[index] CentreCOM x900シリーズ・SwitchBlade x908 コマンドリファレンス 5.3.2

トラフィック制御 / ハードウェアパケットフィルター

  - 基本動作
   - フィルターの構成
   - フィルター処理の流れ
  - 設定手順
  - コマンド例
  - ハードウェアパケットフィルターのルール領域消費量

Note - 同一ポート上において、ハードウェアパケットフィルターとポリシーマップを併用することは可能です。該当ポートで受信したパケットの処理は、ハードウェアパケットフィルター、ポリシーマップの順に行われます。ただし、次項で述べる制限事項があるので注意してください。

Note - ハードウェアパケットフィルターにマッチしたパケットに対して、ポリシーマップによるQoSは適用されません（ここでの「マッチ」とは、破棄（deny）だけでなく明示的な転送許可（permitなど）も含みます）。ハードウェアパケットフィルターで破棄（deny）のアクションだけを使用する場合は両者を併用しても問題はありませんが、ハードウェアパケットフィルターで破棄以外のアクションを使用する場合は、ハードウェアパケットフィルターとポリシーマップを併用せずに、ポリシーマップのフィルタリング機能を使ってフィルタリングを行ってください。

• Ethernetヘッダー
  
  • 送信元MACアドレス
    
  • 宛先MACアドレス
    
• IPヘッダー
  
  • 始点IPアドレス
    
  • 終点IPアドレス
    
  • 上位プロトコル（IPすべて、TCP、UDP、ICMP、任意のプロトコルタイプ）
    
• TCP/UDPヘッダー
  
  • 始点ポート番号
    
  • 終点ポート番号
    
• ICMPヘッダー
  
  • メッセージタイプ
    

Note - ハードウェアパケットフィルターでは、入力VLAN、IPヘッダーのDSCP値やTOS優先度値、TCPヘッダーの制御フラグ値などに基づくフィルタリングはできません。これらの条件でフィルタリングを行いたい場合は、ポリシーマップのフィルタリング機能を利用してください。詳しくは、「トラフィック制御」の「Quality of Service」をご覧ください（「ポリシーマップのフィルタリング機能」他）。

• 通常転送（permit）
  
• 破棄（deny）
  
• 通常転送 ＋ CPUにコピー（copy-to-cpu）
  
• 破棄 ＋ CPUに転送（send-to-cpu）
  
• 通常転送 ＋ ミラーポートにコピー（copy-to-mirror）
  

Note - 以下の説明は、設定上の便宜を最優先して書いたものであり、実際の内部動作を正確に記述したものではありません。あらかじめご了承ください。

1. 受信スイッチポートにハードウェアパケットフィルター（インターフェース・ハードウェアパケットフィルター）が適用されている場合、受信パケットとアクセスリストの条件を、スイッチポートにアクセスリストを関連付けた順序で照合します。
   
   
   • いずれかのアクセスリストにおいて条件が一致した場合は、その場でアクセスリストのアクション（転送、破棄など）を実行し、ハードウェアパケットフィルターの処理を完了します（手順2には進まない）。
     
     
   • 受信スイッチポート上に一致するアクセスリストがなかった場合は手順2に進みます。また、受信スイッチポートにハードウェアパケットフィルターが適用されていない場合も同様です。
     
   
   
2. スイッチ全体にハードウェアパケットフィルター（グローバル・ハードウェアパケットフィルター）が適用されている場合、受信パケットとアクセスリストの条件を、スイッチ全体にアクセスリストを関連付けた順序で照合します。
   
   
   • いずれかのアクセスリストにおいて条件が一致した場合は、その場でアクセスリストのアクション（転送、破棄など）を実行し、ハードウェアパケットフィルターの処理を完了します。
     
     
   • スイッチ全体に一致するアクセスリストがなかった場合はハードウェアパケットフィルターの処理を完了し、通常どおりパケットの転送処理を実行します。また、スイッチ全体にハードウェアパケットフィルターが適用されていない場合も同様です。
     

Note - ハードウェアパケットフィルターは、スイッチ本体から送信されるパケットには適用されません。

Note - ハードウェアパケットフィルターにマッチしたパケットに対して、ポリシーマップによるQoSは適用されません（ここでの「マッチ」とは、破棄（deny）だけでなく明示的な転送許可（permitなど）も含みます）。ハードウェアパケットフィルターで破棄（deny）のアクションだけを使用する場合は両者を併用しても問題はありませんが、ハードウェアパケットフィルターで破棄以外のアクションを使用する場合は、ハードウェアパケットフィルターとポリシーマップを併用せずに、ポリシーマップのフィルタリング機能を使ってフィルタリングを行ってください。

1. ハードウェアアクセスリストを作成（access-list(hardware ip)コマンド、access-list(hardware mac)コマンド）
   
2. 受信スイッチポートかスイッチ全体にアクセスリストを追加
   特定のスイッチポートにアクセスリストを追加するときは、インターフェースモードのip access-groupコマンド、mac access-groupコマンドを、スイッチ全体に追加するときはグローバルコンフィグモードのip access-groupコマンド、mac access-groupコマンドを使います。
   

1. ハードウェアIPアクセスリストを作成し、IPパケットの条件とマッチしたときの処理を指定します。これにはaccess-list(hardware ip)コマンドを使います。
   

   awplus(config)# access-list 3000 deny ip 192.168.100.38/32 192.168.10.5/32 ↓ awplus(config)# access-list 3001 deny ip 192.168.100.38/32 192.168.10.11/32 ↓ awplus(config)# access-list 3101 deny ip any 10.255.255.0/24 ↓

   
   
2. 受信スイッチポートにハードウェアアクセスリストを追加します。interfaceコマンドで対象スイッチポートを指定してインターフェースモードに入り、ip access-groupコマンドで関連付けるハードウェアIPアクセスリストを指定します。
   

   awplus(config)# interface port1.0.13 ↓ awplus(config-if)# ip access-group 3000 ↓ awplus(config-if)# ip access-group 3001 ↓ awplus(config-if)# exit ↓

   
   
3. スイッチ全体にハードウェアアクセスリストを追加します。これには、グローバルコンフィグモードのip access-groupコマンドを使います。
   

   awplus(config)# ip access-group 3101 ↓

Note - スイッチポートやスイッチ全体に対して、ハードウェアアクセスリストを複数追加した場合、受信パケットとアクセスリストの照合はアクセスリストの追加順に行われます。受信パケットがどのアクセスリストともマッチしなかった場合、該当パケットは許可されます。

Note - ハードウェアパケットフィルターは、スイッチ本体から送信されるパケットには適用されません。

• スタティックチャンネルグループ（手動設定のトランクグループ）の場合は、インターフェース名「saX」（Xはスタティックチャンネルグループ番号）に対してアクセスリストを設定します。たとえば、スタティックチャンネルグループ「1」にハードウェアIPアクセスリスト3010を適用するには、次のようにします。
  

  awplus(config)# interface sa1 ↓ awplus(config-if)# ip access-group 3010 ↓

  
  スタティックチャンネルグループのメンバーポートに対してアクセスリストを適用することはできないので注意してください。
  

  awplus(config)# interface port1.0.12 ↓ awplus(config-if)# ip access-group 3010 ↓ % ACL cannot be attached to an interface that is a member of a static-channel-group. Try attaching the ACL to "sa" interface.

  
  
• LACPチャンネルグループ（自動設定のトランクグループ）の場合は、該当グループに所属しているすべてのスイッチポートに対してアクセスリストを設定します。たとえば、スイッチポート1.0.1〜1.0.10からなるLACPチャンネルグループ「1」にハードウェアIPアクセスリスト3020を適用するには、次のようにしてください。
  

  awplus(config)# interface port1.0.1-1.0.10 ↓ awplus(config-if)# ip access-group 3020 ↓

  
  インターフェース名「poX」（XはLACPチャンネルグループ番号）に対してアクセスリストを適用することはできないので注意してください。
  

  awplus(config)# interface po1 ↓ awplus(config-if)# ip access-group 3020 ↓ % ACL cannot be attached to a dynamic aggregator interface.

awplus(config)# access-list 3010 deny ip 192.168.10.100/32 192.168.20.0/24 ↓ awplus(config)# interface port1.0.1 ↓ awplus(config-if)# ip access-group 3010 ↓

awplus(config)# access-list 3020 deny icmp 10.0.0.0/8 any ↓ awplus(config)# interface port1.0.2-1.0.4 ↓ awplus(config-if)# ip access-group 3020 ↓

awplus(config)# access-list 4010 permit 000a.7934.0b00 0000.0000.00ff any ↓ awplus(config)# access-list 4011 deny any any ↓ awplus(config)# interface port1.0.5 ↓ awplus(config-if)# mac access-group 4010 ↓ awplus(config-if)# mac access-group 4011 ↓

awplus(config)# access-list 3030 deny tcp any 192.168.30.100/32 eq 23 ↓ awplus(config)# interface port1.0.8 ↓ awplus(config-if)# ip access-group 3030 ↓

awplus(config)# access-list 3035 deny tcp any any gt 59999 ↓ awplus(config)# access-list 3036 deny udp any any gt 59999 ↓ awplus(config)# ip access-group 3035 ↓ awplus(config)# ip access-group 3036 ↓

awplus(config)# access-list 3041 deny ip 192.168.10.0/24 any ↓ awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# ip access-group 3041 ↓

awplus(config)# access-list 3040 permit ip 192.168.10.0/24 192.168.10.0/24 ↓ awplus(config)# access-list 3041 deny ip 192.168.10.0/24 any ↓ awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# ip access-group 3040 ↓ awplus(config-if)# ip access-group 3041 ↓

Note - ハードウェアパケットフィルターでは、最初にマッチしたアクセスリストのアクションが実行されます。デフォルト拒否の設定を行うには、最初に特定の条件を満たしたパケットを許可するアクセスリストを並べた上で、最後にすべてを破棄するアクセスリストを指定します。また、デフォルト許可に設定する場合は、特定の条件を満たしたパケットを拒否するアクセスリストだけを並べていきます。つまり、ハードウェアパケットフィルター自体はデフォルト許可です。

awplus> show interface port1.0.1-1.0.24 access-group ↓ Interface port1.0.13 access-group 3000 access-group 3001

awplus# show access-list ↓

awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# no ip access-group 3041 ↓ awplus(config-if)# no ip access-group 3040 ↓

awplus(config)# no ip access-group 3035 ↓ awplus(config)# no ip access-group 3036 ↓

Note - スイッチポートやスイッチ全体からハードウェアパケットフィルターを削除しても、ハードウェアアクセスリストそのものは削除されません。スイッチポートやスイッチ全体とハードウェアアクセスリストの関連付けが削除されるだけです。ハードウェアアクセスリストを削除するには、access-list(hardware ip)コマンド、access-list(hardware mac)コマンドをno形式で実行します。

(C) 2007 - 2009 アライドテレシスホールディングス株式会社

PN: 613-000751 Rev.H