10.1 フィルタ定義の設定

[書式]


[設定値及び初期値]


[説明]

イーサネットフレームのフィルタを設定する。本コマンドで設定されたフィルタは、ethernet lan filter コマンドで用いられる。

通常型のフィルタでは、始点 MAC アドレス、終点 MAC アドレスなどで送受信するイーサネットフレームにフィルタを適用する。

dhcp-bind 型のフィルタでは、以下のイーサネットフレームにフィルタを適用する。対象とならないイーサネットフレームはフィルタに合致しないものとして扱う。

・以下のいずれかに該当する、IPv4 パケットの場合
  • イーサネットタイプが IPv4(0x0800)
  • PPPoE 環境で、イーサネットタイプが PPPoE データフレーム (0x8864)、プロトコル ID が IPv4(0x0800)
  • 802.1Q タグ VLAN 環境で、TPID が 802.1Q タグ (0x8100)、イーサネットタイプが IPv4(0x0800)

イーサネットフレームの始点 MAC アドレスと始点 IP アドレスの組が、対象となる DHCP スコープで予約されているならフィルタに合致するとみなす。

・イーサネットタイプが、以下のいずれかの場合
  • ARP(0x0806)
  • RARP(0x8035)
  • PPPoE 制御パケット (0x8863)
  • MAC レイヤ制御パケット (0x8808)

イーサネットフレームの始点 MAC アドレスが、対象となる DHCP スコープで予約されているならフィルタに合致するとみなす。

dhcp-not-bind 型のフィルタでは、以下のイーサネットフレームにフィルタを適用する。対象とならないイーサネットフレームはフィルタに合致しないものとして扱う。

・イーサネットタイプが IPv4(0x0800) である場合

イーサネットフレームの始点 IP アドレスが、対象となる DHCP スコープのリース範囲に含まれていて、かつ、dhcp-not-bind 型のフィルタでは始点 MAC アドレスが DHCP スコープで予約されていないときに、dhcp-not-scope 型のフィルタでは始点 MAC アドレスが DHCP スコープでアドレスがリースされていないときにフィルタに合致するとみなす。

dhcp-bind、dhcp-not-bind、dhcp-scope、dhcp-not-scope 型のフィルタで対象とする DHCP スコープは、scope パラメータで指定する。

scope パラメータとしては DHCP スコープ番号を指定することもできるし、DHCP スコープが定義されているサブネットに含まれる IP アドレスで指定することもできる。IP アドレスで DHCP スコープを指定する場合に、複数の DHCP スコープが該当する時には、その中で最も長いネットマスク長を持つ DHCP スコープを選択する。

scope パラメータを省略した場合には、フィルタが適用されるインタフェースで使用される DHCP スコープがすべて対象となる。

dhcp-bind、dhcp-not-bind 型のフィルタが DHCP リレーエージェントとして動作しているルーターに設定された場合、DHCP サーバーから DHCP スコープとその DHCP スコープにおけるクライアントの予約情報を取得し、フィルタの適用時に参照する。DHCP サーバーからの DHCP スコープおよび予約情報の取得は、DHCP メッセージをリレーする際、DHCP メッセージのオプション部に予約情報を書き込んで通知することにより行なわれる。

[ノート]

LAN 分割機能を使用する場合には、ルーター内部でイーサネットタイプとして 0x8100~0x810f の値を使用しているので、それらのイーサネットフレームをフィルタして送受信できないようにすると、LAN 分割機能を使用しているポートで通信できなくなるので注意が必要である。


dhcp-bind、dhcp-not-bind、dhcp-scope、dhcp-not-scope 型のフィルタでは、イーサネットフレームの始点 MAC アドレスや始点 IP アドレスを用いてフィルタの判定をするため、ethernet lan filter コマンドでは通常 in 方向にのみ使用することになる。
out 方向の場合、始点 MAC アドレスはルーター自身の MAC アドレスになるため、DHCP の予約情報もしくはリースしたアドレスと一致することはない。


dhcp-bind、dhcp-scope 型フィルタは、予約もしくはアドレスがリースされているクライアントだけを通過させる、という形になるため、通常は pass 等と組み合わせて使用する。一方、dhcp-not-bind、dhcp-not-scope 型フィルタは、予約もしくはアドレスがリースされていないクライアントを破棄する、という形になるため、通常は reject 等と組み合わせて使用することになる。
dhcp-scope 型と dhcp-not-scope 型は SRT100 の Rev.10.00.44 以降で使用可能。

[適用モデル]

RTX5000, RTX3500, RTX3000, RTX1500, RTX1220, RTX1210, RTX1200, RTX1100, RTX830, RTX810, RT107e, SRT100