ポリシールーティング

ポリシールーティング機能は、フィルタルールにマッチしたパケットを任意の送信先へ転送します。

表 1. 仕様概要
項目 値
IPv4ポリシールーティングの設定上限 2048
IPv6ポリシールーティングの設定上限 2048
表 2. IPv4/IPv6対応状況
機能 IPv4 IPv6 備考
ポリシールーティング ○ ○
表 3. デフォルトの動作状態
機能 状態 備考
ポリシールーティング 無効

フィルタルールのマッチ条件

任意のパラメータの組み合わせでパケットのマッチ条件を指定でき、条件にすべてマッチすると、指定の送信先へ転送します。

  • インタフェース
  • 通信の方向
  • プロトコル
  • 送受信ポート番号
  • 送受信アドレス
  • 送受信ホスト名
注:
ブロードキャストパケットおよびマルチキャストパケットは、IN方向のフィルタルールにマッチしません。

ホスト名による条件指定

コンフィグに指定されたホスト名(FQDN)について、DNSを利用してIPアドレスを解決し、フィルタ適用条件とします。
  • 設定が反映されると名前解決を行いDNSレコードを保持します。また、DNSレコードのTTLに従ってリロードします。
  • DNSレコードが複数のIPアドレスを含む場合は、キーと同じアドレスファミリー（IPv4またはIPv6）のものが全て適用条件となります。
  • 名前解決のたびに異なるIPアドレスが得られるFQDNに対しては有効に働きません。本装置の名前解決結果とクライアント端末での結果が異なる可能性があります。
  • "filter."で始まるキーに対し、合計64個までのユニークなFQDNを設定できます。
  • ワイルドカード形式での指定はできません。

名前解決に失敗した場合の動作

名前解決が失敗した場合は所定時間の経過後に再試行します。成功するまでの間は当該FQDNが設定されたフィルタルールは機能しません。

表 4. 名前解決の再試行間隔
条件 試行間隔
DNS応答がNXDOMAIN、NODATA、REFUSEDのいずれかであり、TTLが含まれる場合 TTLに従う
DNS応答にTTLが存在しない場合 300秒
DNS応答に含まれるTTLが異常な値（負の数）だった場合 900秒
DNS応答がSERVFAILまたは得られなかった場合 300秒

ホスト監視連動

ターゲットホストの死活状況を監視し、応答状況とフィルタルールの有効性を連動させることができます。

  • 監視ダウンと判定するとフィルタルールを無効化します。
  • 監視アップと判定するとフィルタルールを有効化します。
  • 監視パケットの送信元IPアドレスに監視パケットを送出するインタフェースのIPアドレスを使用します。
表 5. 監視仕様
項目 値
監視対象 IPv4アドレス
監視パケット ICMPエコーリクエスト
監視タイムアウト 1秒
ダウン判定 連続3回の監視タイムアウト
アップ判定 1回のリプライ受信
リプライ受信後の監視パケット送信間隔 30秒
監視タイムアウト後のパケット送信間隔 5秒
初期状態 監視アップ（フィルタ有効）
注:
フィルタ設定において、複数の監視設定に同一の監視対象が設定されている場合は監視パケットの送信を集約します。

ログ出力の制御

フィルタルールごとに、パケットがマッチした際のログへの出力の有無を制御可能です。

ログメッセージには、フィルタルールに設定されたラベル文字列を含みます。

注:
一つのログ出力に要するシステムリソースは非常に小さなものですが、多量のトラフィックが想定される環境においてマッチする頻度の高いルールのログ出力が有効な状態で運用すると、処理パフォーマンスに影響する可能性があります。

フィルタルールの適用優先順位

フィルタには評価順位があり、最初にマッチした一つのフィルタのルールに従い処理します。

処理順位は、コンフィグ記述上のインデックス番号の若い順（昇順）に評価します。動的フィルタにより生成される一時フィルタを含めた内部的な 状態は、ステータス参照コマンドで参照できます。

フィルタルールの設定反映

コンフィグの再読込の際にフィルタルールの変更があった場合でも、適用処理過程で一時的にフィルタ処理が全体的に無効になることはありません。

パケット処理の適用順

IPパケットは次の順番で通信制御機能のマッチングが行われます。
  1. NAT/NAPT（受信インタフェースのルール）
  2. IPパケットフィルタおよびポリシールーティング（受信インタフェースの入力方向のルール）
  3. 経路表に基づくルーティング
  4. ポリシールーティング（送信インタフェースの出力方向のルール）
  5. IPパケットフィルタ（送信インタフェースの出力方向のルール）
  6. NAT/NAPT（送信インタフェースのルール）
注:
  • パケット受信時は、IPパケットフィルタとポリシールーティングは常に両方評価され、ポリシールーティングにマッチした場合はIPパケットフィルタの評価結果によらず受信されます。
    • 入力方向のポリシールーティングにマッチした場合は、入力方向のIPパケットフィルタのブロック対象であってもブロックされず、転送先ゲートウェイを指定した上でルーティング処理に進みます。
  • パケット送信時は、ポリシールーティングの評価後にIPパケットフィルタが評価されます。
    • 入出力いずれかのポリシールーティングにマッチしたパケットであっても、出力方向のIPパケットフィルタのブロック対象ならば破棄されます。
    • 受信時にIPパケットフィルタにマッチしたパケットも、送信時にIPパケットフィルタが評価されます。
  • 経路表に基づくルーティング対象でないパケットは、ポリシールーティングにマッチしたパケットであっても破棄されます。
    • デフォルト経路やdiscard経路を含むいずれかの経路に一致するならば、ポリシールーティングで指定するゲートウェイに転送可能です。
    • NAT/NAPT評価後の宛先アドレスに基づいて経路表が参照されます（ポリシールーティングはパケットのヘッダを書き換えません）。
  • 入力方向のポリシールーティングにマッチしたパケットは、出力方向のポリシールーティングの評価はスキップされます。
  • 入出力いずれかのポリシールーティングにマッチしたパケットの、送信インタフェースにおけるIPパケットフィルタおよびNAT/NAPTの評価は、ポリシールーティングで指定されたゲートウェイインタフェースのルールに基づきます。
  • 本装置自身が送信元となるパケットは、受信インタフェースでの処理が省かれます。