Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

防火墙过滤器概述(QFX 系列)

防火墙过滤器(有时称为 访问控制列表 (ACL))提供定义是接受还是丢弃通过接口的数据包的规则。如果接受数据包,您可以在数据包上配置更多操作,例如服务等级 (CoS) 标记(将类似类型的流量分组在一起,并将每种类型的流量视为一类,并具有自己的服务优先级)和流量管制(控制发送或接收的最大流量速率)。

您可以配置防火墙过滤器,以确定在数据包进入或退出端口、VLAN、2 层 CCC、第 3 层(路由)接口、路由的 VLAN 接口 (RVI) 或 MPLS 接口之前,该数据包在何处接受或丢弃数据包。

入口(输入) 防火墙过滤器应用于进入接口或 VLAN 的数据包,并且出口(输出)防火墙过滤器应用于退出接口或 VLAN 的数据包。

您可以将过滤器应用到何处

配置防火墙过滤器后,可将其应用于以下内容:

  • 端口 — 过滤器第 2 层信息流传输系统端口。

  • VLAN — 过滤器并为进入 VLAN、在 VLAN 中桥接或离开 VLAN 的 2 层数据包提供访问控制。

  • 第 3 层(路由)接口 — 过滤 IPv4 和 IPv6 接口、路由 VLAN 接口 (RVI) 和环路接口上的流量。环路接口过滤发送至交换机本身或由交换机生成的信息流。

  • 第 2 层 CCC 接口 — 过滤第 2 层电路交叉连接 (CCC) 接口。

  • MPLS — 过滤 MPLS 接口。

您还可以将防火墙过滤器应用于 QFX 和 EX4600 独立交换机上的管理接口(例如 me0)。您无法将过滤器应用于 QFX3000-G 或 QFX3000-M 系统上的管理接口。

注:

对于给定方向,您只能将一个防火墙过滤器应用于端口、VLAN 或 2 层 CCC 接口。例如,对于接口 ge-0/0/6.0,您可以为入口方向应用一个过滤器,为出口方向应用一个过滤器。

  • (QFX 系列)从 Junos OS 13.2X51-D15 版开始,您可以将过滤器应用于出口方向上的环路接口。

  • (QFX10000)从 Junos OS 18.2R1 版开始,您可以在第 2 层电路接口上应用入口和出口防火墙过滤器 count ,并 discard 作为监管器操作。

  • (QFX10002-36Q、QFX10002-72Q、QFX10002-60C、QFX10008、QFX10016、PTX10008、PTX10016)从 Junos OS 19.2R1 版开始,您可以在 IPv4 和 loss-priority IPv6 接口上的出口方向上应用interfaceforwarding-class和匹配条件。

防火墙过滤器的组成

配置防火墙过滤器时,将定义家族地址类型(以太网交换、inet(适用于 IPv4)、inet6(适用于 IPv6)、电路交叉连接 (CCC) 或 MPLS)、过滤标准(具有匹配条件的条款)以及在匹配时应采取的操作。

每个术语都由以下内容组成

  • 匹配条件 — 数据包必须包含的值才能被视为匹配项。您可以为 IP、TCP、UDP 或 ICMP 标头中的大多数字段指定值。您还可以在接口名称上匹配。

  • 操作 — 如果数据包与匹配条件匹配,则采取的操作。您可以将防火墙过滤器配置为接受、丢弃或拒绝匹配的数据包,然后执行更多操作,例如计数、分类和管制。默认操作为接受。

防火墙过滤器的处理方式

如果过滤器中存在多个术语,则术语的顺序很重要。如果数据包与第一个术语匹配,交换机将执行该术语定义的操作,并且无需评估其他术语。如果交换机未在数据包和第一个术语之间找到匹配项,则会将数据包与下一个术语进行比较。如果数据包与第二个术语之间没有匹配,系统将继续将数据包与过滤器中的每个连续术语进行比较,直到找到匹配项。如果未匹配条款,交换机默认丢弃数据包。

发布历史记录表
版本
说明
19.2R1
(QFX10002-36Q、QFX10002-72Q、QFX10002-60C、QFX10008、QFX10016、PTX10008、PTX10016)从 Junos OS 19.2R1 版开始,您可以在 IPv4 和 loss-priority IPv6 接口上的出口方向上应用interfaceforwarding-class和匹配条件。
18.2R1
(QFX10000)从 Junos OS 18.2R1 版开始,您可以在第 2 层电路接口上应用入口和出口防火墙过滤器 count ,并 discard 作为监管器操作。
13.2X51-D15
(QFX 系列)从 Junos OS 13.2X51-D15 版开始,您可以将过滤器应用于出口方向上的环路接口。