9.5 ポリシーフィルターの定義

[書式]

• ip policy filter id action source_interface [dest_interface [source_address [dest_address [service]]]]
• ipv6 policy filter id action source_interface [dest_interface [source_address [dest_address [service]]]]
• no ip policy filter id [action [source_interface [dest_interface [source_address [dest_address [service]]]]]]
• no ipv6 policy filter id [action [source_interface [dest_interface [source_address [dest_address [service]]]]]]

[設定値及び初期値]

• id
  
  • [設定値] : ポリシーフィルターの識別子 (1..65535)
  • [初期値] : -
• action : 動作
  

  • [設定値] :

    設定値	説明
    pass-log	通過させてログに記録する
    pass-nolog	通過させてログに記録しない
    reject-log	破棄してログに記録する
    reject-nolog	破棄してログに記録しない
    restrict-log	回線がつながっているときのみ通過させてログに記録する
    restrict-nolog	回線がつながっているときのみ通過せてログに記録しない
    static-pass-log	Stateful Inspection を使わずに通過させてログに記録する
    static-pass-nolog	Stateful Inspection を使わずに通過させてログに記録しない

  • [初期値] : -
• source_interface : 始点インターフェース
  

  • [設定値] :

    設定値	説明
    *	すべて
    lan*	すべての LAN インターフェース
    pp*	すべての PP インターフェース
    tunnel*	すべての TUNNEL インターフェース
    lanN-lanM	LAN インターフェースの範囲 ( 例 :lan1-lan2)
    ppN-ppM	PP インターフェースの範囲 ( 例 :pp1-pp30)
    tunnelN-tunnelM	TUNNEL インターフェースの範囲 ( 例 :tunnel1-tunnel30)
    lanN	LAN インターフェース
    wan1	WAN インターフェース
    ppN	PP インターフェース
    ppanonymous	anonymous インターフェース
    tunnelN	TUNNEL インターフェース
    local	ルーター自身
    グループ番号	ip/ipv6 policy interface group コマンドで定義した番号

  • [初期値] : -
• dest_interface : 終点インターフェース
  
  • [設定値] :
    
    • 書式は始点インターフェースと同じ
  • [初期値] : -
• source_address : 始点アドレス
  

  • [設定値] :

    設定値	説明
    *	すべて
    IP アドレス	単一の IP アドレス
    IP アドレス/ネットマスク長	単一のネットワーク
    IP アドレス -IP アドレス	IP アドレスの範囲
    グループ番号	ip/ipv6 policy address group コマンドで定義した番号

  • [初期値] : -
• dest_address : 終点アドレス
  
  • [設定値] :
    
    • 書式は始点アドレスと同じ
  • [初期値] : -
• service : サービス
  

  • [設定値] :

    設定値	説明
    *	すべて
    定義済みサービス	http,ftp,dns などip filter コマンドのポート設定のニーモニックに準ず
    ユーザー定義サービス	ip/ipv6 policy service コマンドで定義した名
    プロトコルとポート番号	tcp/ポート番号、または udp/ポート番号
    グループ番号	ip/ipv6 policy service group コマンドで定義した番号

  • [初期値] : -

[説明]

ポリシーフィルターを定義する。パラメータを省略したときには「*」が指定されたものとして扱う。
なお、このコマンドの定義は、ip/ipv6 policy filter set コマンドやip/ipv6 policy filter set enable コマンドを設定しないと有効にならない。

[ノート]

Rev.11.03.08以降でsource_interface、dest_interfaceにppanonymousを指定可能となり、*やpp*を指定した場合はanonymousインターフェースも含まれる。

[設定例]

LAN1 の PC から LAN2 の Web サーバーへのアクセスを許可する

# ip policy filter 1 pass-log lan1 lan2 * * http