コンフィグレーションガイド Vol.2

[目次][索引][前へ][次へ]


1.1.6 アクセスリスト

フィルタのフロー検出を実施するためにはコンフィグレーションでアクセスリストを設定します。フロー検出条件に応じて設定するアクセスリストが異なります。また,フロー検出条件ごとに検出可能なフレーム種別が異なります。フロー検出条件と対応するアクセスリスト,および検出可能なフレーム種別の関係を次に示します。

表1-13 フロー検出条件と対応するアクセスリスト,検出可能なフレーム種別の関係【AX3800S】

設定可能な
フロー検出条件
アクセスリスト 対応する
受信側フロー
検出モード
対応する
送信側フロー
検出モード
検出可能な
フレーム種別
非IP IPv4 IPv6
MAC条件 mac access-list layer3-1 layer3-2-out
IPv4条件 access-list
ip access-list
layer3-1,
layer3-2,
layer3-5,
layer3-6,
layer3-dhcp-1
layer3-1-out,
layer3-2-out
IPv6条件 ipv6 access-list layer3-5,
layer3-6
layer3-2-out

(凡例)○:検出できる  −:検出できない


表1-14 フロー検出条件と対応するアクセスリスト,検出可能なフレーム種別の関係【AX3650S】

設定可能な
フロー検出条件
アクセスリスト 対応する
受信側フロー
検出モード
対応する
送信側フロー
検出モード
検出可能な
フレーム種別
非IP IPv4 IPv6
MAC条件 mac access-list layer3-1 layer3-2-out,
layer3-3-out
IPv4条件 access-list
ip access-list
layer3-1,
layer3-2,
layer3-5,
layer3-6,
layer3-dhcp-1
layer3-1-out,
layer3-2-out,
layer3-3-out
IPv6条件 ipv6 access-list layer3-5,
layer3-6
layer3-2-out,
layer3-3-out

(凡例)○:検出できる  −:検出できない


フィルタエントリの適用順序は,アクセスリストのパラメータであるシーケンス番号によって決定します。

<この項の構成>
(1) 複数のフロー検出条件を同時に設定した場合の動作【AX3800S】
(2) 複数のフロー検出条件を同時に設定した場合の動作【AX3650S】
(3) イーサネットインタフェースとVLANインタフェース同時に一致した場合の動作【AX3650S】
(4) mac access-listとaccess-list/ip access-list/ipv6 access-listに同時に一致した場合の動作【AX3650S】
(5) 廃棄できないフレーム

(1) 複数のフロー検出条件を同時に設定した場合の動作【AX3800S】

複数のフロー検出条件を設定して該当インタフェースの送受信フレームに対してフィルタを実施した場合,次の表に示す順序でフレームを検出します。複数のフィルタエントリには一致しません。

表1-15 フロー検出順序

フロー検出順序 アクセスリスト インタフェース
1 mac access-list イーサネット
2 VLAN
3 access-list
ip access-list
イーサネット
4 VLAN
5 ipv6 access-list イーサネット
6 VLAN

(2) 複数のフロー検出条件を同時に設定した場合の動作【AX3650S】

(a) 受信側インタフェースの場合

複数のフロー検出条件を設定して該当インタフェースの受信フレームに対してフィルタを実施した場合,次の表に示す順序でフレームを検出します。複数のフィルタエントリには一致しません。

表1-16 フロー検出順序

フロー検出順序 アクセスリスト インタフェース
1 access-list
ip access-list
イーサネット
2 VLAN
3 ipv6 access-list イーサネット
4 VLAN

この条件に該当する受信側フロー検出モードは,layer3-6です。

(b) 送信側インタフェースの場合

この条件に該当する送信側フロー検出モードはありません。

(3) イーサネットインタフェースとVLANインタフェース同時に一致した場合の動作【AX3650S】

(a) 受信側インタフェースの場合

イーサネットインタフェースと,該当するイーサネットインタフェースが属しているVLANインタフェースに対してフィルタエントリを設定し,該当するイーサネットインタフェースからの受信フレームに対してフィルタを実施すると,複数のフィルタエントリに一致する場合があります。この場合,廃棄動作を指定したフィルタエントリ(暗黙の廃棄のエントリを含む)が優先となります。イーサネットインタフェース,およびVLANインタフェース共に中継動作を指定したフィルタエントリに一致する場合はイーサネットインタフェース上のフィルタエントリを優先します。複数のフィルタエントリに一致した場合の動作を次の表に示します。

表1-17 複数のフィルタエントリに一致した場合の動作

複数フィルタエントリ一致となる組み合わせ 有効になるフィルタエントリ
イーサネット VLAN インタフェース 動作
中継 中継 イーサネット 中継
中継 廃棄 VLAN 廃棄
廃棄 中継 イーサネット 廃棄
廃棄 廃棄 イーサネット 廃棄

注※ 同一のフロー検出条件を設定した場合とします。


この条件に該当する受信側フロー検出モードは,layer3-1およびlayer3-dhcp-1です。

(b) 送信側インタフェースの場合

この条件に該当する送信側フロー検出モードはありません。

(4) mac access-listとaccess-list/ip access-list/ipv6 access-listに同時に一致した場合の動作【AX3650S】

(a) 受信側インタフェースの場合

同一インタフェースに対してmac access-listとaccess-list/ip access-listをフロー検出条件としたフィルタエントリを設定して,該当するインタフェースからの受信フレームに対してフィルタを実施すると,複数のフィルタエントリに一致する場合があります。この場合,廃棄動作を指定したフィルタエントリ(暗黙の廃棄のエントリを含む)が優先となります。mac access-list,およびaccess-list/ip access-list共に中継動作を指定したフィルタエントリに一致する場合はmac access-listのフィルタエントリを優先します。複数のフィルタエントリに一致した場合の動作を次の表に示します。

表1-18 複数のフィルタエントリに一致した場合の動作

複数フィルタエントリ一致となる組み合わせ 有効になるフィルタエントリ
mac access-list access-list
ip access-list
インタフェース 動作
中継 中継 mac access-list 中継
中継 廃棄 access-list
ip access-list
廃棄
廃棄 中継 mac access-list 廃棄
廃棄 廃棄 mac access-list 廃棄

この条件に該当する受信側フロー検出モードは,layer3-1です。

(b) 送信側インタフェースの場合

同一インタフェースに対してmac access-listとaccess-list/ip access-list/ipv6 access-listをフロー検出条件としたフィルタエントリを設定しても,送信フレームが複数のフィルタエントリに一致することはありません。この場合,常にmac access-listのフィルタエントリ(暗黙の廃棄のエントリを含む)に一致し,一致したフィルタエントリの指定動作が実施されます。

この条件に該当する送信側フロー検出モードはlayer3-2-outおよびlayer3-3-outです。

(5) 廃棄できないフレーム

受信側インタフェースで次に示すフレームは,フィルタの有無にかかわらず,フレームを廃棄できません。

本装置が受信するフレームのうち次のフレーム
  • 自装置宛てのMACアドレス学習の移動検出とみなしたフレーム

本装置がレイヤ3中継し,本装置が受信するフレームのうち次のパケット/フレーム
  • MTUを超えるIPv4,IPv6パケット
  • TTLが1のフレーム
  • ホップリミットが1のフレーム
  • IPオプション付きのフレーム
  • IPv6拡張ヘッダ付きのフレーム
  • 宛先不明のIPv4,IPv6パケット

[目次][前へ][次へ]


[他社商品名称に関する表示]

All Rights Reserved, Copyright(C), 2011, 2012, ALAXALA Networks, Corp.