VLAN間フィルター(VLAN相互接続インターフェースグループ)

1. 1. 概要
2. 2. 対応機種とファームウェアリビジョン
3. 3. 注意事項
4. 4. 詳細
   1. 4-1. VLAN間フィルター(VLAN相互接続インターフェースグループ)を設定する
      1. 4-1-1. 相互に通信を許可するインターフェースのグループを設定する
      2. 4-1-2. すべてのインターフェースとの通信を許可するインターフェースを設定する
      3. 4-1-3. インターフェース間の通信をすべて許可する
      4. 4-1-4. インターフェース間の通信をすべて遮断する
   2. 4-2. フィルタリングのログを記録する
   3. 4-3. VLAN間フィルターと他のフィルターを併用する
   4. 4-4. WebGUIで設定する
      1. 4-4-1. WebGUIでできること
      2. 4-4-2. LANマップのVLAN間フィルターとの差異
5. 5. コマンド

1. 概要

VLAN間フィルターは、その名の通りVLAN間のフィルタリングをする機能です。インターフェース間の通信を許可または遮断することができます。フィルタリング対象となるインターフェースはLAN分割インターフェース、Native VLANインターフェース（タグVLANを使用しないLANインターフェース）およびタグVLANインターフェースです。

例えば、VLAN間フィルターでは次のようなことが実現できます。

• 例1）開発部と営業部は通信を許可、人事部は通信不可
  

  図1　部署間の通信を制御する構成の例

• 例2）マンション型インターネット（各部屋はインターネット抜けできるが、各部屋間の通信は不可）
  

  図2　マンション型インターネットの構成例

これらのような構成はIPフィルターでも実現できますが、複数のIPフィルターが必要であり、設定が複雑化するのが問題でした。また、インターフェースを追加するとIPフィルターの設定も追加・変更が必要で、トラブルの元でした。

それをコマンド一つで実現できるようにしたのが「VLAN相互接続インターフェースグループ」です。使用するコマンドはvlan interconnect groupコマンドで、設定が非常に分かりやすく管理も容易になります。

例えば、Nativ VLANインターフェース（lan1）とタグVLANインターフェースを3つ（lan1/1, lan1/2, lan1/3）使用しているときに、これらすべてのインターフェース間の通信を遮断する場合、IPフィルターで実現するには次のような設定が必要です。フィルターに関する設定はip secure filterコマンドとip filterコマンドで17行になっています。

ip lan1 address 192.168.100.1/24
ip lan1 secure filter in 600000 600001 600002 6000012
vlan lan1/1 802.1q vid=101 name=VLAN101
ip lan1/1 address 192.168.101.1/24
ip lan1/1 secure filter in 600003 600004 600005 6000012
vlan lan1/2 802.1q vid=102 name=VLAN102
ip lan1/2 address 192.168.102.1/24
ip lan1/2 secure filter in 600006 600007 600008 6000012
vlan lan1/3 802.1q vid=103 name=VLAN103
ip lan1/3 address 192.168.103.1/24
ip lan1/3 secure filter in 600009 600010 600011 6000012
ip filter 600000 reject 192.168.100.0/24 192.168.101.0/24
ip filter 600001 reject 192.168.100.0/24 192.168.102.0/24
ip filter 600002 reject 192.168.100.0/24 192.168.103.0/24
ip filter 600003 reject 192.168.101.0/24 192.168.100.0/24
ip filter 600004 reject 192.168.101.0/24 192.168.102.0/24
ip filter 600005 reject 192.168.101.0/24 192.168.103.0/24
ip filter 600006 reject 192.168.102.0/24 192.168.100.0/24
ip filter 600007 reject 192.168.102.0/24 192.168.101.0/24
ip filter 600008 reject 192.168.102.0/24 192.168.103.0/24
ip filter 600009 reject 192.168.103.0/24 192.168.100.0/24
ip filter 600010 reject 192.168.103.0/24 192.168.101.0/24
ip filter 600011 reject 192.168.103.0/24 192.168.102.0/24
ip filter 600012 pass * *

本機能を使用すると、フィルターの設定はvlan interconnect groupコマンドのみとなり、たった一行の設定で実現できます。

ip lan1 address 192.168.100.1/24
vlan lan1/1 802.1q vid=101 name=VLAN101
ip lan1/1 address 192.168.101.1/24
vlan lan1/2 802.1q vid=102 name=VLAN102
ip lan1/2 address 192.168.102.1/24
vlan lan1/3 802.1q vid=103 name=VLAN103
ip lan1/3 address 192.168.103.1/24
vlan interconnect group lan1 none

本ドキュメントではVLAN相互接続インタフェースグループを使用したVLAN間フィルターについて説明します。

2. 対応機種とファームウェアリビジョン

ヤマハルーターでは以下の機種およびファームウェアで、VLAN相互接続インターフェースグループによるVLAN間フィルターをサポートしています。

3. 注意事項

• 異なる物理LANインターフェースに従属するLANインターフェース間の通信、つまり物理LANをまたいだ通信はフィルタリングできません。
  

  図3　フィルタリング出来ない通信の例

• インターフェース間を転送するパケットを制御する機能のため、ルーター発パケット・ルーター着パケットは制御の対象外となります。
  例えば、DHCPリレーはDHCPパケットを自分が終端したうえでルーター発パケットとして送信し直す動作であり、パケット転送ではないため対象外となります。

4. 詳細

4-1. VLAN間フィルター(VLAN相互接続インターフェースグループ)を設定する

VLAN間フィルターは、vlan interconnect groupコマンドで「VLAN相互接続インターフェースグループ」を設定することにより実現します。

[書式]

PHYS_LANにフィルタリングの対象とする物理LANインターフェースを指定します。ここで指定した物理LANインターフェースに従属するLANインターフェース間の通信をフィルタリングできます。

GROUPにはPHYS_LANに指定した物理LANインターフェースに従属するLANインターフェースのグループを指定します。相互に通信を許可するインターフェースをグループとすることで、以下の制御が可能です。

• 同じグループに所属するLANインターフェース間の通信を許可
• 異なるグループに所属するLANインターフェース間の通信を遮断

VLAN相互接続インターフェースグループを設定していない状態、すなわち初期状態では物理LANインターフェースに従属するすべてのLANインターフェース間の通信が許可されています。

ここでは目的に応じたグループの設定方法を説明します。

4-1-1. 相互に通信を許可するインターフェースのグループを設定する

相互に通信を許可するインターフェースのグループを設定する場合は、GROUPにお互いの通信を許可したいインターフェースをカンマ区切りで列挙します。

GROUPはスペース区切りで複数指定することができ、同じグループ内のインターフェース間の通信は許可され、異なるグループ間の通信は遮断されます。

例えば、タグVLANインターフェースを4つ（lan1/1, lan1/2, lan1/3, lan1/4）使用しているとします。

• lan1/1とlan1/2の通信は許可
• lan1/3とlan1/4の通信は許可
• lan1/1とlan1/3、およびlan1/1とlan1/4の通信は遮断
• lan1/2とlan1/3、およびlan1/2とlan1/4の通信は遮断

図4　2つのグループを設定した例のイメージ図

このようにフィルタリングする場合は「lan1/1,lan1/2」と「lan1/3,lan1/4」の二つのグループを指定します。具体的なコマンドは次のようになります。

# vlan interconnect group lan1 lan1/1,lan1/2 lan1/3,lan1/4

複数のグループと通信を許可する

あるインターフェースと複数のグループ間の通信を許可するには、共通のインターフェースを複数のグループに所属させます。

• lan1/1とlan1/2の通信は許可
• lan1/1とlan1/3の通信は許可
• lan1/2とlan1/3の通信は遮断

図5　両方のグループと通信を許可するインターフェースのグループ設定

このようにフィルタリングする場合は次のように設定します。

# vlan interconnect group lan1 lan1/1,lan1/2 lan1/1,lan1/3

lan1/1が一つ目のグループと二つ目のグループの両方に所属しています。lan1/1はどちらのグループとも通信が可能です。

グループに設定されていないインターフェース

グループに設定されていないインターフェースは、どのグループにも所属せずに独立した状態となります。

例えば、タグVLANインターフェースを4つ（lan1/1, lan1/2, lan1/3, lan1/4）とNative VLANインターフェース（タグVLANを使用しない lan1）を使用しているとき、lan1/1とlan1/2の間の通信を許可する設定をしたとします。

# vlan interconnect group lan1 lan1/1,lan1/2

このときlan1/1とlan1/2以外のインターフェース間の通信は遮断された状態になります。

図6　グループに設定されていないインターフェースのイメージ図

タグVLANインターフェースを使用しているときに、LAN分割インターフェースのグループを設定すると、タグVLANインターフェースとNative VLANインターフェースはどのクループにも所属せず独立した状態になります。すなわち、タグVLANインターフェース（Native VLANインターフェースを含む）間の通信はすべて遮断されます。逆に、LAN分割インターフェースを使用しているときに、タグVLANインターフェースのグループを設定すると、LAN分割インターフェース間の通信は遮断されます。なお、タグVLAN機能とLAN分割機能は同時に使用できないため、タグVLANインターフェースとLAN分割インターフェースをグループに含めた場合、コマンドはエラーになります。

連続する仮想インターフェースの簡略化表現「-」（ハイフン）

連続する仮想インターフェースは「-」（ハイフン）を使うことで簡略化して表現することができます。

LAN分割インターフェースの場合、「vlan1,vlan2,vlan3,vlan4」は「vlan1-4」と表現できます。

# vlan interconnect group lan1 vlan1,vlan2,vlan3,vlan4

これは次のように書くことができます。

# vlan interconnect group lan1 vlan1-4

タグVLANインターフェースの場合、「lan1/1,lan1/2,lan1/3,lan1/4」は「lan1/1-4」と表現できます。

# vlan interconnect group lan1 lan1/1,lan1/2,lan1/3,lan1/4

これは次のように書くことができます。

# vlan interconnect group lan1 lan1/1-4

なお、連続したインターフェース番号を「-」で指定する場合は、昇順で指定してください。例えば「vlan4-1」はエラーになります。

コマンド設定値の入力順序の保持

vlan interconnect groupコマンドの設定値は、入力値のまま設定に反映されます。

• グループに指定したインターフェースの順番やグループの順番が並び変えられることはありません
• グループの設定値が「-」で簡略化できる場合でも、「-」を使用した表現に置換されることはありません
• 次の3つのグループ「lan1/1,lan1/2」「lan1/2,lan1/3」「lan1/3,lan1/1」は「lan1/1,lan1/2,lan1/3」という1つのグループで表せますが、このような最適化はされません

4-1-2. すべてのインターフェースとの通信を許可するインターフェースを設定する

対象物理LANインターフェースに従属するすべてのインターフェースとの通信が可能なインターフェースを設定するには、すべてのLANインターフェースとのペアをGROUPに設定することになります。すべてのLANインターフェースとのペアは「$」（ドルマーク）を使って表します。

二つの例で説明します。

一つ目の例は、タグVLANインターフェースを4個（lan1/1～lan1/4）とNative VLANインターフェース（タグVLANを使用しない lan1）を使用しているとき、Native VLANインターフェースのみに他のすべてのタグVLANインターフェースとの通信を許可する場合です。この場合、GROUPはlan1を軸にした「lan1,lan1/1」「lan1,lan1/2」「lan1,lan1/3」「lan1,lan1/4」の4つのグループを指定することになります。

グループ1：	lan1,lan1/1
グループ2：	lan1,lan1/2
グループ3：	lan1,lan1/3
グループ4：	lan1,lan1/4

図7　すべてのインターフェースとの通信を許可する場合のインターフェースグループのイメージ図

具体的なコマンドは次のようになります。

# vlan interconnect group lan1 lan1,lan1/1 lan1,lan1/2 lan1,lan1/3 lan1,lan1/4

この4つのグループをまとめて「lan1$」（「軸になるインターフェース」＋「$」）と表現できます。これを用いると次のように書くことができます。

# vlan interconnect group lan1 lan1$

二つ目の例は、LAN分割インターフェースを6個（VLAN1～VLAN6）使用しているとき、VLAN2インターフェースのみが他のすべてのLAN分割インターフェースとの通信を許可する場合です。この場合は、GROUPにはvlan2を軸にした「vlan2,vlan1」「vlan2,vlan3」「vlan2,vlan4」「vlan2,vlan5」「vlan2,vlan6」の5つのグループを指定する必要がありますが、これを「vlan2$」と簡略化して指定することができます。

# vlan interconnect group lan1 vlan1,vlan2 vlan2,vlan3 vlan2,vlan4 vlan2,vlan5 vlan2,vlan6

この設定は次のように書くことができます。

# vlan interconnect group lan1 vlan2$

なお、「$」が設定されている状態で、新たにインターフェース（ネットワーク）を追加したときは、当コマンドを再設定しなくても、追加したインターフェースと対象インターフェースとのペアもグループに追加されます。

図8　「$」設定のとき追加されたインターフェースの扱い

GROUPに「$」を使わずに「$」と同等の設定をした場合でも、「$」を使った表現への最適化は行われず、コンフィグには設定したままの値が保存されます。「$」を使用した表現に置換されることはありません。

4-1-3. インターフェース間の通信をすべて許可する

対象物理LANインターフェースに従属するすべてのLANインターフェース間の通信を許可する場合は、GROUPに「all」を指定します。

vlan interconnect groupコマンドを設定していないときは、「all」を指定しているのと同じ動作になります。つまり、初期状態では物理LANインターフェースに従属するすべてのLANインターフェース間の通信が許可されています。

例えば、タグVLANインターフェースを2つ（lan1/1, lan1/2）とNative VLANインターフェース（タグVLANを使用しない lan1）を使用しているとき、これらすべてのインターフェース間の通信を許可する場合は次のように設定します。

# vlan interconnect group lan1 all

これは、使用しているすべてのLANインターフェース（lan1, lan1/1, lan1/2）が１つのグループに所属している状態です。

図9　すべて許可する場合のインターフェースグループのイメージ図

なお、「all」が設定されている状態で、新たにインターフェース（ネットワーク）を追加したときは、当コマンドを再設定しなくても、追加したインターフェースとの間の通信も許可されます。

図10　「all」設定のとき追加されたインターフェースの扱い

4-1-4. インターフェース間の通信をすべて遮断する

対象物理LANインターフェースに従属するすべてのLANインターフェース間の通信を遮断する場合は、GROUPに「none」を指定します。

例えば、タグVLANインターフェースを2つ（lan1/1, lan1/2）とNative VLANインターフェース（タグVLANを使用しない lan1）を使用しているとき、これらすべてのLANインターフェース間の通信を遮断する場合は次のように設定します。

# vlan interconnect group lan1 none

これは、使用しているすべてのLANインターフェース（lan1, lan1/1, lan1/2）がどのグループにも所属せずに独立している状態です。

図11　すべて遮断する場合のインターフェースグループのイメージ図

なお、「none」が設定されている状態で、新たにインターフェース（ネットワーク）を追加したときは、当コマンドを再設定しなくても、追加したインターフェースとの間の通信も遮断されます。

図12　「none」設定のとき追加されたインターフェースの扱い

4-2. フィルタリングのログを記録する

vlan interconnect logコマンドを設定することでフィルタリングのログを記録することができます。

SYSLOGのレベルとフォーマットは以下の通りです。

#show log
2024/06/06 16:49:40: LAN1 Passed at VLAN INTERCONNECT: LAN1 192.168.100.10 > LAN1/1 10.0.1.2
2024/06/06 16:49:50: LAN1 Rejected at VLAN INTERCONNECT: LAN1 192.168.100.10 > LAN1/2 10.0.2.2

IPフィルターなど他のフィルター機能と併用した場合、VLAN間フィルターより前に他のフィルターでパケットが破棄された場合は、VLAN間フィルターのログは出力されません。フィルターの処理順序に関しては4-3. VLAN間フィルターと他のフィルターを併用するを参照ください。

4-3. VLAN間フィルターと他のフィルターを併用する

VLAN間フィルターは、IPフィルターやDPIフィルターなど既存のフィルター機能と併用可能です。適用しているすべてのフィルターで通信が許可されたパケットがインターフェース間を通過できます。

既存のフィルター機能は、イーサネットフィルター、IPフィルター、URLフィルター、DPIフィルターがあり、各フィルターは受信インターフェースと送信インターフェースのそれぞれで処理されます。下図は各フィルターの処理順序を示しています。VLAN間フィルターより前段のフィルターでパケットが破棄された場合は、VLAN間フィルターのログは出力されません。

図13　フィルターが評価される順序

4-4. WebGUIで設定する

4-4-1. WebGUIでできること

WebGUIを搭載している機種では、[詳細設定]のメニュー[VLAN]-[VLAN間フィルター]からVLAN間フィルターの設定をすることができます。

図14　Web GUIのVLAN間フィルター設定ページ

4-4-2. LANマップのVLAN間フィルターとの差異

本機能に対応する前のファームウェアでは、LANマップのタグVLANページからVLAN間フィルターを設定することができました。

LANマップの「全遮断」と本機能の全遮断である「インターフェース間の通信をすべて遮断する」の動作には以下の違いがあります。

LANマップの「全遮断」と同じ動作をさせる

LANマップの全遮断と同じ動作をさせたい場合は、VLAN間フィルターの設定ページで「LAN1のすべてのインターフェースとの通信を許可するインターフェースを指定する」にチェックを入れ、インターフェースにLAN1を選択してください。

図15　LANマップの「全遮断」と同じ動作をさせる設定

これは、Native VLANインターフェースのみに他のすべてのタグVLANインターフェースとの通信を許可する設定です。つまり次の設定と同じです。

# vlan interconnect group lan1 lan1$

LANマップの「全遮断」の設定（IPフィルターによる全遮断の設定）から本機能の設定への置換

VLAN間フィルターの設定ページは、LANマップの「全遮断」の設定（IPフィルターによる全遮断の設定）がある状態でも正しく設定を解釈して表示できます。LANマップの「全遮断」の設定がある状態でVLAN間フィルターの設定ページを開くと、「LAN1のすべてのインターフェースとの通信を許可するインターフェースを指定する」でLAN1を選択している状態として表示されます。LANマップの「全遮断」と本機能における「LAN1 の各インターフェース間の通信をすべて遮断する」はイコールではないことに注意してください。

図16　IPフィルターによる全遮断の設定があるときのVLAN間フィルター設定ページの表示

LANマップの「全遮断」の設定がある状態で、VLAN間フィルターの設定ページからVLAN間フィルターを設定しなおした場合、IPフィルターによる全遮断の設定は削除され、vlan interconnect groupコマンドが設定されます。

5. コマンド