プレフィックス固有のカウントおよびポリシングアクション

IPv4 アドレス範囲ごとに個別のカウントとポリシング

プレフィックス固有のカウントとポリシングにより、送信元または宛先アドレスに一致する IPv4 ファイアウォール フィルター 条件を設定し、条件アクションとしてシングルレート 2 カラー ポリサーを適用しますが、パケットヘッダー内の送信元または宛先に基づいて、一致したパケットを特定のカウンターおよびポリサーインスタンスに関連付けることができます。単一のアドレスまたはアドレスのグループに対して、個別のカウンターまたはポリサーインスタンスを暗黙的に作成できます。

プレフィックス固有のカウントおよびポリシングでは、適用するポリサーの名前、プレフィックス固有のカウントを有効にするかどうか、送信元アドレスまたは宛先アドレスのプレフィックス範囲を指定する プレフィックス固有の アクション 設定を使用します。

プレフィックス範囲は、IPv4 アドレス マスクの 1 から 16 の順次セット ビットを指定します。プレフィックス範囲の長さによって、カウンターとポリサー セットのサイズが決まります。このセットは、わずか 2 個から最大 65,536 個のカウンター インスタンスとポリサー インスタンスで構成されます。プレフィックス範囲のビットの位置によって、フィルターマッチしたパケットのインスタンスセットへのインデックス付けが決まります。

インターフェイスのトラフィックにプレフィックス固有のアクションを適用するには、送信元アドレスまたは宛先アドレスで一致するファイアウォールフィルター条件を設定し、そのファイアウォールフィルターをインターフェイスに適用します。フィルタリングされたトラフィックのフローは、フィルタリングされたパケットのヘッダー内の送信元アドレスまたは宛先アドレスに基づいてパケットごとに選択されるプレフィックス固有のカウンターおよびポリサーインスタンスを使用してレート制限されます。

プレフィックス固有のアクション設定

プレフィックス固有のアクションを設定するには、以下の情報を指定します。

• プレフィックス固有アクション名—送信元または宛先アドレス上のパケットに一致するIPv4標準ファイアウォールフィルター条件のアクションとして参照できる名前。

• ポリサー名—プレフィックス固有のインスタンスを暗黙的に作成したいシングルレート2カラーポリサーの名前。

  注:

  集合型イーサネットインターフェイスでは、論理インターフェイスポリサー(集合型ポリサーとも呼ばれる)を参照するプレフィックス固有のアクションを設定できます。IPv4標準ファイアウォールフィルターからこのタイプのプレフィックス固有のアクションを参照し、インターフェイスの集約レベルでフィルターを適用できます。

• カウント オプション:プレフィックス固有のカウンターを有効にする場合に含めるオプション。

• フィルター固有オプション - 単一のカウンターとポリサー セットをファイアウォール フィルター内のすべての条件で共有する場合に含めるオプション。このように動作するプレフィックス固有のアクションは、 フィルター固有 モードで動作すると言います。このオプションを有効にし ない場合、プレフィックス固有アクションは 用語固有 モードで動作し、プレフィックス固有のアクションを参照するフィルター用語ごとに個別のカウンターとポリサーセットが作成されます。

• 送信元アドレスプレフィックス長—送信元アドレスに一致するパケットに使用する、0〜32のアドレスプレフィックスの長さ。

• 宛先アドレスプレフィックス長—宛先アドレスに一致するパケットで使用される、0〜32のアドレスプレフィックスの長さ。

• サブネットプレフィックス長—送信元アドレスまたは宛先アドレスのいずれかで一致するパケットに使用するサブネットプレフィックスの長さ(0〜32)。

送信元アドレスと宛先アドレスのプレフィックス長は、サブネットのプレフィックス長より 1 から 16 ビット長く設定する必要があります。送信元または宛先アドレスのプレフィックス長が、設定したサブネット プレフィックス長より 16 ビットを超えるように設定した場合、設定をコミットしようとするとエラーが発生します。

カウンターとポリサーのセットサイズとインデックス

プレフィックス固有アクションに対して暗黙的に作成されるプレフィックス固有アクション(カウンターまたはポリサー)の数は、アドレスプレフィックスの長さとサブネットプレフィックスの長さによって決まります。

1. Size of Counter and Policer Set = 2^(source-or-destination-prefix-length - subnet-prefix-length)

表 1 に、カウンターとポリサーのセットサイズとインデックス作成の例を示します。

アクションのプレフィックス長と、フィルタリングされたパケット内のアドレスのプレフィックス長

表 2 は、プレフィックス固有アクションで指定されたプレフィックス長と、プレフィックス固有のアクションを参照するファイアウォールフィルター条件に一致するアドレスのプレフィックス長との関係を説明します。

シナリオ 1: 複数のアドレスで一致するファイアウォールフィルター条件

完全な例( 例：プレフィックス固有のカウントおよびポリシングの設定)は、プレフィックス固有アクションの最も単純なケースを示しており、プレフィックス固有アクションで指定されたサブネットプレフィックス長と同じプレフィックス長を持つ1つのアドレスで、単一用語 のファイアウォールフィルター が一致します。この例とは異なり、このシナリオでは、2 つの IPv4 送信元アドレスでシングルタームファイアウォールフィルターが一致する設定について説明します。さらに、追加の条件は、プレフィックス固有のアクションで定義されたサブネットプレフィックス長と異なるプレフィックス長を持つ送信元アドレスで一致します。この場合、追加の条件は送信元アドレス 10.11.0.0の/16サブネット上で一致します。

プレフィックス固有のアクション インデックスに渡されるフィルターマッチ済みパケットは、カウンターとポリサーに設定され、カウント インスタンスとポリシング インスタンスが、 10.10.10.0/24 サブネットと 10.11.0.0/16 サブネット全体の送信元アドレスを含むパケットによって共有されるように設定されます。

• セット内の最初のカウンターとポリサーは、送信元アドレスが 10.10.10.0 および 10.11.x.0 ( x の範囲が 0 〜 255 のパケットによってインデックス付けされます。

• セット内の 2 番目のカウンターとポリサーは、送信元アドレスが 10.10.10.1 および 10.11.x.1 ( x の範囲が 0 〜 255 のパケットによってインデックス付けされます。

• セット内の 256 番目(最後)のカウンターとポリサーは、送信元アドレス 10.10.10.255 と 10.11.x.255 を持つパケットによってインデックスが作成されます。 x の範囲は 0 から 255。

以下の設定は、シングルレート 2 カラー ポリサー、ポリサーを参照するプレフィックス固有アクション、およびプレフィックス固有のアクションを参照する IPv4 標準ステートレス ファイアウォール フィルターを設定するためのステートメントを示しています。

シナリオ 2: サブネット プレフィックスがフィルター一致条件のプレフィックスより長い

完全な例の 例：プレフィックス固有のカウントおよびポリシングの設定 は、プレフィックス固有アクションの最も単純なケースを示しており、プレフィックス固有アクションで指定されたサブネットプレフィックス長と同じプレフィックス長を持つ 1 つのアドレスに対して、単一タームのファイアウォールフィルターが照合されます。例とは異なり、このシナリオでは、プレフィックス固有のアクションが、ファイアウォールフィルターに一致する送信元アドレスのプレフィックスよりも長いサブネットプレフィックス長を定義する設定について説明します。この場合、プレフィックス固有のアクションはサブネットプレフィックス値 25を定義しますが、ファイアウォールフィルターは /24 サブネット内の送信元アドレスで一致します。

プレフィックス固有のアクション インデックスに渡されるフィルターマッチ済みパケットは、 10.10.10.0/24 サブネット内の 2 つの送信元アドレスのいずれかを含むパケットでカウント インスタンスとポリシング インスタンスが共有されるように設定されます。

• セット内の最初のカウンターとポリサーは、送信元アドレスが 10.10.10.0 と 10.10.10.128 を持つパケットによってインデックスが作成されます。

• セット内の 2 番目のカウンターとポリサーは、送信元アドレスが 10.10.10.1 と 10.10.10.129 のパケットによってインデックス付けされます。

• セット内の 128 番目(最後)のカウンターとポリサーは、送信元アドレスが 10.10.10.127 と 10.10.10.255 のパケットによってインデックス付けされます。

以下の設定は、シングルレート 2 カラー ポリサー、ポリサーを参照するプレフィックス固有アクション、およびプレフィックス固有のアクションを参照する IPv4 標準ステートレス ファイアウォール フィルターを設定するためのステートメントを示しています。

シナリオ 3: サブネット128番目のカウンターとポリサーのプレフィックスは、ファイアウォールフィルターの一致条件のプレフィックスより短いです

完全な例の 例：プレフィックス固有のカウントおよびポリシングの設定 は、プレフィックス固有アクションの最も単純なケースを示しており、プレフィックス固有アクションで指定されたサブネットプレフィックス長と同じプレフィックス長を持つ 1 つのアドレスに対して、単一タームのファイアウォールフィルターが照合されます。例とは異なり、このシナリオでは、プレフィックス固有のアクションが、ファイアウォールフィルターに一致する送信元アドレスのプレフィックスよりも短いサブネットプレフィックス長を定義する設定について説明します。この場合、フィルター条件は送信元アドレス10.10.10.0の/25サブネット上で一致します。

プレフィックス固有のアクション インデックスに渡され、カウンターとポリサー セットの下半分に渡される一致したパケットのみ:

• セット内の最初のカウンターとポリサーは、送信元アドレス 10.10.10.0 のパケットによってインデックスが付けられます。

• セット内の 2 番目のカウンターとポリサーは、送信元アドレスが 10.10.10.1 と 10.10.10.129 のパケットによってインデックス付けされます。

• セット内の 128 番目のカウンターとポリサーは、送信元アドレス 10.10.10.127 のパケットによってインデックス付けされます。

• セットの上半分(128〜255の番号が付けられたインスタンス)は、この特定のファイアウォールフィルターからプレフィックス固有のアクションに渡されたパケットによってインデックス付けされません。

以下の設定は、シングルレート 2 カラー ポリサー、ポリサーを参照するプレフィックス固有アクション、およびプレフィックス固有のアクションを参照する IPv4 標準ステートレス ファイアウォール フィルターを設定するためのステートメントを示しています。