Visão geral das instâncias de filtro de firewall específicas da interface
Instanciação de filtros de firewall específicos para interface
Nos roteadores da Série T, M120, M320 e Série MX, você pode permitir que o Junos OS crie automaticamente uma instância específica de interface de um filtro de firewall para cada interface à qual você aplica o filtro. Se você habilitar a instanciação específica da interface de um filtro de firewall e então aplicar esse filtro em várias interfaces, quaisquer count
ações ou policer
ações configuradas nos termos do filtro atuam no fluxo de tráfego entrando ou saindo de cada interface individual, independentemente da soma do tráfego nas múltiplas interfaces.
Você pode habilitar essa opção por filtro de firewall, incluindo a interface-specific
declaração na configuração do filtro.
Nos roteadores da Série T, M120, M320 e Série MX, as interfaces são distribuídas entre vários componentes de encaminhamento de pacotes.
A filtragem de firewall específica de interface não é suportada em roteadores da Série M que não sejam os roteadores M120 e M320. Se você aplicar um filtro de firewall em várias interfaces em um roteador da Série M que não seja os roteadores M120 ou M320, o filtro age na soma do tráfego entrando ou saindo dessas interfaces.
A filtragem de firewall específica de interface é suportada para filtros de firewall sem estado padrão e para filtros de serviço. Instâncias específicas da interface não são suportadas para filtros simples.
Um filtro de firewall não pode ser tanto específico da interface quanto compartilhado por interface.
Nomes específicos de interface para instâncias de filtro de firewall
Quando o Junos OS cria uma instância separada de um filtro de firewall para uma interface lógica, a instância é associada a um nome específico da interface. O nome gerado pelo sistema de uma instância de filtro de firewall consiste no nome do filtro configurado seguido por um hífen (''-
), o nome completo da interface e '-i
' para uma instância de filtro de entrada ou '-o
' para uma instância de filtro de saída.
Input filter instance name— Por exemplo, se você aplicar o filtro
filter_s_tcp
de firewall específico da interface à entrada na interfaceat-1/1/1.0
lógica, o Junos OS instancia uma instância de filtro específica da interface com o seguinte nome gerado pelo sistema:filter_s_tcp-at-1/1/1.0-i
Output filter instance name— Por exemplo, se você aplicar o filtro
filter_s_tcp
de firewall específico da interface à saída na interfaceso-2/2/2.2
lógica, o Junos OS instancia uma instância de filtro específica da interface com o seguinte nome gerado pelo sistema:count_s_tcp-so-2/2/2.2-o
Você pode usar o nome específico da interface de uma instância de filtro quando digita um comando de modo operacional Junos OS que especifica um nome de filtro de firewall sem estado.
Quando você configura um filtro de firewall com instâncias específicas da interface habilitadas, recomendamos que você limite o nome do filtro a 52 bytes de comprimento. Isso porque os nomes do filtro de firewall são restritos a 64 bytes de comprimento. Se um nome de instância de filtro gerado pelo sistema exceder esse comprimento máximo, o software da estrutura de políticas pode rejeitar o nome da instância.
Contadores de filtro de firewall específicos para interface
A instanciação de filtros de firewall específicos de interface faz com que o Mecanismo de encaminhamento de pacotes mantenha quaisquer contadores para o filtro de firewall separadamente para cada interface. Você especifica contadores específicos de interface por termo de filtro de firewall especificando a ação count counter-name
que não termina.
O nome gerado pelo sistema de um contador de filtro de firewall específico da interface consiste no nome do contador configurado seguido por um hífen ('-
'), o nome completo da interface e '-i
' para uma instância de filtro de entrada ou '-o
' para uma instância de filtro de saída.
Interface-specific input filter counter name— Por exemplo, suponha que você configure o contador
count_tcp
de filtros para um filtro de firewall específico da interface. Se o filtro for aplicado à entrada na interfaceat-1/1/1.0
lógica, o Junos OS cria o seguinte nome de contraponto gerado pelo sistema:count_tcp-at-1/1/1.0-i
Interface-specific output filter counter name— Por exemplo, suponha que você configure o contador
count_udp
de filtros para um filtro de firewall específico da interface. Se o filtro for aplicado à saída na interfaceso-2/2/2.2
lógica, o Junos OS cria o seguinte nome de contraponto gerado pelo sistema:count_udp-so-2/2/2.2-o
Roteadores de filtro de firewall específicos para interface
A instanciação de filtros de firewall específicos de interface não só cria instâncias separadas de quaisquer contadores de filtro de firewall, mas também cria instâncias separadas de qualquer ação do policiador. Todos os policiais aplicados por meio de uma ação especificada na configuração do filtro de firewall são aplicados separadamente a cada interface no grupo de interface. Você especifica policiais específicos de interface por termo de filtro de firewall especificando a ação policer policer-name
sem terminação.