SonicOS 7 システム --- TZ シリーズ用

Technical Documentation>  インターフェース>  IPv4 のインターフェース設定>  レイヤ 2 ブリッジ モード>  L2 ブリッジ モードとトランスペアレント モードの比較>  L2 ブリッジの IP パケット パス
Table of Contents

L2 ブリッジの IP パケット パス

L2 ブリッジの IP パケット フロー

L2 ブリッジの IP パケット フロー

次のイベント シーケンスは、「L2 ブリッジの IP パケット フロー」:

  1. 802.1Q カプセル化フレームが L2 ブリッジ インターフェースに到着します (このステップ 1、ステップ 2、およびステップ 12 は、802.1Q VLAN トラフィックにのみ当てはまります)。
  2. 802.1Q VLAN ID が VLAN ID のホワイト/ブラック リストと照らしてチェックされます。VLAN ID:
    • 禁止されていた場合、パケットは破棄されてログに記録されます。
    • 許可されていた場合、パケットのカプセル化が解除され、VLAN ID が格納されて、内部パケット (IP ヘッダーを含む) がフル パケット ハンドラを介して渡されます。
  3. L2 ブリッジでは任意の数のサブネットがサポートされるため、パケットの送信元 IP に対する送信元 IP スプーフィング チェックは実行されません。アクセス ルールを使って特定のサブネットだけをサポートするように L2 ブリッジを設定することもできます。
  4. SYNフラッド チェックが実行されます。
  5. 適切なアクセス ルールを適用するため、送信先ゾーンに対して送信先ルート調査が実行されます。送信元ゾーンと同じゾーン (LAN から LAN など)、非保護ゾーン (WAN)、暗号化 (VPN)、無線 (WLAN)、マルチキャスト、任意のタイプの個別ゾーンを含め、すべてのゾーンが有効な送信先になります。
  6. NAT 調査が実行され、必要に応じて適用されます。
    • 一般に、L2 ブリッジに到達したパケットの送信先はブリッジ パートナー インターフェース (つまり、ブリッジのもう一方の側) です。この場合、変換は一切実行されません。
    • 混在モードのトポロジで多く見られるように、L2 ブリッジ管理アドレスがゲートウェイである場合、NAT が必要に応じて適用されます (詳細については、「L2 ブリッジ パスの決定」を参照してください)。
  7. パケットにアクセス ルールが適用されます。例えば、SonicWall セキュリティ装置の場合、次のパケット デコードは、VLAN ID 10、送信元 IP アドレス 110.110.110.110、送信先 IP アドレス 4.2.2.1 の ICMP パケットを示しています。

VLAN のメンバーシップに関係なく、どの IP 要素 (送信元 IP、送信先 IP、サービス種別など) でも任意の IP パケットを制御するアクセス ルールを作成できます。禁止されたパケットは破棄されてログに記録されます。許可されたパケットは引き続き処理されます。

  1. パケットに対する接続キャッシュ エントリが作成され、必要に応じて NAT 変換が実行されます。
  2. TCP、VoIP、FTP、MSN、Oracle、RTSP のほか、メディア ストリーム、PPTP、およびL2TP に対するステートフル パケット検査および変換が実行されます。禁止されたパケットは破棄されてログに記録されます。許可されたパケットは引き続き処理されます。
  3. ゲートウェイ アンチウイルス、侵入防御、アンチスパイウェア、CFS、電子メール フィルタなどの精密パケット検査が実行されます。禁止されたパケットは破棄されてログに記録されます。許可されたパケットは引き続き処理されます。クライアント通知が設定どおりに実行されます。
  4. パケットの宛先が暗号化ゾーン (VPN)、非保護ゾーン (WAN)、またはその他の接続インターフェース (非保護ゾーンとその他の接続インターフェースは、通常、混在モード トポロジの場合に該当) であった場合、パケットは適切なパスを介して送信されます。
  5. パケットの宛先が VPN/WAN/接続インターフェースではなかった場合、保存されていた VLAN タグが復元され、(再び元の VLAN タグを持った) パケットがブリッジ パートナー インターフェースへと送出されます。