Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

防火墙过滤器概述 (QFX 系列)

防火墙过滤器有时称为访问控制列表(acl),提供定义是否接受或丢弃经过接口的数据包的规则。如果接受数据包,则可以在数据包上配置更多操作,如服务等级(CoS)标记(将类似类型的信息流组合在一起,并将每种类型的信息流视为具有自己的服务优先级级别的类)和流量管制(控制发送或接收的信息流的最大速率。

您可以配置防火墙过滤器,以确定在何处接受或丢弃数据包,然后再进入或退出端口、VLAN、2层 CCC、3层(路由)接口、路由 VLAN 接口(RVI)或 MPLS 接口。

入口(输入) 防火墙过滤器应用于进入接口或 vlan 的数据包,而出口(输出)防火墙过滤器则应用于正在退出接口或 vlan 的数据包。

您可以在哪里应用过滤器

配置防火墙过滤器之后,可将其应用于以下内容:

  • 端口 — 过滤器 通过系统端口传输第 2 层流量。

  • VLAN — 过滤器为进入 VLAN、在 VLAN 内桥接或离开 VLAN 的 2 层数据包提供访问控制。

  • 第 3 层(路由)接口—过滤 IPv4 和 IPv6 接口、路由的 VLAN 接口 (RVI) 和环路接口上的流量。回传接口可过滤发送至交换机本身或由交换机生成的流量。

  • 第 2 层 CCC 接口 — 过滤器第 2 层电路交叉连接 (CCC) 接口。

  • MPLS — 过滤MPLS接口。

您也可将防火墙过滤器应用于 QFX 上的管理接口(例如 me0),并 EX4600 独立交换机。对于管理接口或多系统上的管理QFX3000-G QFX3000-M。

注:

您只能将一个防火墙过滤器应用于给定方向的端口、VLAN 或2层 CCC 接口。例如,对于接口 ge-0/0/6.0,您可以将一个过滤器应用于入向方向,另一个用于出口方向。

  • (QFX 系列)从 Junos OS Release 13.2 X51-D15,您可以将过滤器应用于出口方向上的回传接口。

  • (QFX10000)从 Junos OS Release 18.2 R1 开始,您可以对第2层电路接口上countdiscard监管器操作应用入口和出口防火墙过滤器。

  • (QFX10002-QFX10000-36Q,QFX10002-QFX10002-72Q,QFX10002,QFX10002-60C,QFX10008,QFX10016,PTX10008)从 Junos OS 版本 19.2 r1 开始,您可以在 IPv4 interfaceforwarding-classIPv6 接口loss-priority的出口方向上应用、和匹配条件。

防火墙过滤器的组成

配置防火墙过滤器时,可以定义系列地址类型(以太网交换、inet (用于 IPv4)、inet6 (对于 IPv6)、电路交叉连接(CCC)或 MPLS)、过滤标准(条件和符合条件)以及要在发生匹配时采取的措施。

每个术语都由以下

  • 匹配条件 — 数据包必须包含的值,被视为匹配。您可以为 IP、TCP、UDP 或 ICMP 标头中的大多数字段指定值。您也可与接口名称匹配。

  • 操作 — 如果数据包符合匹配条件,则采取的操作。您可以将防火墙过滤器配置为接受、丢弃或拒绝匹配的数据包,然后执行更多操作,例如计数、分类和监管。默认操作为 "接受"。

如何处理防火墙过滤器

如果过滤器中有多个词,则条款的顺序至关重要。如果数据包与第一项匹配,交换机将执行该术语定义的操作,并且不会评估其他任何条款。如果交换机未找到数据包与第一个术语之间的匹配,会将数据包与下一术语进行比较。如果数据包和第二项之间不存在匹配项,系统会继续将数据包与过滤器中的每个后续术语进行比较,直到找到匹配项。如果没有匹配的术语,交换机将默认丢弃数据包。

发布历史记录表
版本
说明
19.2R1
(QFX10002-QFX10000-36Q,QFX10002-QFX10002-72Q,QFX10002,QFX10002-60C,QFX10008,QFX10016,PTX10008)从 Junos OS 版本 19.2 r1 开始,您可以在 IPv4 interface和forwarding-classIPv6 接口loss-priority的出口方向上应用、和匹配条件。
18.2R1
(QFX10000)从 Junos OS Release 18.2 R1 开始,您可以对第2层电路接口上count的discard监管器操作应用入口和出口防火墙过滤器。
13.2X51-D15
(QFX 系列)从 Junos OS Release 13.2 X51-D15,您可以将过滤器应用于出口方向上的回传接口。