構成定義ガイド

10.1.7　Tag-VLAN連携回線におけるフィルタリング

＜この項の構成＞

(1)　設定内容の概要

(2)　構成図と設定条件

(3)　構成定義情報例

(1)　設定内容の概要

Tag-VLAN連携回線間における片方向のTCPセッションの接続を禁止する構成定義情報の例を示します。

• VLAN1内の端末からVLAN2内の端末およびサーバへの接続は許可します。
• VLAN2内の端末からサーバへの接続は許可します。ただしVLAN1内の端末への接続は禁止します。

(2)　構成図と設定条件

［構成図］

図10-9　構成図

［設定条件］

Tag-VLAN連携回線であるVLAN2の受信側に次に示す設定を行います。

1. サーバ宛てのパケットは中継
2. TCPパケットのうち，ACKフラグのビットが立っているパケットは中継
3. ICMPv6のパケットは中継
4. 上記1〜3以外のパケットはすべて廃棄

(3)　構成定義情報例

［コマンドによる設定］

＜本装置＞

 1    (config)# flow filter VLAN2 in
      [flow filter VLAN2 in]
 2    (config)# list 40010 ip any 3ffe:501:811:f100::/64 action forward
      [flow filter VLAN2 in]
 3    (config)# list 40020 tcp any any ack action forward
      [flow filter VLAN2 in]
 4    (config)# list 40030 icmp6 any any action forward
      [flow filter VLAN2 in]
 5    (config)# list 45000 ip any any action drop
      [flow filter VLAN2 in]
 6    (config)# exit
 7    (config)# flow yes

表10-7　本装置の構成定義情報解説

解説番号	解説
1，2	インタフェース名VLAN2のinbound（受信側）に，3ffe:501:811:f100::/64を宛先とするIPパケットを中継するよう設定します。
3	インタフェース名VLAN2のinbound（受信側）に，ACKフラグ=1のTCPパケットを中継するよう設定します。
4	インタフェース名VLAN2のinbound（受信側）に，ICMPv6パケットを中継するよう設定します。
5，6	インタフェース名VLAN2のinbound（受信側）に，それ以外のパケットを廃棄するよう設定します。
7	フロー制御機能を使用する設定にします。

［構成定義情報の表示］

＜本装置＞

flow yes
flow filter VLAN2 in
  list 40010 ip any 3ffe:501:811:f100::/64 action forward
  list 40020 tcp any any ack action forward
  list 40030 icmp6 any any action forward
  list 45000 ip any any action drop

[目次][前へ][次へ]

Copyright (c)2005 ALAXALA Networks Corporation. All rights reserved.