屑俺日記

☆ ip filter 試行錯誤

iptablesとの違い、なんて考えてもあまり助けにならないかも。

# show config | grep -v "^#"
console character ascii
vlan lan1/1 802.1q vid=10
vlan lan1/2 802.1q vid=20
ip lan1/1 address 192.168.10.1/24
ip lan1/2 address 192.168.20.1/24
ip lan2 address dhcp
ip lan2 nat descriptor 10
ip filter 1 reject 192.168.10.0/24 192.168.20.0/24 * * *
ip filter 100 pass * * * * *
nat descriptor type 10 masquerade
nat descriptor address outer 10 primary
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.10.10-192.168.10.20/24
dhcp scope 2 192.168.20.10-192.168.20.20/24

の場合に、両VLANの通信を遮断する(それ 以外はすべて許可する)には、

ip lan1/1 secure filter in 1 100

ip lan1/2 secure filter out 1 100

の片方を追加する。
ただし192.168.10.1および20.1も落としたかったら両方。
マッチしなかったものは落とされるから、さしあたりはこれで。