Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

了解作为列表应用的多个防火墙过滤器

本主题涵盖以下信息:

挑战:简化大规模防火墙过滤器管理

通常,您可以将单个防火墙过滤器应用于输入或输出方向上的接口,或者同时适用于两者。但是,如果设备配置有许多接口,则这种方法可能不可行。在大型环境中,您希望能够灵活地修改多个接口通用的过滤术语,而无需重新配置每个受影响接口的过滤器。

通常,解决方案是将多个防火墙过滤器的高效"链接"结构应用于单个接口。您可以将过滤术语划分为多个防火墙过滤器,每个筛选器执行一个过滤任务。然后,您可以选择要对给定接口执行的过滤任务,并将过滤任务应用于该界面。通过这种方式,只需在单个防火墙过滤器中管理过滤任务的配置。

Junos OS 策略框架提供了两个选项,用于管理多个独立防火墙过滤器到单独路由器接口的应用。一种选择是将多个过滤器作为单个输入列表或输出列表应用。另一种选择是从另一个防火墙过滤器的术语中引用防火墙过滤器。PTX10003 路由器上不支持此选项。

解决方案:应用防火墙过滤器列表

避免配置多个防火墙过滤器通用的重复过滤术语的最直接方法是配置多个防火墙过滤器,然后对每个接口应用定制的过滤器列表。Junos OS使用过滤器(它们按列表上出现的顺序)评估通过接口的数据包。如果您需要修改跨多个接口共享的过滤术语,则只需修改一个包含这些条款的防火墙过滤器。

筛选器列表的多个过滤器的配置

将防火墙过滤器配置为在每个路由器接口的唯一列表中应用,包括将共享数据包过滤规则与接口特定的数据包过滤规则分离,如下所示:

  • Unique filters—对于特定接口特有的每组数据包过滤规则,请配置一个单独的防火墙过滤器,其中仅包含该接口的过滤术语。

  • Shared filters— 对于两个或多个接口之间常见的每组数据包过滤规则,可以考虑配置一个单独的防火墙过滤器,其中包含共享过滤术语。

    提示:

    在规划要使用过滤器列表来应用的大型防火墙过滤器时,管理员通常会按过滤标准、客户订阅的服务或接口的用途来组织共享过滤器。

将过滤器列表应用到路由器接口

将防火墙过滤器列表应用于接口是选择符合该接口的数据包过滤要求的过滤器。对于每个接口,您可以在input-listfilter部分output-list内包含 or 语句(或两者)以指定相关过滤器的使用顺序:

  • 包括任何包含与接口相关的常见过滤术语的过滤器。

  • 包括仅包含接口独有的过滤术语的过滤器。

筛选器列表的接口特定名称

由于过滤器列表在接口下配置,因此得到的串连过滤器就是接口特定的。

注:

当在接口下配置过滤器列表时,得到的串连过滤器就是接口特定的,无论过滤器列表中的防火墙过滤器是否配置为接口特定的。此外,接口 specfic 防火墙过滤器的实例化不仅会创建任何防火墙过滤器计数器的单独实例,还会为任何监管器操作提供单独的实例。通过防火墙过滤器配置中指定的动作应用的任何监管器将分别应用于接口组中的每个接口。

接口特定过滤器的系统生成名称包含完整接口名称,然后是输入过滤器列表的 " " ,或输出过滤器列表的 -i-o " "。

  • Input filter list name—例如,如果您使用 语句将过滤器链应用于逻辑接口,Junos OS过滤器使用以下 input-list 名称: ge-1/3/0.0

  • Output filter list name—例如,如果您使用 语句将过滤器链应用于逻辑接口,Junos OS过滤器 output-listfe-0/1/2.0 使用以下名称:

注:

对于不断演进的 Junos OS,过滤器名称不同。例如,如果过滤器与 inet 系列绑定,则过滤器将命名为 ge-1/3/0/0-inet-ife-0/1/2.0-inet-o

输入指定防火墙过滤器名称的 Junos OS 操作模式命令 时,您可以使用过滤器列表的接口特定名称。

当匹配术语包括终止或下一术语操作时,过滤器列表如何评估数据包

设备将按顺序对列表中的过滤器进行评估,从列表中的第一个过滤器开始,直到发生终止操作或数据包隐式丢弃。

表 1介绍防火墙过滤器列表如何根据匹配术语是否指定终止操作和next term操作来评估数据包。操作 next term 不是终止操作,也不是非终止操作,而是 流控制 操作。

表 1: 防火墙过滤器列表行为

匹配术语中包含的防火墙过滤器操作

术语说明

数据包过滤行为

终止

下一个期限

匹配术语包含终止操作(如discard),但不包括操作next term

设备执行终止操作。筛选器中不存在后续术语,也不会使用列表中的后续过滤器来评估数据包。

匹配术语包括 next term 操作,但不包括任何终止操作。

设备执行任何 nonterminating 操作,然后设备根据过滤器中的下一术语或列表中的下一个过滤器评估数据包。

注:

在 Junos OS 演变时next term ,不能显示为操作的最后一项。指定为操作但next term不支持任何未配置任何匹配条件的过滤器术语。

匹配的术语既不包含next term操作,也不包括任何终止操作。

设备执行任何 nonterminating 操作,然后设备隐式接受数据包。由于accept操作是终止操作,因此不会在过滤器中出现后续术语,也不会使用列表中的后续过滤器来评估数据包。

有关终止操作的信息,请参阅 防火墙过滤器终止操作

注:

您不能使用next term相同防火墙过滤器术语中的终止操作来配置操作。

当列表包含协议无关的 IP 防火墙过滤器时,过滤器列表如何评估数据包

在与协议无关(family any)防火墙过滤器和协议特定(family inetfamily inet6)防火墙过滤器相关联的单个接口上,首先执行协议无关防火墙过滤器。

第一个过滤器的终止操作确定第二个过滤器是否也评估数据包:

  • 如果第一个过滤器通过执行accept操作终止,则第二个过滤器也会评估该数据包。

  • 如果第一个过滤器终止时没有与数据包匹配的术语(隐式 discard操作),则第二个过滤器也会评估该数据包。

  • 如果第一个过滤器通过执行显式 discard操作终止,则第二个过滤器不会评估该数据包。

PTX10003 路由器不支持在过滤器列表中组合与协议无关的过滤器。