Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
Nesta página
 

Exemplo: Configuração de um filtro para contagem e amostra de pacotes aceitos

Este exemplo mostra como configurar um filtro de firewall sem estado padrão para contar e provar pacotes aceitos.

Requisitos

Nenhuma configuração especial além da inicialização do dispositivo é necessária antes de configurar este exemplo.

Antes de começar, configure a amostragem de tráfego incluindo a declaração no nível de hierarquia.sampling[edit forwarding-options]

Visão geral

Neste exemplo, você usa um filtro de firewall sem estado padrão para contar e provar todos os pacotes recebidos em uma interface lógica.

Nota:

Quando você habilita o encaminhamento de caminhos reversos (RPF) em uma interface com um filtro de entrada para log e contagem de firewalls, o filtro de firewall de entrada não registra os pacotes rejeitados pelo RPF, embora os pacotes rejeitados sejam contados. Para registrar os pacotes rejeitados, use um filtro de falha de verificação de RPF.

Aviso:

Nos roteadores da Série MX com MPC3 ou MPC4, se os filtros de firewall forem configurados para contar pacotes de protocolo de medição ativa de duas vias (TWAMP), a contagem é dobrada para todos os pacotes TWAMP. Também pode haver um pequeno aumento no tempo de ida e volta (RTT) quando o servidor TWAMP estiver hospedado no MPC3 ou MPC4. Este aviso não se aplica a roteadores com placas MPC1 ou MPC2.

Nota:

Em QFX5130 e QFX5700 quando um pacote atinge vários filtros de firewall que tem contra-ação, apenas o contador de grupos de maior prioridade aumentará. Por exemplo, suponha que o pacote tenha atingido um filtro IPACL (Port ACL) e um filtro IRACL (ACL roteado), ambos tendo contra-ação. De acordo com a prioridade, o IRACL tem alta prioridade em relação ao IPACL. Dessa forma, somente o contador do IRACL irá aumentar. Se não houver impacto no IRACL, o contador IPACL aumentará.

Abaixo está a ordem de prioridade dos ACLs configurados pelo usuário (do mais alto ao mais baixo),

  • Loopback

  • IRACL

  • IPACL

  • IVACL

Configuração

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter informações sobre como navegar na CLI, veja .Use o editor de CLI no modo de configuração

Para configurar este exemplo, execute as seguintes tarefas:

Configuração rápida da CLI

Para configurar rapidamente este exemplo, copie os seguintes comandos de configuração em um arquivo de texto, remova qualquer quebra de linha e cole os comandos na CLI no nível de hierarquia.[edit]

Configure o filtro de firewall stateless

Procedimento passo a passo

Para configurar o filtro de firewall sem estado:sam

  1. Crie o filtro de firewall sem estado .sam

  2. Configure o termo para contar e provar todos os pacotes.

Aplique o filtro de firewall sem estado em uma interface lógica

Procedimento passo a passo

Aplicar o filtro de firewall sem estado em uma interface lógica:

  1. Configure a interface lógica à qual você aplicará o filtro de firewall sem estado.

  2. Configure o endereço da interface para a interface lógica.

  3. Aplique o filtro de firewall sem estado na interface lógica.

    Nota:

    O Junos OS não amostra pacotes originados do roteador ou switch. Se você configurar um filtro e aplicá-lo ao lado de saída de uma interface, apenas os pacotes de trânsito que passam por essa interface serão amostrados. Os pacotes enviados do mecanismo de roteamento para o mecanismo de encaminhamento de pacotes não são amostrados.

Confirme e confirme a configuração do seu candidato

Procedimento passo a passo

Para confirmar e então confirmar a configuração do seu candidato:

  1. Confirme a configuração do filtro de firewall sem estado entrando no comando do modo de configuração.show firewall Se a saída de comando não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.

  2. Confirme a configuração da interface entrando no comando do modo de configuração.show interfaces Se a saída de comando não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.

  3. Se você terminar de configurar o dispositivo, confirme a configuração do seu candidato.

Verificação

Confirme se a configuração está funcionando corretamente.

Exibindo o contador de pacotes

Propósito

Verifique se o filtro de firewall está avaliando pacotes.

Ação

Exibindo a saída de log do filtro de firewall

Propósito

Exibir as informações do cabeçalho do pacote para todos os pacotes avaliados pelo filtro de firewall.

Ação

Significado

Este arquivo de saída contém os seguintes campos:

  • Time— Tempo em que o pacote foi recebido (não mostrado no padrão).

  • — Nome de um filtro que foi configurado com a declaração no nível de hierarquia.Filterfilter[edit firewall] Um hífen (-) ou a abreviação indica que o pacote foi tratado pelo Mecanismo de encaminhamento de pacotes.pfe Um espaço (sem hífen) indica que o pacote foi tratado pelo Mecanismo de Roteamento.

  • A— Filtrar a ação:

    • A— Aceite (ou no próximo termo)

    • D— Descarte

    • R— Rejeitar

  • Interface— Interface na qual o filtro está configurado.

    Nota:

    Recomendamos fortemente que você configure sempre explicitamente uma ação na declaração.then

  • Pro— Nome ou número do protocolo do packet.

  • Source address— Endereço IP de origem no pacote.

  • Destination address— Endereço IP de destino no pacote.

Exibindo a saída de amostragem

Propósito

Verifique se a saída de amostragem contém dados apropriados.

Ação

Tópicos relacionados