カテゴリ一覧
最近の更新
メニュー

2016/02/23 EdgeMAX シリーズのファームウェア v1.8.0 がリリースされました。
詳細はこちら をご覧下さい。

設定例 > Firewall > modify mark

提供: EdgeOS 日本語Wiki [非公式]
移動: 案内検索

このページの概要

  • EdgeOS にて、Firewall でルールに合致したパケットにマークを付与する際の設定例をご紹介します。
  • Web UI での設定、コマンドでの設定、それぞれご紹介します。


前提

  • WAN 側ポートは eth0 とします。
  • LAN 側ポートは eth1 とします。


設定例 : LAN 内の特定のアドレスからのパケットにマークを付与する場合

設定内容

  • LAN (eth1) 内クライアント 192.168.0.51 〜 192.168.0.54 から来たパケットに対して mark 1 を付与します。
  • firewall modify エントリ名は MARK_LAN_IN、ルール番号 10 にて作成します。
  • LAN 用ポートである、eth1 に入ってくるパケットに対して処理するため、eth1 の in 方向の firewall として適用します。


設定方法

Web UI での設定

firewall modify の場合、Web UI では Config Tree からの設定のみ可能です。

( 未作成 )

コマンドでの設定

  1. Configure モードに入ります。
    USER01@EDGEOS:~$ configure
    [edit]
    USER01@EDGEOS#
    
  2. firewall modify エントリ MARK_LAN_IN を作成し、忘れずにインターフェースに適用します。
    set firewall modify MARK_LAN_IN rule 10 action modify
    set firewall modify MARK_LAN_IN rule 10 modify mark 1
    set firewall modify MARK_LAN_IN rule 10 source address 192.168.0.51 - 192.168.0.54
    set interfaces ethernet eth1 firewall in modify MARK_LAN_IN
    
  3. 設定をコミットします。
    USER01@EDGEOS# commit
    
  4. 再起動後にも反映されるよう、設定を保存します。
    USER01@EDGEOS# save
    Saving configuration to '/config/config.boot'...
    Done
    [edit]
    

動作確認

  • show firewall modify 等のコマンドで、動作確認等が可能です。
    • show firewall modify
      各 firewall modify エントリの条件、アクション、プロトコル、適用パケット数・バイト数 を表示
    • show firewall modify {firewall modify エントリ名}
      上記を 指定した 1 firewall modify エントリについて表示
    • show firewall modify {firewall modify エントリ名} rule {ルール番号}
      上記を 指定した 1 firewall modify エントリ内の 1 ルール について表示
    • show firewall modify statistics
      各 firewall modify エントリの適用パケット数・バイト数、アクション、description を表示
    • show firewall modify {firewall modify エントリ名} statistics
      上記を 指定した 1 firewall modify エントリについて表示
    • show firewall modify {firewall modify エントリ名} rule {ルール番号} statistics
      上記を 指定した 1 firewall modify エントリ内の 1 ルール について表示


実行例
USER01@EDGEOS:~$ show firewall modify MARK_LAN_IN

IPv4 Modify Firewall "MARK_LAN_IN":

 Active on (eth1,IN)

rule  action   proto     packets  bytes                                   
----  ------   -----     -------  -----                                   
10    modify   all       438104   31149225                                
  condition - source IP range 192.168.0.51-192.168.0.54 MARK set 0x1      

10000 accept   all       4806502  348112070         
USER01@EDGEOS:~$ show firewall modify MARK_LAN_IN statistics 
--------------------------------------------------------------------------------

IPv4 Firewall "MARK_LAN_IN"

 Active on (eth1,IN)

rule  packets     bytes       action  description
----  -------     -----       ------  -----------
10    341         26492       MODIFY  
10000 133484      117853889   ACCEPT  DEFAULT ACTION

Tips

  • 各 interface × in/local/out の組合せに対して、設定できる firewall modify エントリは1つです。
    当設定例の場合、eth1/in に異なる firewall modify エントリを適用すると、MARK_LAN_IN は外れてしまいます。
  • クライアント1 は mark 1、クライアント2 は mark 2 のように、複数のマーク付けを行う場合は、1 firewall modify エントリ内に複数の rule を作成して対応しましょう。
  • show firewall modify で表示する際は、マーク番号は 16進数表記になります。16進数で把握しやすい番号を利用するのが良いかと思います。
  • firewall modify で他にも様々な条件に合致させることが可能です。コマンド > configure > firewall#firewall_modify をご覧下さい。

関連項目

ご意見を共有しましょう