适用于 EX 系列交换机的防火墙过滤器概述

防火墙过滤器提供的规则用于定义是允许、拒绝还是转发在瞻博网络EX 系列以太网交换机上的接口上从源地址传输到目标地址的数据包。您可以配置防火墙过滤器，以便在流量进入或退出应用防火墙过滤器的端口、VLAN 或第 3 层（路由）接口之前，确定是否允许、拒绝或转发流量。要应用防火墙过滤器，必须先配置过滤器，然后将其应用于端口、VLAN 或第 3 层接口。

您可以将防火墙过滤器应用于网络接口、聚合以太网接口（也称为链路聚合组（LAG））、环路接口、管理接口、虚拟管理以太网接口（VME）和路由 VLAN 接口（RVI）。有关在这些接口上支持防火墙过滤器的 EX 系列交换机的信息，请参阅 EX 系列交换机软件功能概述。

入口防火墙过滤器是应用于进入网络的数据包的过滤器。出口防火墙过滤器是应用于退出网络的数据包的过滤器。您可以配置防火墙过滤器，使数据包接受过滤、服务等级（CoS）标记（将相似类型的流量分组在一起，并将每种类型的流量视为具有自己服务优先级级别的类别）和流量监管（控制接口上发送或接收的最大流量速率）。

注意：

网络端口、第 2 层和第 3 层或 IRB 接口上的监管器不会监管主机绑定的流量。但是，如果您想防止 DDoS 攻击，则可以在 lo0 上创建一个防火墙过滤器来保护路由引擎。

防火墙过滤器类型

EX 系列交换机支持以下防火墙过滤器类型：

端口（第 2 层）防火墙过滤器 — 端口防火墙过滤器应用于第 2 层交换机端口。您可以在物理端口上的入口和出口方向上应用端口防火墙过滤器。
VLAN 防火墙过滤器 — VLAN 防火墙过滤器为进入 VLAN、在 VLAN 内桥接或离开 VLAN 的数据包提供访问控制。您可以在 VLAN 上的入口和出口方向上应用 VLAN 防火墙过滤器。VLAN 防火墙过滤器应用于转发至 VLAN 或从 VLAN 转发的所有数据包。
路由器（第 3 层）防火墙过滤器 — 您可以在第 3 层（路由）接口和路由 VLAN 接口（RVI）的入口和出口方向上应用路由器防火墙过滤器。您也可以在环路接口（lo0）的入口方向上应用路由器防火墙过滤器。在环路接口上配置的防火墙过滤器仅应用于发送到路由引擎 CPU 进行进一步处理的数据包。

您可以将端口、VLAN 或路由器防火墙过滤器应用于以下交换机 上的 IPv4 和 IPv6 流量：

EX4300 交换机
EX4400 交换机
EX4100 交换机
EX4100-F 交换机
EX4650 交换机

有关不同交换机支持的防火墙过滤器的信息，请参阅 EX 系列交换机上防火墙过滤器匹配条件、操作和操作修饰符的平台支持。

防火墙过滤器组件

在防火墙过滤器中，首先定义家族地址类型（以太网交换、 inet 或 inet6），然后定义一个或多个术语，用于指定发生匹配时要采取的过滤标准（指定为具有匹配条件的术语）和操作（指定为操作或操作修饰符）。

对于 EX 系列交换机，每个防火墙过滤器允许的最大术语数为：

在 EX4300 交换机上，对于在端口、VLAN 和第 3 层接口上配置的防火墙文件程序，入口和出口流量支持以下最大术语数：
- 对于入口流量：
  - 端口上配置的防火墙过滤器的 3500 个术语
  - VLAN 上配置的防火墙过滤器的 3500 个术语
  - 在第 3 层接口上为 IPv4 流量配置的防火墙过滤器的 7000 个术语
  - 在第 3 层接口上为 IPv6 流量配置的防火墙过滤器的 3500 个术语
- 对于 EX4300-MP 设备，入口支持与上述相同，但存在以下例外：
  - 3072 术语，用于在第 3 层接口上为 IPv4 流量配置的防火墙过滤器
- 对于出口流量：
  - 端口上配置的防火墙过滤器的 512 项术语
  - 关于在 VLAN 上配置的防火墙过滤器的 256 个术语
  - 在第 3 层接口上为 IPv4 流量配置的防火墙过滤器的 512 项
  - 在第 3 层接口上为 IPv6 流量配置的防火墙过滤器的 512 项术语
注意：
仅当在交换机上配置一种类型的防火墙过滤器（端口、VLAN 或路由器（第 3 层）防火墙过滤器）并且交换机中的任何接口均未启用风暴控制时，才能配置最大术语数。
对于 EX4400 交换机，对于在端口、VLAN 和第 3 层接口上配置的防火墙过滤器，入口和出口流量支持以下最大术语数。
- 对于入口流量：
  - 端口上配置的防火墙过滤器的 2048 条款。
  - VLAN 上配置的防火墙过滤器的 2048 条款。
  - 第 3 层接口上配置的防火墙过滤器的 2048 条款。
- 对于出口流量：
  - 端口上配置的防火墙过滤器的 1024 项术语。
  - VLAN 上配置的防火墙过滤器的 512 项术语。
  - 第 3 层接口上配置的防火墙过滤器的 1024 项术语。
对于 EX4100 交换机，对于在端口、VLAN 和第 3 层接口上配置的防火墙过滤器，入口和出口流量支持以下最大术语数。
- 对于入口流量：
  - 端口上配置的防火墙过滤器的 4092 项术语。
  - 4092 关于在 VLAN 上配置的防火墙过滤器术语。
  - 第 3 层接口上配置的防火墙过滤器的 4092 项术语。
- 对于出口流量：
  - 端口上配置的防火墙过滤器的 1024 项术语。
  - VLAN 上配置的防火墙过滤器的 512 项术语。
  - 第 3 层接口上配置的防火墙过滤器的 1024 项术语。
对于 EX4100-F 交换机，入口和出口流量、端口、VLAN 和第 3 层接口上配置的防火墙过滤器支持以下最大术语数。
- 对于入口流量：
  - 端口上配置的防火墙过滤器的 4092 项术语。
  - 4092 关于在 VLAN 上配置的防火墙过滤器术语。
  - 第 3 层接口上配置的防火墙过滤器的 4092 项术语。
- 对于出口流量：
  - 端口上配置的防火墙过滤器的 1024 项术语。
  - 511 关于在 VLAN 上配置的防火墙过滤器术语。
  - 第 3 层接口上配置的防火墙过滤器的 1024 项术语。
对于 EX4650 交换机，对于在端口、VLAN 和第 3 层接口上配置的防火墙过滤器，入口和出口流量支持以下最大术语数。
- 对于入口流量：
  - 端口上配置的防火墙过滤器的 1540 个术语
  - 1540 在 VLAN 上为 IPv4 流量配置的防火墙过滤器术语。
  - 在 VLAN 上为 IPv6 流量配置的防火墙过滤器的 101 项术语。
  - 1540 在第 3 层接口上为 IPv4 流量配置的防火墙过滤器术语。
  - 第 3 层接口上为 IPv6 流量配置的防火墙过滤器的 101 项术语。
- 对于出口流量：
  - 端口上配置的防火墙过滤器的 2050 条款。
  - 1020 关于在 VLAN 上为 IPv4 流量配置的防火墙过滤器条款。
  - 2050 第 3 层接口上配置的防火墙过滤器条款。
  - 101 在第 3 层接口上为 IPv6 流量配置的防火墙过滤器术语。

注意：

防火墙过滤器分为两个不同的池。端口和 VLAN 过滤器一起存储在一起（此池的内存阈值为 22K），而路由器防火墙过滤器单独存储在一起（此池的阈值为 32K）。分配基于筛选器池类型进行。可用空间块只能在属于同一过滤器池类型的防火墙过滤器之间共享。当您尝试配置超出 TCAM 阈值的防火墙过滤器时，将生成一条错误消息。

每个术语由以下部分组成：

匹配条件 — 指定数据包必须包含的值或字段。您可以定义各种匹配条件，包括 IP 源地址字段、IP 目标地址字段、传输控制协议（TCP）或用户数据报协议（UDP）源端口字段、IP 协议字段、互联网控制消息协议（ICMP）数据包类型、TCP 标志和接口。
操作 — 指定如果数据包与匹配条件匹配，该怎么办。可能的操作包括接受或丢弃数据包，或将数据包发送到特定的虚拟路由接口。此外，还可以对数据包进行计数以收集统计信息。如果未为某个术语指定任何操作，则默认操作是接受数据包。
操作修饰符 — 如果数据包与匹配条件匹配，则为交换机指定一个或多个操作。您可以指定操作修饰符，如计数、镜像、速率限制和分类数据包。

防火墙过滤器处理

防火墙过滤器配置中术语的顺序很重要。按照防火墙过滤器配置中列出的顺序，根据每个术语测试数据包。有关防火墙过滤器如何处理数据包的信息，请参阅了解如何评估防火墙过滤器。

本页内容

适用于 EX 系列交换机的防火墙过滤器概述

防火墙过滤器类型

防火墙过滤器组件

防火墙过滤器处理

相关文档