設定例 ＞ Firewall ＞ modify mark

このページの概要

• EdgeOS にて、Firewall でルールに合致したパケットにマークを付与する際の設定例をご紹介します。
• Web UI での設定、コマンドでの設定、それぞれご紹介します。

前提

• WAN 側ポートは eth0 とします。
• LAN 側ポートは eth1 とします。

設定例 : LAN 内の特定のアドレスからのパケットにマークを付与する場合

設定内容

• LAN (eth1) 内クライアント 192.168.0.51 〜 192.168.0.54 から来たパケットに対して mark 1 を付与します。
• firewall modify エントリ名は MARK_LAN_IN、ルール番号 10 にて作成します。
• LAN 用ポートである、eth1 に入ってくるパケットに対して処理するため、eth1 の in 方向の firewall として適用します。

設定方法

Web UI での設定

firewall modify の場合、Web UI では Config Tree からの設定のみ可能です。

( 未作成 )

コマンドでの設定

1. Configure モードに入ります。

   USER01@EDGEOS:~$ configure
   [edit]
   USER01@EDGEOS#
   

2. firewall modify エントリ MARK_LAN_IN を作成し、忘れずにインターフェースに適用します。

   set firewall modify MARK_LAN_IN rule 10 action modify
   set firewall modify MARK_LAN_IN rule 10 modify mark 1
   set firewall modify MARK_LAN_IN rule 10 source address 192.168.0.51 - 192.168.0.54
   set interfaces ethernet eth1 firewall in modify MARK_LAN_IN
   

3. 設定をコミットします。

   USER01@EDGEOS# commit
   

4. 再起動後にも反映されるよう、設定を保存します。

   USER01@EDGEOS# save
   Saving configuration to '/config/config.boot'...
   Done
   [edit]
   

動作確認

• show firewall modify {firewall modify エントリ名} statisticsのコマンド (operational モード) にて、動作確認が可能です。

USER01@EDGEOS:~$ show firewall modify MARK_LAN_IN statistics 
--------------------------------------------------------------------------------

IPv4 Firewall "MARK_LAN_IN"

 Active on (eth1,IN)

rule  packets     bytes       action  description
----  -------     -----       ------  -----------
10    341         26492       MODIFY  
10000 133484      117853889   ACCEPT  DEFAULT ACTION

おまけ

• クライアント1 は mark 1、クライアント2 は mark 2 のように、複数のマーク付けを行う場合は、1 firewall modify エントリ内に複数の rule を作成して対応しましょう。
• 各 interface × in/local/out の組合せに対して、設定できる firewall modify エントリは1つです。

  上記例の場合、eth 1 in に異なる firewall modify エントリを適用すると、MARK_LAN_IN は外れてしまいます。

関連項目

• コマンド ＞ configure ＞ firewall
• コマンド ＞ configure ＞ interfaces
• コマンド ＞ set (configure)