プレフィックス固有のカウントおよびポリシングアクション

IPv4アドレス範囲ごとに個別のカウントとポリシング

プレフィックス固有のカウントとポリシングにより、送信元または宛先アドレスに一致するIPv4 ファイアウォールフィルター 条件を設定し、条件アクションとしてシングルレートの2カラーポリサーを適用しますが、一致したパケットをパケットヘッダーの送信元または宛先に基づいて特定のカウンターとポリサーインスタンスに関連付けます。1つのアドレスまたはアドレスのグループに対して、個別のカウンターまたはポリサーインスタンスを暗黙的に作成することができます。

プレフィックス固有のカウントとポリシー実行では、適用するポリサーの名前、 プレフィックス固有 のカウントを有効にするかどうか、送信元または宛先アドレスのプレフィックス範囲を指定する、プレフィックス固有のアクション設定を使用します。

プレフィックス範囲は、IPv4アドレスマスクの1~16の順次セットビットを指定します。プレフィックス範囲の長さは、カウンターとポリサー セットのサイズを決定します。これは、2つまたは65,536のカウンターとポリサーのインスタンスで構成されています。プレフィックス範囲のビットの位置によって、フィルターに一致したパケットのインスタンスセットへのインデックス付けを決定します。

インターフェイスのトラフィックにプレフィックス固有のアクションを適用するには、送信元または宛先アドレスに一致するファイアウォールフィルター条件を設定し、ファイアウォールフィルターをインターフェイスに適用します。フィルタリングされたトラフィックのフローは、フィルタリングされたパケットのヘッダー内の送信元または宛先アドレスに基づいてパケットごとに選択されるプレフィックス固有のカウンターとポリサーインスタンスを使用してレート制限されます。

プレフィックス固有のアクション設定

プレフィックス固有のアクションを設定するには、以下の情報を指定します。

• プレフィックス固有のアクション名 — 送信元または宛先アドレス上のパケットに一致する IPv4 標準ファイアウォール フィルター条件のアクションとして参照できる名前。

• ポリサー名—プレフィックス固有のインスタンスを暗黙的に作成するシングルレート 2 カラー ポリサーの名前。

  注:

  集合型イーサネット・インターフェースの場合、論理インターフェース・ポリサー(アグリゲート・ポリサーとも呼ばれる)を参照するプレフィックス固有のアクションを設定できます。IPv4標準ファイアウォールフィルターからこのタイプのプレフィックス固有のアクションを参照し、インターフェイスの集合レベルでフィルターを適用できます。

• カウントオプション — プレフィックス固有のカウンターを有効にしたい場合に含めるオプション。

• フィルター固有のオプション — ファイアウォール フィルターのすべての条件で単一のカウンターとポリサーを共有する場合に含めるオプション。この方法で動作するプレフィックス固有のアクションは、 フィルター固有のモードで動作すると言われます。このオプションを有効にしない場合、プレフィックス固有のアクションは 条件固有 モードで動作します。つまり、プレフィックス固有のアクションを参照するフィルター条件ごとに個別のカウンターとポリサーセットが作成されます。

• 送信元アドレスプレフィックス長—送信元アドレスで一致したパケットで使用するアドレスプレフィックスの長さ(0~32)。

• 宛先アドレスプレフィックス長—宛先アドレスに一致するパケットで使用されるアドレスプレフィックスの長さ(0~32)。

• サブネットプレフィックス長—送信元または宛先アドレスで一致するパケットで使用されるサブネットプレフィックスの長さ(0~32)。

送信元アドレスと宛先アドレスのプレフィックス長を、サブネットプレフィックス長よりも1~16ビット長く設定する必要があります。送信元または宛先アドレスのプレフィックス長が、設定されたサブネットプレフィックス長を16ビット以上に設定した場合、設定をコミットしようとするとエラーが発生します。

カウンターとポリサーのセット サイズとインデックス作成

プレフィックス固有のアクションに対して暗黙的に作成されるプレフィックス固有のアクション(カウンターまたはポリサー)の数は、アドレスプレフィックスの長さとサブネットプレフィックスの長さによって決定されます。

1. Size of Counter and Policer Set = 2^(source-or-destination-prefix-length - subnet-prefix-length)

表 1 は、カウンターとポリサーのセット サイズとインデックスの例を示しています。

フィルタリングされたパケットにおけるアクションのプレフィックス長とアドレスのプレフィックス長

表 2 は、プレフィックス固有のアクションで指定されたプレフィックス長と、プレフィックス固有のアクションを参照するファイアウォールフィルター条件で一致するアドレスのプレフィックス長の関係を説明します。

シナリオ 1: 複数のアドレスでのファイアウォール フィルター条件の一致

完全な例である、 例：プレフィックス固有のカウントとポリシングの設定は、プレフィックス固有のアクションの最も簡単なケースを示しています。このケースでは、単一条件 のファイアウォールフィルター が、プレフィックス固有のアクションで指定されたサブネットプレフィックス長と同じプレフィックス長の1つのアドレスで一致します。この例とは異なり、このシナリオでは、単一条件のファイアウォール フィルターが 2 つの IPv4 送信元アドレスで一致する構成について説明します。さらに、追加条件は、プレフィックス固有のアクションで定義されたサブネットプレフィックス長とは異なるプレフィックス長の送信元アドレスで一致します。この場合、追加条件は送信元アドレスのサブネットで /16 一致します 10.11.0.0。

プレフィックス固有のアクションインデックスにカウンターおよびポリサーに渡されるフィルター一致パケットは、カウントおよびポリシー実行インスタンスが、以下のように、および10.11.0.0/16サブネット全体10.10.10.0/24の送信元アドレスを含むパケットによって共有されるように設定されます。

• セット内の最初のカウンターとポリサーは、 から 0255の範囲で、送信元アドレス10.10.10.0と 10.11.x.0をx持つパケットによってインデックスが作成されます。

• セット内の2番目のカウンターとポリサーは、 から 0255の範囲で、送信元アドレス10.10.10.1と 10.11.x.1をx持つパケットによってインデックスが作成されます。

• セット内の 256 番目の(最後の)カウンターとポリサーは、送信元アドレス10.10.10.255を持つパケットによってインデックスが作成されます。25510.11.x.255x0

以下の設定は、シングルレートの2カラーポリサー、ポリサーを参照するプレフィックス固有のアクション、およびプレフィックス固有のアクションを参照するIPv4標準ステートレスファイアウォールフィルターを設定するためのステートメントを示しています。

シナリオ 2: サブネットプレフィックスがフィルター一致条件のプレフィックスよりも長い

完全な例である、 例：プレフィックス固有のカウントとポリシングの設定は、プレフィックス固有のアクションの最も簡単なケースを示しています。このケースでは、単一条件のファイアウォールフィルターが、プレフィックス固有のアクションで指定されたサブネットプレフィックス長と同じプレフィックス長の 1 つのアドレスで一致します。この例とは異なり、このシナリオでは、プレフィックス固有のアクションで、ファイアウォール フィルターが一致する送信元アドレスのプレフィックスよりも長いサブネット プレフィックス長を定義する設定について説明します。この場合、プレフィックス固有のアクションは、 の 25サブネットプレフィックス値を定義し、ファイアウォールフィルターはサブネット内の送信元アドレスで /24 一致します。

カウンターとポリサーにプレフィックス固有のアクション インデックスに渡されるフィルター一致パケットは、カウントおよびポリシー実行インスタンスがサブネット内 10.10.10.0/24 の 2 つのソース アドレスのいずれかを含むパケットによって共有されるように設定されます。

• セット内の最初のカウンターとポリサーは、送信元アドレス 10.10.10.0 と 10.10.10.128を持つパケットによってインデックスが付されます。

• セット内の2番目のカウンターとポリサーは、送信元アドレス 10.10.10.1 と 10.10.10.129を持つパケットによってインデックスが付されます。

• セット内の128番目(最後の)カウンターとポリサーは、 と 10.10.10.255の送信元アドレス10.10.10.127を持つパケットによってインデックスが作成されます。

以下の設定は、シングルレートの2カラーポリサー、ポリサーを参照するプレフィックス固有のアクション、およびプレフィックス固有のアクションを参照するIPv4標準ステートレスファイアウォールフィルターを設定するためのステートメントを示しています。

シナリオ 3: サブネットファイアウォール フィルター一致条件の 128 番目のカウンターとポリサーのプレフィックスがプレフィックスよりも短い

完全な例である、 例：プレフィックス固有のカウントとポリシングの設定は、プレフィックス固有のアクションの最も簡単なケースを示しています。このケースでは、単一条件のファイアウォールフィルターが、プレフィックス固有のアクションで指定されたサブネットプレフィックス長と同じプレフィックス長の 1 つのアドレスで一致します。この例とは異なり、このシナリオでは、プレフィックス固有のアクションで、ファイアウォール フィルターが一致する送信元アドレスのプレフィックスよりも短いサブネット プレフィックス長を定義する設定について説明します。この場合、フィルター条件は送信元アドレスのサブネットで /25 一致します 10.10.10.0。

プレフィックス固有のアクションインデックスにカウンターとポリサーの下半分に渡される一致したパケットは、以下のみを設定します。

• セット内の最初のカウンターとポリサーは、送信元アドレス 10.10.10.0を持つパケットによってインデックスが作成されます。

• セット内の2番目のカウンターとポリサーは、送信元アドレス 10.10.10.1 と 10.10.10.129を持つパケットによってインデックスが付されます。

• セット内の 128 番目のカウンターとポリサーは、送信元アドレス 10.10.10.127を持つパケットによってインデックスが作成されます。

• セットの上半分(128~255の番号が付いたインスタンス)は、この特定のファイアウォールフィルターからプレフィックス固有のアクションに渡されたパケットによってインデックス付けされません。

以下の設定は、シングルレートの2カラーポリサー、ポリサーを参照するプレフィックス固有のアクション、およびプレフィックス固有のアクションを参照するIPv4標準ステートレスファイアウォールフィルターを設定するためのステートメントを示しています。