例：EXシリーズスイッチのポート、VLAN、およびルータートラフィック用のファイアウォールフィルターの設定

CLIクイック構成

音声トラフィックを優先し、employee-vlan サブネット宛てのパケットのレートを制限するポートファイアウォールフィルターを素早く構成して適用するには、以下のコマンドをコピーして、スイッチ端末ウィンドウにペーストします：

ステップバイステップでの手順

音声トラフィックを優先し、employee-vlan サブネット宛てのパケットのレートを制限するポートファイアウォールフィルターを構成して適用するには：

1. ポリサー tcp-connection-policer および icmp-connection-policer を定義します：

2. ファイアウォールフィルター ingress-port-voip-class-limit-tcp-icmp を定義します：

3. 条件 voip-high を定義します：

4. 条件 network-control を定義します：

5. TCPトラフィックのレートへの制限を構成する条件 tcp-connection を定義します：

6. ICMPトラフィックのレートへの制限を構成する条件 icmp-connection を定義します：

7. ファイアウォールフィルターで他のどの条件にも一致しないすべてのパケットに暗示的に一致させるため、一致条件なしの条件 best-effort を定義します：

8. ファイアウォールフィルター ingress-port-voip-class-limit-tcp-icmp を、employee-vlan 用のポートインターフェイスへの入力フィルターとして適用します：

9. 異なるスケジューラ向けに必要なパラメーターを構成します。

   注:

   スケジューラのパラメーターを構成する場合、ネットワークトラフィックパターンと一致する数値を定義します。

10. スケジューラマップでスケジューラに転送クラスを割り当てます：

11. 送信インターフェイスにスケジューラマップを関連付けます：

結果

設定の結果の表示：

CLIクイック構成

voice-vlan のVLANファイアウォール フィルターを素早く構成し、VoIPトラフィックを管理するゲートキーパーデバイスを模倣して、HTTPセッションを使用する不正デバイスを阻止するには、以下のコマンドをコピーして、スイッチの端末ウィンドウにペーストします。

ステップバイステップでの手順

voice-vlan 上でVLANファイアウォールフィルターを構成および適用して、VoIPトラフィックを管理するゲートキーパーデバイスを模倣してHTTPセッションを使用する不正デバイスを阻止するには：

1. ファイアウォールフィルター ingress-vlan-rogue-block を定義して、許可および制限したいトラフィックのフィルター条件を指定します：

2. 条件 to-gatekeeper を定義して、ゲートキーパーの宛先IPアドレスと一致するパケットを受け入れます：

3. 条件from-gatekeeperを定義して、ゲートキーパーの送信元IPアドレスと一致するパケットを受け入れるようにします：

4. 条件 not-gatekeeper を定義して、TCPポート上のすべての voice-vlan トラフィックがゲートキーパーデバイスに向けられるようにします：

5. VoIP電話のVLANインターフェイスに入力フィルターとして、ingress-vlan-rogue-block ファイアウォールフィルターを適用します：

結果

設定の結果の表示：

CLIクイック構成

VLANインターフェイスにファイアウォールフィルターを構成および適用し、employee-vlan エグレストラフィックをフィルタリングします。企業サブネット宛ての従業員トラフィックは許容されますが、監視はおこないません。ウェブを宛先とする従業員トラフィックは、カウントおよび分析されます。

VLANファイアウォールフィルターを素早く構成して適用するには、以下のコマンドをコピーして、スイッチの端末ウィンドウにペーストします：

ステップバイステップでの手順

ウェブを宛先とする employee-vlan トラフィックをカウントして分析するには、エグレスポートファイアウォールフィルターを構成および適用します：

1. ファイアウォールフィルター egress-vlan-watch-employee を定義します：

2. 条件employee-to-corpを定義することで、企業サブネットを宛先とするすべてのemployee-vlanトラフィックを受け入れますが、監視はおこないません：

3. 条件 employee-to-web を定義することで、ウェブを宛先とするすべての employee-vlan トラフィックのカウントと監視を行います：

   注:

   変更された手順については、「例：EXシリーズスイッチでの従業員のリソース使用をローカル監視するためのポートミラーリングを構成するに、 employee-monitor アナライザの構成に関する情報が掲載されています。

4. VoIP電話のポートインターフェイスへの出力フィルターとしてファイアウォールフィルター egress-vlan-watch-employee を適用します：

結果

設定の結果の表示：

CLIクイック構成

次の例では、最初のフィルター条件では、ゲストが他のゲストと話をすることは許可されますが、employee-vlan の従業員と話をすることは許可されません。2つ目のフィルター条件では、ゲストがウェブにアクセスすることは許可しますが、guest-vlan上のピアツーピアアプリケーションは使用できないようにします。

ゲストから従業員へのトラフィックを制限するために、VLANファイアウォールフィルターを素早く構成し、ゲストが employee-vlan 上の従業員または従業員ホストと話したり、または、guest-vlan 上のピアツーピアアプリケーションの使用を試みたりすることをブロックするには、以下のコマンドをコピーして、スイッチの端末ウィンドウにペーストします：

ステップバイステップでの手順

guest-vlan 上でのゲストから従業員へのトラフィック、およびピアツーピアアプリケーションを制限するために、VLANファイアウォールフィルターを構成および適用します：

1. ファイアウォールフィルター ingress-vlan-limit-guest を定義します：

2. 条件 guest-to-guest を定義することで、guest-vlan 上のゲストが他のゲストと通信することは許可されますが、employee-vlan の従業員との通信は許可されません：

3. 条件 no-guest-employee-no-peer-to-peer を定義することで、guest-vlan 上のゲストにウェブへのアクセスが許可されますが、guest-vlan 上のピアツーピアの使用は許可されません。

   注:

   destination-mac-address は、デフォルトのゲートウェイであり、VLAN内のあらゆるホストに対するネクストホップルーターとなります。

4. ファイアウォールフィルター ingress-vlan-limit-guest を、guest-vlan 用のインターフェイスの入力フィルターとして適用します。

結果

設定の結果の表示：

CLIクイック構成

ルーティングポート（レイヤー3アップリンクモジュール）にファイアウォールフィルターを素早く構成して、employee-vlan トラフィックをフィルタリングし、企業サブネットを宛先とするトラフィックに最高の転送クラス優先度を付与するには、以下のコマンドをコピーして、スイッチの端末ウィンドウにペーストします：

ステップバイステップでの手順

ルーティングポート（レイヤー3アップリンクモジュール）にファイアウォールフィルターを構成して適用し、企業サブネットを宛先とする employee-vlan トラフィックに最高の優先度を付与します。

1. ファイアウォールフィルター egress-router-corp-class を定義します：

2. 条件 corp-expedite を定義します：

3. 条件 not-to-corp を定義します：

4. レイヤー3のルーターへの接続を提供するスイッチのアップリンクモジュール上で、ポートへの出力フィルターとしてファイアウォールフィルター egress-router-corp-class を適用します：

結果

設定の結果の表示：

目的

スイッチ上で構成されたファイアウォールフィルターとポリサーの動作状態を検証します。

対処

以下の動作モードコマンドを使用します。

意味

show firewall コマンドは、スイッチ上で構成されたファイアウォールフィルター、ポリサー、およびカウンターの名前を表示します。出力フィールドには、構成されたすべてのカウンターのバイト数とパケット数、およびすべてのポリサーのパケット数が表示されます。

目的

スイッチ上でスケーラーとスケジューラーマップが動作していることを確認します。

対処

以下の動作モードコマンドを使用します。

意味

構成されたスケジューラーとスケジューラーマップに関する統計を表示します。