動的フィルタ

"filter.ipvX.[].state : enable" を指定されたフィルタは、動的フィルタとして動作し、パケットがフィルタルールにマッチした際にそのパケットに関連するパケットをパスさせるための優先的なパスルールのフィルタステートを生成します。

動的フィルタとブロックルールのフィルタと組み合わせることで、IN方向は通常はブロックとし、OUT方向のパケットをトリガーとして一時的にIN方向もパスする動的なフィルタとすることができます。

注:

設定変更時の注意

コンフィグの変更は、生成済みのフィルタステートには反映されません。必要に応じてフィルタのステータスをクリアしてください。

生成条件

次の条件を満たす場合にフィルタステートを生成します。

生成元となるフィルタ設定のprotocolパラメータがanyやtcpudpであっても、ルールに一致したパケットがTCPであるならば、生成されたフィルタステートのprotocolパラメータはTCP（tcp）となります。

例外対応

TCPおよびUDP、その他プロトコルに一致するフィルタステートは、当該ステートに関係する次のパケットをパスします。
- ICMP エラーパケット（IPv4の場合）
- ICMPv6 エラーパケット（IPv6の場合）
- ICMPエラーパケットは、TCPやUDPに限らず、GREやその他のプロトコルのステートであっても、そのステートに関するICMPエラーであればパスされます。
TCP 21番ポート（FTP）に一致するフィルタルールは、データ転送用ポートに対応するステートを生成します。

フィルタステートは生成時に設定されたTTL（有効時間）値が0になると削除されます。
"clear filter.ipv4"（IPv4）または"clear filter.ipv6"（IPv6）コマンドが実行されると、該当プロトコル（IPv4またはIPv6）の全てのフィルタステートが削除されます。

フィルタステートのTTLは、ステート生成時に初期値となり、ステートが存在する間は1秒経過ごとに1づつ減算されます。
当該フィルタステートに一致するパケットが通過すると、TTLは初期値に戻されます。
不要となったフィルタステートの削除を早めるため、条件によってTTL値を小さな値に変更します。
- TCPの場合において、当該セッションに関係するTCP FINまたはTCP RSTが通過したならば、当該TTLの初期値を5秒に変更します。
- IPv4の場合において、当該セッションに関係するICMPエラーパケットが通過したならば、当該TTLの初期値を5秒に変更します。
- IPv6の場合において、当該セッションに関係するICMPv6エラーパケットが通過したならば、当該TTLの初期値を5秒に変更します。

TTLの初期値は、コンフィグによる指定値またはデフォルトの180秒となりますが、下表の通信は設定値によらずTTLが固定となります。

動的に生成されたパスルールを先に評価し、その次にパケットフィルタ設定のルールを順番に評価します。