Configuração de filtros de firewall

• Para filtrar o tráfego de Camada 2 (porta ou VLAN), especifique o tipo de endereço da família.ethernet-switching

• Para filtrar o tráfego de Camada 3 (roteado), especifique o tipo de endereço da família ( para IPv4) ou ( para IPv6).inetinet6

• Para filtrar o tráfego de interface de circuito de Camada 2, especifique o tipo de endereço da família.ccc

Os nomes do filtro e do termo podem conter letras, números e hífens (-) e podem ter até 64 caracteres de comprimento. Cada nome do filtro deve ser único. Um filtro pode conter um ou mais termos, e cada nome de termo deve ser exclusivo dentro de um filtro.

Nesta configuração, o filtro é compatível com pacotes de Camada 2 que contêm a porta de origem 80.

Nesta configuração, o filtro é compatível com VLANs que contêm interface ge-0/0/6.0.

Você pode especificar uma ou mais condições de correspondência em uma única declaração.from Para que a correspondência ocorra, o pacote deve corresponder a todas as condições do termo. A declaração é opcional, mas se você incluí-la em um termo, ela não pode estar vazia.from Se você omitir a declaração, todos os pacotes serão considerados compatíveis.from

• Para especificar uma ação de filtro, por exemplo, descartar pacotes que correspondam às condições do termo filtro:

  Você pode especificar apenas uma ação por termo (, , , , , ou ).acceptdiscardfloodrejectrouting-instancevlan

• Especificar uma ação de filtro, por exemplo, para inundar pacotes que correspondam ao endereço MAC em QFX5100/QFX5110/QFX5120-32C/QFX5200/QFX5210:

  Você pode configurar os filtros de firewall baseados em porta de entrada para inundar ou descartar as seguintes BPDUs usando o endereço MAC de destino como condição de correspondência.

  Protocolos	Endereço de controle de acesso de mídia de destino (DMAC)	Ação de Firewall
  Protocolo de controle de agregação de enlaces (LACP)	01:80:c2:00:00:02	Inundação/descarte/contagem
  Protocolo de descoberta de camada de link (LLDP)	01:80:c2:00:00:0E	Inundação/descarte/contagem
  Protocolo de autenticação extensível sobre LAN (EAPOL)	01:80:c2:00:00:03	Inundação/descarte/contagem
  Protocolo spanning tree (STP)	01:80:c2:00:00	Inundação/descarte/Coun
  VLAN Spanning Tree Protocol (VSTP)	01:00:0c:cc:cc:cd	Inundação/descarte/contagem
  Cisco Discovery Protocol (CDP)/Protocolo de tronco VLAN (VTP)	01:00:0C:cc:cc:cc	Descarte/Conte
  ISIS L1	01:80:c2:00:14	Descarte/Conte
  ISIS L2	01:80:c2:00:15	Descarte/Conte

  Nota:

  • Os protocolos CDP/VTP, ISIS L1/L2 inundam usando o filtro dinâmico padrão. Portanto, a configuração de filtros adicionais para esses protocolos não é necessária.

  • Como os filtros de firewall baseados em porta de entrada são aplicados no nível da porta, apenas um filtro pode ser aplicado para uma interface física na configuração de estilo do provedor de serviços.

  • O VLAN nativo deve ser configurado para garantir a inundação dos BPDUs não registrados recebidos na porta do tronco. Se o VLAN nativo não estiver configurado, os BPDUs não registrados serão inundados em todas as interfaces do FPC local.

  • Quando a espionagem de IGMP ou a snooping multicast listener discovery (MLD) é habilitada, então, a funcionalidade de inundação não funciona.

  • Quando o filtro de firewall com ação contra enchentes for aplicado em uma interface e depois se a interface cair, os BPDUs recebidos nessa interface serão inundados se ele satisfaça as condições de correspondência.

• Especificar modificadores de ação, por exemplo, para contar e classificar pacotes para uma classe de encaminhamento:

  Você pode especificar qualquer um dos seguintes modificadores de ação em uma declaração:then

  • — Espelhar o tráfego de porta em um analisador especificado, que você deve configurar no nível.analyzer analyzer-name[ethernet-switching-options]

  • count counter-name— Conte o número de pacotes que passam por esse termo de filtro.

    Nota:

    Recomendamos que você configure um contador para cada termo em um filtro de firewall, para que possa monitorar o número de pacotes que correspondam às condições especificadas em cada termo do filtro.

    Nota:

    Nos switches QFX3500 e QFX3600, os filtros contam automaticamente pacotes que foram descartados na direção de entrada devido a erros de verificação de redundância cíclica (CRC).

  • forwarding-class class— Atribua pacotes a uma aula de encaminhamento.

  • log— Registre as informações do cabeçalho do pacote no Mecanismo de Roteamento.

  • loss-priority priority— Definir a prioridade de soltar um pacote.

  • policer policer-name— Aplicar limitações de taxa ao tráfego.

  • flood— Inunde os pacotes.

  • syslog— Registre um alerta para este pacote.

Se você omitir a declaração ou não especificar uma ação, são aceitos pacotes que correspondam a todas as condições da declaração.thenfrom Mas certifique-se de configurar sempre uma ação na declaração.then Você só pode incluir uma declaração de ação, mas pode usar qualquer combinação de modificadores de ação. Para que uma ação ou modificador de ação entre em vigor, todas as condições da declaração devem corresponder.from

• Para aplicar um filtro para combinar pacotes que ingressam na VLAN:

• Para aplicar um filtro de firewall para combinar com pacotes que saem da VLAN:

• Filtrar pacotes que entram na interface:

• Filtrar pacotes que saem da interface:

  O tipo de endereço familiar pode ser ( para IPv4) ou ( para IPv6).inetinet6