EXシリーズスイッチのファイアウォールフィルターの一致条件、アクション、およびアクション修飾子

用語

パケットのフィルタリング基準を定義します。ファイアウォールフィルターの各条件は、一致条件とアクションで構成されています。ファイアウォールフィルターでは、単一の用語または複数の用語を定義できます。複数の用語を定義する場合、各用語には一意の名前が必要です。

一致条件

一致条件を定義する文字列( match statementと呼ばれる)で構成されます。一致条件とは、パケットに含めなければならない値またはフィールドです。1つの用語に対して、単一の一致条件または複数の一致条件を定義できます。一致条件を定義しないことを選択することもできます。条件に一致条件が指定されていない場合、デフォルトではすべてのパケットが一致します。

アクション

パケットが一致条件で指定されたすべての基準に一致する場合にスイッチが実行するアクションを指定します。

アクション修飾子

パケットが特定の条件の一致条件に一致する場合にスイッチが実行する1つ以上のアクションを指定します。

destination-address ip-address

IP宛先アドレスフィールドは、最終宛先ノードのアドレスです。

ip-destination-address ip-address

IP宛先アドレスフィールドは、最終宛先ノードのアドレスです。

ip6-destination-address ip-address

IP宛先アドレスフィールドは、最終宛先ノードのアドレスです。

宛先MACアドレス mac-address

パケットの宛先MAC(メディアアクセス制御)アドレス。

destination-mac-address 00:01:02:03:04:05/24などのプレフィックスを使用して宛先MACアドレスを定義できます。プレフィックスを指定しない場合は、デフォルト値の48が使用されます。

宛先ポート number

TCP または UDP 宛先ポート フィールド。通常、この一致条件を protocol または ipプロトコル 一致条件と組み合わせて指定して、ポートで使用されるプロトコルを決定します。 numberには、以下のテキスト同義語(ポート番号も記載されています)のいずれかを指定できます。

afs(1483)、bgp(179)、biff(512)、bootpc(68)、bootps(67)、cmd(514)、cvspserver(2401)、dhcp(67)、domain(53)、eklogin(2105)、ekshell(2106)、exec(512)、finger(79)、ftp(21)、ftp-data(20)、http(80)、https(443)、ident(113)、IMAP(143)、kerberos-sec(88)、klogin(543))、kpasswd(761)、krb-prop(754)、krbupdate(760)、kshell(544)、ldap(389)、login(513)、mobileip-agent(434)、mobilip-mn(435)、msdp(639)、netbios-dgm(138)、netbios-ns(137)、netbios-ssn(139)、nfsd(2049)、nntp(119)、ntalk(518)、ntp(123)、pop3(110)、pptp(1723)、printer(515)、radacct(1813)、radius(1812)、rip(520)、rkinit(2108)、smtp(25)、snmp(161)、snmptrap(162)、snpp(444)、socks(1080)、ssh(22)、sunrpc(111)、syslog(514)、tacacs-ds(65)、トーク(517)、telnet(23)、tftp(69)、timed(525)、who(513)、xdmcp(177)、Zephyr-CLT(2103)、Zephyr-HM(2104)

宛先プレフィックスリスト prefix-list

IP 宛先プレフィックスリスト フィールドです。

頻繁に使用できるように、プレフィックスリストエイリアスの下にIPアドレスプレフィックスのリストを定義できます。この一致条件は、 [edit policy-options] 階層レベルで定義します。

dot1q-tag number

イーサネットヘッダーのタグフィールド。タグ値の範囲は1〜4095です。 dot1q-tag 一致条件と VLAN 一致条件は相互に排他的です。

user-vlan-id number

イーサネットヘッダーのタグフィールド。タグ値の範囲は1〜4095です。 user-vlan-id 一致条件と learn-vlan-id 一致条件は相互に排他的です。

dot1qユーザー優先度 number

タグ付きイーサネットパケットのユーザー優先度フィールド。ユーザー優先度の値の範囲は0から7です。

numberには、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

• 背景(1)—背景

• ベストエフォート(0)—ベストエフォート

• 制御された負荷(4)—制御された負荷

• 優れた負荷(3)—優れた負荷

• network-control(7)—ネットワーク制御予約済みトラフィック

• 標準(2)—標準またはスペア

• ビデオ(5)—ビデオ

• 音声(6)—音声

ユーザーvlan-1p-priority number

タグ付きイーサネットパケットのユーザー優先度フィールド。ユーザー優先度の値の範囲は0から7です。

numberには、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

• 背景(1)—背景

• ベストエフォート(0)—ベストエフォート

• 制御された負荷(4)—制御された負荷

• 優れた負荷(3)—優れた負荷

• network-control(7)—ネットワーク制御予約済みトラフィック

• 標準(2)—標準またはスペア

• ビデオ(5)—ビデオ

• 音声(6)—音声

DSCP number

DSCP(差別化されたサービスコードポイント)を指定します。DiffServプロトコルは、IPヘッダーでサービスタイプ(ToS)バイトを使用します。このバイトの最上位の 6 ビットが DSCP を形成します。

DSCPは、16進法、2進法、または10進法で指定できます。

numberには、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

• ef(46)— RFC 2598、 An Expedited Forwarding PHBで定義されています。

• AF11 (10)、AF12 (12)、AF13 (14)、AF21 (18)、AF22 (20)、AF23 (22)、

  AF31 (26)、AF32 (28)、AF33 (30)、AF41 (34)、AF42 (36)、AF43 (38)

  これら 4 つのクラスは、各クラスに 3 つのドロップ優先順位があり、 RFC 2597、 Assured Forwarding PHB Group の 12 個のコード ポイントに対して定義されています。

イーサタイプ value

パケットのイーサネット タイプ フィールド。この 値は 、イーサネットフレームで転送されるプロトコルを指定します。 valueには、以下のテキスト同義語のいずれかを指定できます。

• aarp—EtherType値AARP(0x80F3)

• appletalk—EtherType値AppleTalk(0x809B)

• arp—EtherType値ARP(0x0806)

• ipv4—EtherType値IPv4(0x0800)

• ipv6—EtherType値IPv6(0x08DD)

• mpls マルチキャスト—EtherType値MPLSマルチキャスト(0x8848)

• mpls ユニキャスト—EtherType値MPLSユニキャスト(0x8847)

• oam—EtherType値OAM(0x88A8)

• ppp—EtherType値PPP(0x880B)

• pppoe-discovery—EtherType値PPPoEディスカバリーステージ(0x8863)

• pppoe-session—EtherType値PPPoEセッションステージ(0x8864)

• sna—EtherType値SNA(0x80D5)

フラグメントフラグ fragment-flags

記号形式または16進形式で指定されたIPフラグメント化フラグ。以下のオプションのいずれかを指定できます。

• Don't-Fragment (0x4000)

• more-fragments (0x2000)

• 予約済み (0x8000)

icmpコード number

ICMP コード フィールドです。この値またはオプションは、icmp-typeよりも具体的な情報を提供します。値の意味は関連するicmp-typeに依存するため、icmp-codeと一緒にicmp-typeを指定する必要があります。numberには、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。オプションは、それらが関連付けられているICMPタイプによってグループ化されます。

• parameter-problem—ip-header-bad(0)、required-option-missing(1)

• リダイレクト—ホスト向けリダイレクト(1)、ネットワーク向けリダイレクト(0)、tos-and-hostへのリダイレクト(3)、tos-and-netへのリダイレクト(2)

• time-exceeded—ttl-eq-zero- during-reassembly (1)、ttl-eq-zero-during-transit (0)

• 到達不能—フィルタリングによる通信禁止(13)、宛先ホスト禁止(10)、宛先ホスト不明(7)、宛先ネットワーク禁止(9)、宛先ネットワーク不明(6)、フラグメント化が必要(4)、ホスト優先順位違反(14)、ホスト到達不能(1)、TOS向けホスト到達不能(12)、ネットワーク到達不能(0)、tosに対してネットワーク到達不能(11)、ポート到達不能(3)、precedence-cutoff-in-effect(15)、protocol-reachable(2)、source-host-isolated(8)、source-route-failed(5)

ICMPタイプ number

ICMP パケット タイプ フィールドです。通常、この一致条件を protocol または ip-protocol 一致条件と組み合わせて指定して、ポートで使用されているプロトコルを決定します。 numberには、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

echo-reply(0)、echo-request(8)、info-reply(16)、info-request(15)、mask-request(17)、mask-reply(18)、parameter-problem(12)、redirect(5)、ルーター-advertisement(9)、ルーター-solicit(10)、source-quench(4)、time-exceeded(11)、timestamp(13)、timestamp-reply(14)、unreachable(3)

インターフェース interface-name

パケットを受信するインターフェイス。インターフェイス名の一部としてワイルドカード文字(*)を指定できます。

ipオプション

IP ヘッダーにオプション フィールドが存在すること。

IPバージョンversion match_condition(s)

ポートおよびVLANファイアウォールフィルターのIPプロトコルバージョンに一致します。 version の値は 、ipv4 または ipv6です。いつ

ip-version が指定されている場合は、以下のサポートされているリストから少なくとも1つの追加の一致条件を含める 必要があります 。

• destination-address、 ip-destination-address、または ip6-destination-address

• 宛先ポート

• 宛先プレフィックスリスト

• DSCP

• フラグメントフラグ

• icmpコード

• ICMPタイプ

• is-fragment

• precedence または ip-precedence

• protocol または ip-protocol

• source-address または ip-source-address

• ソースポート

• ソースプレフィックスリスト

• TCP確立済み

• TCPフラグ

• TCP初期

is-fragment

パケットが末尾フラグメントの場合、この一致条件はフラグメントパケットの最初のフラグメントと一致しません。最初のフラグメントと最後のフラグメントの両方に一致させるには、2つの用語を使用します。

L2キャップタイプLLC-非スナップ

非サブネットアクセスプロトコル(SNAP)イーサネットカプセル化タイプの論理リンク制御(LLC)層パケットで一致します。

ネクストヘッダー bytes

IPv6ヘッダーのすぐ後のヘッダーのタイプを識別する8ビットプロトコルフィールド。数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。

AH(51)、DSstops(60)、EGP(8)、ESP(50)、フラグメント(44)、GRE(47)、ホップバイホップ(0)、ICMP(1)、ICMP(1)、ICMP6(1)、IGMP(2)、IPIP(4)、IPv6(41)、ネクストヘッダーなし(59)、OSPF(89)、PIM(103)、ルーティング(43)、RSVP(46)、SCTP(132)、TCP(6)、UDP(17)、VRRP(112)

パケット長さ bytes

受信したパケットの長さ(バイト単位)。

長さは、パケットヘッダーを含むIPパケットのみを指し、レイヤー2カプセル化オーバーヘッドを含みません。

precedence precedence

IP 優先度。 precedenceには、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

クリティカルECP(5)、フラッシュ(3)、フラッシュオーバーライド(4)、即時(2)、インターネット制御(6)、ネット制御(7)、優先度(1)、ルーチン(0)

ip-precedence precedence

IP 優先度。 precedenceには、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

クリティカルECP(5)、フラッシュ(3)、フラッシュオーバーライド(4)、即時(2)、インターネット制御(6)、ネット制御(7)、優先度(1)、ルーチン(0)

protocol list of protocol

IPv4プロトコル値。 protocolsには、以下のテキスト同義語のいずれかを指定できます。

EGP(8)、ESP(50)、GRE(47)、ICMP(1)、IGMP(2)、IPIP(4)、OSPF(89)、PIM(103)、RSVP(46)、TCP(6)、UDP(17)

ip-protocol list of protocol

IPv4プロトコル値。 protocolsには、以下のテキスト同義語のいずれかを指定できます。

EGP(8)、ESP(50)、GRE(47)、ICMP(1)、IGMP(2)、IPIP(4)、OSPF(89)、PIM(103)、RSVP(46)、TCP(6)、UDP(17)

送信元アドレス ip-address

IP送信元アドレスフィールドは、パケットを送信する送信元ノードのアドレスです。IPv6の場合、送信元アドレスフィールドの長さは128ビットです。フィルター記述構文は、 RFC 2373、 IPバージョン6アドレッシングアーキテクチャに記載されているIPv6アドレスのテキスト表現をサポートしています。

ip-source-address (ip-address | ip6-address)

IP送信元アドレスフィールドは、パケットを送信する送信元ノードのアドレスです。IPv4アドレス(ip-address)またはIPv6アドレス(ip6-address)のいずれかを指定できます。IPv6の場合、ip-source-addressフィールドの長さは128ビットです。フィルター記述構文は、 RFC 2373、 IPバージョン6アドレッシングアーキテクチャに記載されているIPv6アドレスのテキスト表現をサポートしています。

ソースMACアドレス mac-address

送信元MACアドレス。

source-mac-address 00:01:02:03:04:05/24などのプレフィックスを使用して送信元MACアドレスを定義できます。プレフィックスを指定しない場合は、デフォルト値の48が使用されます。

ソースポート number

TCP または UDP 送信元ポート フィールド。通常、この一致を protocol または IPプロトコル 一致条件と組み合わせて指定して、ポートで使用されているプロトコルを決定します。 numberについては、 destination-portの下にリストされているテキスト同義語の1つを指定できます。

ソースプレフィックスリスト prefix-list

IP 送信元プレフィックス リスト フィールドです。

頻繁に使用できるように、プレフィックスリストエイリアスの下にIPアドレスプレフィックスのリストを定義できます。この一致条件は、 [edit policy-options] 階層レベルで定義します。

TCP確立済み

確立されたTCP接続のTCPパケット。この条件は、接続の最初のパケット以外のパケットに一致します。 tcp-established は、ビット名 「(ack |rst)」を参照してください。

tcp-established は、プロトコルが TCP かどうかを暗黙的にチェックしません。そのためには、 ネクストヘッダーのTCP 一致条件を指定します。

tcp-flags(tcp-initialflags )

1つ以上のTCPフラグ:

• ビット名—fin、 syn、 rst、 push、 ack、 urgent

• 論理演算子—& (論理AND)、 | (論理OR)、 ! (否定)

• 数値—0x01から0x20

• テキスト シノニム - TCP-Initial

複数のフラグを指定するには、論理演算子を使用します。

TCP初期

接続の最初のTCPパケットに一致します。 tcp-initial は、ビット名 「(syn&!ack)」の同義語です。

tcp-initial は、プロトコルがTCPであるかどうかを暗黙的に確認しません。そのためには、 protocol tcp または IPプロトコルのTCP 一致条件を指定します。

トラフィッククラス number

パケットのDSCPコードポイントを指定します。

TTL value

一致するTTLタイプ。値の範囲は 1 から 255 です。

vlan (vlan-name | vlan-id)

パケットに関連付けられているVLAN。 vlan-idには、VLAN IDまたはVLAN範囲のいずれかを指定できます。 vlan 一致条件と dot1qタグ 一致条件は相互に排他的です。

learn-vlan-id (vlan-name | vlan-id)

パケットに関連付けられているVLAN。 vlan-idには、VLAN IDまたはVLAN範囲のいずれかを指定できます。 vlan の一致条件と user-vlan-id の一致条件は相互に排他的です。

同意する

パケットを受け取ります。

破棄

インターネット制御メッセージプロトコル(ICMP)メッセージを送信せずに、気付かれることなくパケットを無効にします。

拒否する message-type

パケットを破棄し、ICMPv4メッセージ(タイプ3)送信 先に到達不能を送信します。 syslog アクション修飾子を設定すると、拒否されたパケットをログに記録できます。

以下のメッセージコードのいずれかを指定できます:administrively prohibited(デフォルト)、bad-host-tos、bad-network-tos、host-prohibited、host-unknown、host-unreachable、network-prohibited、network-unknown、network-unreachable、port-unreachable、precedence-cutoff、precedence-violation、protocol-unreachable、source-host-isolated、source-route-failed、tcp-resetのいずれかを指定できます。

tcp-resetを指定した場合、パケットがTCPパケットであればTCPリセットが返されます。それ以外の場合は何も返されません。

メッセージタイプを指定しない場合、ICMP通知 宛先到達不能 が、 デフォルトのメッセージ通信を管理上フィルタリングして送信されます。

ルーティングインスタンス routing-instance-name

一致したパケットを仮想ルーティングインスタンスに転送します。

VLAN vlan-name

一致したパケットを特定のVLANに転送します。 VLAN アクションは vlan-range オプションをサポートしていないため、VLAN範囲ではなくVLAN名またはVLAN IDを指定してください。

アナライザ analyzer-name

プロトコルアナライザアプリケーションに接続されている指定された宛先ポートまたは VLAN にポートトラフィックをミラーリングします。ミラーリングは、1 つのスイッチ ポートで確認されたすべてのパケットを、別のスイッチ ポート上のネットワーク監視接続にコピーします。アナライザ名は、 [edit ethernet-switching-options analyzer]で設定する必要があります。

dscp number

一致したパケットのDSCP値を、このアクション修飾子で指定されたDSCP値に変更します。 number は、差別化されたサービスコードポイント(DSCP)を指定します。DiffServプロトコルは、IPヘッダーでサービスタイプ(ToS)バイトを使用します。このバイトの最上位の 6 ビットが DSCP を形成します。

DSCPは、16進法、2進法、または10進法で指定できます。

numberには、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

• ef(46)— RFC 2598、 An Expedited Forwarding PHBで定義されています。

• AF11 (10)、AF12 (12)、AF13 (14)、AF21 (18)、AF22 (20)、AF23 (22)、

  AF31 (26)、AF32 (28)、AF33 (30)、AF41 (34)、AF42 (36)、AF43 (38)

  これら 4 つのクラスは、各クラスに 3 つのドロップ優先順位があり、 RFC 2597、 Assured Forwarding PHB Group の 12 個のコード ポイントに対して定義されています。

カウント counter-name

このフィルター、条件、またはポリサーを通過したパケットの数をカウントします。ポリサーを使用すると、スイッチ上のインターフェイスに入るトラフィックのレート制限を指定できます。

転送クラス class

以下の転送クラスのいずれかでパケットを分類します。

• 保証されたフォワーディング

• ベストエフォート型

• 優先転送

• ネットワーク制御

インターフェース interface-name

スイッチングルックアップをバイパスして、指定されたインターフェイスにトラフィックを転送します。

ログ

パケットのヘッダー情報をルーティングエンジンに記録します。この情報を表示するには、CLIで show firewall log コマンドを発行します。

損失優先度(高 | 低)

PLP(パケット損失の優先度)を設定します。

ポリサー policer-name

トラフィックにレート制限を適用します。

ファイアウォールフィルターでポリサーを指定できるのは、ポート、VLAN、およびルーター上のイングレストラフィックに対してのみです。

port-mirror

[edit forwarding-options analyzer]階層で定義されたインターフェイスにパケットをミラーリングします。

port-mirror-instance instance-name

[edit forwarding-options analyzer]階層で定義されたインスタンスにパケットをミラーリングします。

syslog

このパケットのアラートを記録します。ログをサーバーに送信して保存と分析するように指定できます。

3 色ポリサー

3 カラー ポリサーを適用します。

EX2300

EX3400

EX4300