Cisco 7600 シリーズ ルータ Cisco IOS ソフトウェア コンフィギュレーション ガイド Release 15.0S

OAL の概要

Optimized ACL Logging（OAL; 最適化 ACL ロギング）は、ACL ロギングをハードウェアでサポートしています。OAL を設定しない限り、ロギングを必要とするパケットは、MSFC のソフトウェアで完全に処理されます。OAL では、PFC3 のハードウェアでパケットの許可または廃棄を行い、最適化ルーチンを使用して情報を MSFC3 に送信し、ロギング メッセージを生成します。

OAL に関する注意事項および制約事項

OAL には、次の注意事項および制約事項が適用されます。

• OAL キャプチャと VACL キャプチャには互換性がありません。ルータで両方の機能を一緒に設定しないでください。OAL が設定された状態で、SPAN を使用してトラフィックをキャプチャします。

• OAL は PFC3 だけでサポートされます。

• OAL は IPv4 ユニキャスト パケットだけをサポートしています。

• OAL は、許可された入力トラフィックの VACL ロギングをサポートしています。

• OAL は、次のものに対してはハードウェアでのサポートをしていません。

– 再帰 ACL

– 他の機能（QoS など）のトラフィックのフィルタ処理に使用される ACL

– 例外パケット（存続可能時間（TTL）障害や MTU 障害など）

– IP オプションが指定されたパケット

– レイヤ 3 でルータへのアドレスが指定されたパケット

– ICMP 到達不能メッセージを生成するために MSFC3 へ送信されるパケット

– ハードウェアでは加速されず、機能によって処理されるパケット

• 拒否されたパケットに OAL サポートを提供するには、 mls rate-limit unicast ip icmp unreachable acl-drop 0 コマンドを入力します。

OAL の設定

ここでは、OAL の設定手順について説明します。

• 「OAL グローバル パラメータの設定」

• 「インターフェイスでの OAL の設定」

• 「OAL 情報の表示」

• 「キャッシュされた OAL エントリのクリア」

（注） • このセクションで使用しているコマンドの構文および使用方法の詳細については、『Cisco 7600 Series Router Cisco IOS Command Reference』を参照してください。

• 拒否されたパケットに OAL サポートを提供するには、 mls rate-limit unicast ip icmp unreachable acl-drop 0 コマンドを入力します。

OAL グローバル パラメータの設定

OAL グローバル パラメータを設定するには、次の作業を行います。

OAL グローバル パラメータを設定する場合、次の情報に注意してください。

• entries number_of_entries ：

– キャッシュされるエントリの最大数を設定します。

– 範囲：0～1,048,576（カンマを含めないで入力）。

– デフォルト：8000

• interval seconds ：

– ログのためにエントリが送信されるまでの最大時間を設定します。この時間中エントリが非アクティブの場合、キャッシュから削除されます。

– 範囲：5～86,400（1440 分つまり 24 時間、カンマを含めないで入力）。

– デフォルト：300 秒（5 分）。

• rate-limit number_of_packets ：

– ソフトウェアで 1 秒間にログに記録されるパケット数を設定します。

– 範囲：10～1,000,000（カンマを含めないで入力）。

– デフォルト：0（レート制限がオフになり、すべてのパケットがログに記録されます）。

• threshold number_of_packets :

– エントリがログに記録されるまでに一致するパケット数を設定します。

– 範囲：1～1,000,000（カンマを含めないで入力）。

– デフォルト：0（一致パケット数に達してもログの記録は開始されません）。

インターフェイスでの OAL の設定

インターフェイスで OAL を設定するには、次の作業を行います。

OAL 情報の表示

OAL 情報を表示するには、次の作業を行います。

キャッシュされた OAL エントリのクリア

キャッシュされた OAL エントリをクリアするには、次の作業を行います。

レイヤ 4 演算の使用

次のタイプの演算子を指定できます。

• gt（geater than：より大きい）

• lt（less than：より小さい）

• neq（not equal：等しくない）

• eq（equal：等しい）

• range（inclusive range：包含範囲）

1 つの ACL に、9 つより多くの 異なる 演算を指定しないよう推奨します。この数を超えると、新しい演算によって影響される ACE が、複数の ACE に分割されることがあります。

レイヤ 4 演算を使用するときは、次の 2 つの注意事項に従ってください。

• レイヤ 4 演算は、演算子またはオペランドが異なっていると、違う演算であると見なされます。たとえば、次の ACL には 3 つの異なるレイヤ 4 演算が定義されています（「gt 10」と「gt 11」は 2 つの異なるレイヤ 4 演算です）。

（注） 「eq」演算子の使用に制限はありません。「eq」演算子は論理演算ユニット（LOU）またはレイヤ 4 演算ビットを使用しないためです。LOU については、「論理演算ユニットの使用」を参照してください。

• レイヤ 4 演算は、同じ演算子/オペランドの組み合わせでも、送信元ポートに適用するか宛先ポートに適用するかによって異なる演算になります。たとえば次の ACL では、1 つの ACE には送信元ポート、もう 1 つの ACE には宛先ポートが指定されているので、2 つの異なるレイヤ 4 演算が定義されていることになります。

論理演算ユニットの使用

論理演算ユニット（LOU）は、演算子/オペランドの組み合わせを保存するレジスタです。ACL はすべて、LOU を使用します。最大 32 の LOU があります。各 LOU には、2 つの異なる演算子/オペランドの組み合わせを保存できますが、range 演算子だけは例外です。レイヤ 4 演算は、次のように LOU を使用します。

• gt は、1/2 LOU を使用します。

• lt は、1/2 LOU を使用します。

• neq は、1/2 LOU を使用します。

• range は、1 LOU を使用します。

• eq は、LOU を使用しません。

たとえば、次の ACL では、1 つの LOU に 2 つの異なる演算子/オペランドの組み合わせが保存されます。

以下は、より詳細な例です。

レイヤ 4 演算数と LOU 数は、次のとおりです。

• ACL1 のレイヤ 4 演算：5

• ACL2 のレイヤ 4 演算：4

• LOU：4

LOU は、次のように使用されています。

• LOU1 に、「gt 10」および「lt 9」が保存されます。

• LOU2 に、「gt 11」および「neq 6」が保存されます。

• LOU 3 に、「gt 20」が保存されます（半分は空き）。

• LOU 4 に、「range 11 13」が保存されます（range は 1 LOU を使用）。