ポリシールーティング

表 1. 仕様概要
項目	値
IPv4ポリシールーティングの設定上限	`2048`
IPv6ポリシールーティングの設定上限	`2048`

表 2. IPv4/IPv6対応状況
機能	IPv4	IPv6	備考
ポリシールーティング	○	○

表 3. デフォルトの動作状態
機能	状態	備考
ポリシールーティング	無効

フィルタルールのマッチ条件

任意のパラメータの組み合わせでパケットのマッチ条件を指定でき、条件にすべてマッチすると、指定の送信先へ転送します。

注:

ブロードキャストパケットおよびマルチキャストパケットは、IN方向のフィルタルールにマッチしません。

コンフィグに指定されたホスト名(FQDN)について、DNSを利用してIPアドレスを解決し、フィルタ適用条件とします。

名前解決に失敗した場合の動作

名前解決が失敗した場合は所定時間の経過後に再試行します。成功するまでの間は当該FQDNが設定されたフィルタルールは機能しません。

表 4. 名前解決の再試行間隔
条件	試行間隔
DNS応答がNXDOMAIN、NODATA、REFUSEDのいずれかであり、TTLが含まれる場合	TTLに従う
DNS応答にTTLが存在しない場合	300秒
DNS応答に含まれるTTLが異常な値（負の数）だった場合	900秒
DNS応答がSERVFAILまたは得られなかった場合	300秒

ターゲットホストの死活状況を監視し、応答状況とフィルタルールの有効性を連動させることができます。

注:

フィルタ設定において、複数の監視設定に同一の監視対象が設定されている場合は監視パケットの送信を集約します。

フィルタルールごとに、パケットがマッチした際のログへの出力の有無を制御可能です。

ログメッセージには、フィルタルールに設定されたラベル文字列を含みます。

注:

一つのログ出力に要するシステムリソースは非常に小さなものですが、多量のトラフィックが想定される環境においてマッチする頻度の高いルールのログ出力が有効な状態で運用すると、処理パフォーマンスに影響する可能性があります。

フィルタには評価順位があり、最初にマッチした一つのフィルタのルールに従い処理します。

処理順位は、コンフィグ記述上のインデックス番号の若い順（昇順）に評価します。動的フィルタにより生成される一時フィルタを含めた内部的な状態は、ステータス参照コマンドで参照できます。

コンフィグの再読込の際にフィルタルールの変更があった場合でも、適用処理過程で一時的にフィルタ処理が全体的に無効になることはありません。

入力方向

出力方向

注:

IPパケットフィルタによってパケットの入出力をブロックする必要がある場合は、条件が重複するポリシールーティングを設定しないでください。

IPパケットフィルタのブロック対象となるパケットであっても、ポリシールーティングのルールにマッチするパケットは、ポリシールーティングによって転送されます。

IPパケットフィルタとポリシールーティングの両方にマッチし得るパケットは、両方評価したうえでポリシールーティングによる転送が働きます。
- 入力されたパケットは、IPパケットフィルタのパスまたはブロック条件にマッチした場合でも、続いてポリシールーティングを評価し、マッチすると受信し転送されます。
- 出力するパケットは、ポリシールーティングの条件にマッチした場合は、続いてIPパケットフィルタの条件も評価しますが、パス・ブロックの結果によらず転送されます。

入力方向のポリシールーティングにマッチしたパケットは、出力方向のポリシールーティングにはマッチしません。
ポリシールーティングは、NAT/NAPTのようにパケットの送信元/送信先フィールド等を書き換えるものではありません。
パケットの送信先が経路表に存在しないパケットは、ポリシールーティングでの送信先制御もできません。
- デフォルト経路（"route add default"）が設定されている場合には問題となりません。