1. FutureNet製品活用ガイド
  2. FutureNet NXR,VXRシリーズ
  3. NAT・フィルタ編

FutureNet

NXR,VXRシリーズ

NAT・フィルタ編

1. フィルタ設定

1-10. 動的解決フィルタ設定

動的解決フィルタとはDHCPやMAP-Eなどで取得したIPアドレスをアクセスリスト設定に適用する機能です。

これによりアドレスやプレフィックスが変更になった場合もアクセスリスト設定を変更することなく、利用することができます。

 

【 動的解決フィルタ機能対応機種 】

NXR-650,NXR-610Xシリーズ,NXR-530,NXR-G120シリーズ（2023/11現在）

最新の対応状況は、各製品の更新履歴やユーザーズガイドをご確認ください。

 

【 設定例 】

 

〔ethernet1インタフェースのIPv4DHCPクライアントで利用するケース〕

1. <ip access-list-dynamicの定義>
(config)#ip access-list-dynamic DHCP_eth1 dhcp@ethernet1

ip access-list-dynamicを以下のルールで設定します。

  • ip access-list-dynamic名 … DHCP_eth1
  • フィルタパターン … dhcp@ethernet1

 

2. <IPv4アクセスリスト設定>
(config)#ip access-list eth1_IN permit any dynamic DHCP_eth1 tcp any 22

IPv4アクセスリストeth1_INを以下のルールで設定します。

  • 宛先IPv4アドレスDHCP_eth1（ip access-list-dynamic名）、宛先TCPポート22番を許可

 

3. <ethernet1インタフェース設定>
(config)#interface ethernet 1
(config-if)#ip access-group in eth1_IN

ethernet1インタフェースでIPv4アクセスグループのinフィルタにIPv4アクセスリストeth1_INを設定します。

 

〔MAP-E環境においてmap0インタフェースで利用するケース〕

1. <ip access-list-dynamicの定義>
(config)#ip access-list-dynamic MAPE_map0 mape-rule@map0

ip access-list-dynamicを以下のルールで設定します。

  • ip access-list-dynamic名 … MAPE_map0
  • フィルタパターン … mape-rule@map0

 

2. <IPv4アクセスリスト設定>
(config)#ip access-list map0_IN permit any dynamic MAPE_map0 icmp

IPv4アクセスリストmap0_INを以下のルールで設定します。

  • 宛先IPv4アドレスMAPE_map0（ip access-list-dynamic名）、プロトコルICMPを許可

 

3. <map0インタフェース設定>
(config)#interface map 0
(config-map)#ip access-group in map0_IN

map0インタフェースでIPv4アクセスグループのinフィルタにIPv4アクセスリストmap0_INを設定します。

 

〔ethernet1インタフェースのIPv6 RAで利用するケース〕

1. <ipv6 access-list-dynamicの定義>
(config)#ipv6 access-list-dynamic RA_eth1 ra-prefix@ethernet1 eui-64

ipv6 access-list-dynamicを以下のルールで設定します。

  • ipv6 access-list-dynamic名 … RA_eth1
  • フィルタパターン … ra-prefix@ethernet1
  • オプション … eui-64

 

2. <IPv6アクセスリスト設定>
(config)#ipv6 access-list eth1_IN permit any dynamic RA_eth1 tcp any 22

IPv6アクセスリストeth1_INを以下のルールで設定します。

  • 宛先IPv6アドレスRA_eth1（ipv6 access-list-dynamic名）、宛先TCPポート22番を許可

 

3. <ethernet1インタフェース設定>
(config)#interface ethernet 1
(config-if)#ipv6 access-group in eth1_IN

ethernet1インタフェースでIPv6アクセスグループのinフィルタにIPv6アクセスリストeth1_INを設定します。

 

〔MAP-E環境においてethernet0インタフェースのIPv6 RAで利用するケース〕

1. <ipv6 access-list-dynamicの定義>
(config)#ipv6 access-list-dynamic RA-MAPE_eth0 ra-prefix@ethernet0 mape-rule

ipv6 access-list-dynamicを以下のルールで設定します。

  • ipv6 access-list-dynamic名 … RA-MAPE_eth0
  • フィルタパターン … ra-prefix@ethernet0
  • オプション … mape-rule

 

2. <IPv6アクセスリスト設定>
(config)#ipv6 access-list eth0_IN deny any dynamic RA-MAPE_eth0 icmpv6 128

IPv6アクセスリストeth0_INを以下のルールで設定します。

  • 宛先IPv6アドレスRA-MAPE_eth0（ipv6 access-list-dynamic名）、ICMPv6（タイプ128）を破棄

 

3. <ethernet0インタフェース設定>
(config)#interface ethernet 0
(config-if)#ipv6 access-group in eth0_IN

ethernet0インタフェースでIPv6アクセスグループのinフィルタにIPv6アクセスリストeth0_INを設定します。

 

〔ethernet1インタフェースのDHCPv6で利用するケース〕

1. <ipv6 access-list-dynamicの定義>
(config)#ipv6 access-list-dynamic DHCPv6_eth1 dhcp@ethernet1 eui-64

ipv6 access-list-dynamicを以下のルールで設定します。

  • ipv6 access-list-dynamic名 … DHCPv6_eth1
  • フィルタパターン … dhcp@ethernet1
  • オプション … eui-64

 

2. <IPv6アクセスリスト設定>
(config)#ipv6 access-list eth1_IN permit any dynamic DHCPv6_eth1 tcp any 22

IPv6アクセスリストeth1_INを以下のルールで設定します。

  • 宛先IPv6アドレスDHCPv6_eth1（ipv6 access-list-dynamic名）、宛先TCPポート22番を許可

 

3. <ethernet1インタフェース設定>
(config)#interface ethernet 1
(config-if)#ipv6 access-group in eth1_IN

ethernet1インタフェースでIPv6アクセスグループのinフィルタにIPv6アクセスリストeth1_INを設定します。

 

〔MAP-E環境においてethernet0インタフェースのDHCPv6で利用するケース〕

1. <ipv6 access-list-dynamicの定義>
(config)#ipv6 access-list-dynamic DHCPv6-MAPE_eth0 dhcp@ethernet0 mape-rule

ipv6 access-list-dynamicを以下のルールで設定します。

  • ipv6 access-list-dynamic名 … DHCPv6-MAPE_eth0
  • フィルタパターン … dhcp@ethernet0
  • オプション … mape-rule

 

2. <IPv6アクセスリスト設定>
(config)#ipv6 access-list eth0_IN deny any dynamic DHCPv6-MAPE_eth0 icmpv6 128

IPv6アクセスリストeth0_INを以下のルールで設定します。

宛先IPv6アドレスDHCPv6-MAPE_eth0（ipv6 access-list-dynamic名）、ICMPv6（タイプ128）を破棄

 

3. <ethernet0インタフェース設定>
(config)#interface ethernet 0
(config-if)#ipv6 access-group in eth0_IN

ethernet0インタフェースでIPv6アクセスグループのinフィルタにIPv6アクセスリストeth0_INを設定します。

 

【 補足 】

〔動的解決フィルタのアドレス確認方法〕

ip(ipv6) access-list-dynamicで登録されているアドレスは、show ip(ipv6) access-list-dynamicコマンドで確認できます。

<ip access-list-dynamic>
#show ip access-list-dynamic
Name: MAPE_map0
192.0.2.1

 

<ipv6 access-list-dynamic>
#show ipv6 access-list-dynamic
Name: RA_eth1
2001:db8::1234