10.100/32 192.168.20.0/24 ↓ awplus(config)# interface port1.0.1 ↓ awplus(config-if)# access-group 3010 ↓

awplus(config)# access-list 3020 deny icmp 10.0.0.0/8 any ↓ awplus(config)# interface port1.0.2-1.0.4 ↓ awplus(config-if)# access-group 3020 ↓

awplus(config)# access-list 4010 permit 000a.7934.0b00 0000.0000.00ff any ↓ awplus(config)# access-list 4011 deny any any ↓ awplus(config)# interface port1.0.5 ↓ awplus(config-if)# access-group 4010 ↓ awplus(config-if)# access-group 4011 ↓

awplus(config)# access-list 3030 deny tcp any 192.168.30.100/32 eq 23 ↓ awplus(config)# interface port1.0.8 ↓ awplus(config-if)# access-group 3030 ↓

awplus(config)# access-list 3041 deny ip 192.168.10.0/24 any ↓ awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# access-group 3041 ↓

awplus(config)# access-list 3040 permit ip 192.168.10.0/24 192.168.10.0/24 ↓ awplus(config)# access-list 3041 deny ip 192.168.10.0/24 any ↓ awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# access-group 3040 ↓ awplus(config-if)# access-group 3041 ↓

Note - ハードウェアパケットフィルターでは、最初にマッチしたアクセスリストのアクションが実行されます。デフォルト拒否の設定を行うには、最初に特定の条件を満たしたパケットを許可するアクセスリストを並べた上で、最後にすべてを破棄するアクセスリストを指定します。また、デフォルト許可に設定する場合は、特定の条件を満たしたパケットを拒否するアクセスリストだけを並べていきます。つまり、ハードウェアパケットフィルター自体はデフォルト許可です。

awplus> show interface port1.0.1-1.0.12 access-group ↓ Interface port1.0.12 access-group 3000 access-group 3001

awplus# show access-list ↓

awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# no access-group 3041 ↓ awplus(config-if)# no access-group 3040 ↓

Note - スイッチポートからハードウェアパケットフィルターを削除しても、ハードウェアアクセスリストそのものは削除されません。スイッチポートとハードウェアアクセスリストの関連付けが削除されるだけです。ハードウェアアクセスリストを削除するには、access-list(hardware ip)コマンド、access-list(hardware mac)コマンドをno形式で実行します。

• シーケンス番号で作成したアクセスリストにおいて、条件が一致した場合、アクセスリストのアクション（転送、破棄など）を実行し、ハードウェアパケットフィルターの処理を完了する
  
• フィルターのマッチは、シーケンス番号の若い順で行う
  
• シーケンス番号で作成したアクセスリストを、アクセスグループとして複数を設定した場合、最初に設定したアクセスグループのシーケンス番号のフィルターがマッチされ、マッチするものが無ければ、次にアクセスグループのシーケンス番号の若い順という順序で行う
  
• それ以外は、基本動作の処理と変わらない
  

• スイッチポート1.0.1において、192.168.100.0/24に所属するホストからネットワーク192.168.10.0/24、192.168.20.0/24と192.168.30.0/24へのIPパケットを遮断するよう設定する
  
• スイッチポート1.0.1において、192.168100.0/24に所属するホストから192.168.20.10のみTCP 80(HTTP)を許可するよう設定する
  
• スイッチポート1.0.1において、192.168.100.0/24に所属するホストからネットワーク192.168.30.0/24のIPパケットを遮断するエントリーを削除する
  
• スイッチポート1.0.1において、エントリーの順序を変更する
  
• 装置を再起動する
  

awplus(config)# access-list hardware mylist ↓ awplus(config-ip-hw-acl)# deny ip 192.168.100.0/24 192.168.10.0/24 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.100.0/24 192.168.20.0/24 ↓ awplus(config-ip-hw-acl)# deny ip 192.168.100.0/24 192.168.30.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)# interface port1.0.1 ↓ awplus(config-if)# access-group mylist ↓

awplus# show access-list mylist ↓ Hardware IP access list mylist 10 deny ip 192.168.100.0/24 192.168.10.0/24 20 deny ip 192.168.100.0/24 192.168.20.0/24 30 deny ip 192.168.100.0/24 192.168.30.0/24 awplus#

Note - シーケンス番号を指定しないで設定した場合、10ステップで自動にシーケンス番号が設定されます。

awplus(config)# access-list hardware mylist ↓ % This access-list is attached to an interface. The modified configuration will be applied to the interface automatically after exiting this configration mode by entering "exit" or "end" command. awplus(config-ip-hw-acl)# 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)#

Note - アクセスグループを設定している場合、エントリーの追加はaccess-list hardware(list)コマンドの変更のみで可能です。

Note - アクセスグループを設定している場合、ハードウェアパケットフィルターのシーケンス番号を利用して設定変更した場合、設定内容が適用されるタイミングは、ハードウェアアクセスリストモードから、ExitまたはEndを実行し、グローバルコンフィグレーションモードまたは特権EXECモードに移行したときになります。それまでは、設定変更前のフィルター設定が動作します。

awplus# show access-list mylist ↓ Hardware IP access list mylist 10 deny ip 192.168.100.0/24 192.168.10.0/24 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 20 deny ip 192.168.100.0/24 192.168.20.0/24 30 deny ip 192.168.100.0/24 192.168.30.0/24 awplus#

awplus(config)# access-list hardware mylist ↓ % This access-list is attached to an interface. The modified configuration will be applied to the interface automatically after exiting this configration mode by entering "exit" or "end" command. awplus(config-ip-hw-acl)# no 30 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)#

awplus(config)# access-list hardware mylist ↓ % This access-list is attached to an interface. The modified configuration will be applied to the interface automatically after exiting this configration mode by entering "exit" or "end" command. awplus(config-ip-hw-acl)# no deny ip 192.168.100.0/24 192.168.30.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)#

awplus# show access-list mylist ↓ Hardware IP access list mylist 10 deny ip 192.168.100.0/24 192.168.10.0/24 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 20 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#

awplus# show access-list mylist ↓ Hardware IP access list mylist 10 deny ip 192.168.100.0/24 192.168.10.0/24 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 20 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#

awplus(config)# access-list hardware mylist ↓ % This access-list is attached to an interface. The modified configuration will be applied to the interface automatically after exiting this configration mode by entering "exit" or "end" command. awplus(config-ip-hw-acl)# 17 deny ip 192.168.100.0/24 192.168.10.0/24 ↓ awplus(config-ip-hw-acl)# exit ↓ awplus(config)#

awplus# show access-list mylist ↓ Hardware IP access list mylist 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 17 deny ip 192.168.100.0/24 192.168.10.0/24 20 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#

Note - アクセスリスト内で同じ条件とアクションを持つエントリーをシーケンス番号で指定して新たに設定した場合、設定したシーケンス番号にエントリーは移動します。

awplus# show access-list mylist ↓ Hardware IP access list mylist 15 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 17 deny ip 192.168.100.0/24 192.168.10.0/24 20 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#

awplus# show access-list mylist ↓ Hardware IP access list mylist 10 permit tcp 192.168.100.0/24 192.168.20.10/32 eq 80 20 deny ip 192.168.100.0/24 192.168.10.0/24 30 deny ip 192.168.100.0/24 192.168.20.0/24 awplus#

(C) 2011 - 2013 アライドテレシスホールディングス株式会社

PN: 613-001613 Rev.C