Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

防火墙过滤器配置准则

本主题涵盖以下信息:

用于配置防火墙过滤器的语句层次结构

要配置标准防火墙过滤器,您可以包括以下语句。对于 IPv4 标准防火墙过滤器,该语句family inet是可选的。对于 IPv6 标准防火墙过滤器,该语句family inet6是必需的。

您可将防火墙配置包括在以下层次结构级别之一:

  • [edit]

  • [edit logical-systems logical-system-name]

注:

对于无状态防火墙过滤,您必须允许通过防火墙过滤器的输出通道流量应用于到达通道目标的下一跳接口接口上的输入流量。防火墙过滤器仅影响通过通道退出路由器(或交换机)的数据包。

防火墙过滤器协议系列

防火墙过滤器配置特定于特定协议系列。在firewall语句下,包括以下其中一个语句,以指定要为其过滤流量的协议系列:

  • family any— 要过滤与协议无关的流量。

  • family inet—要过滤互联网协议版本 4 (IPv4) 流量。

  • family inet6—要过滤互联网协议版本 6 (IPv6) 流量。

  • family mpls— 要过滤MPLS流量。

  • family vpls—过滤虚拟专用 LAN 服务 (VPLS) 流量。

  • family ccc—要过滤第 2 层电路交叉连接 (CCC) 信息流。

  • family bridge— 仅针对 MX 系列 3D 通用边缘路由器过滤第 2 层桥接流量。

  • family ethernet-switching—过滤第 2 层(以太网)流量。

只有family family-name指定协议系列(不是 IPv4)才需要此语句。要配置 IPv4 防火墙过滤器, [edit firewall]您可以在层次结构级别配置过滤器,但不包括family inet语句,因为和[edit firewall][edit firewall family inet]层次结构级别是等同的。

注:

对于桥接家族过滤器 ,IP 协议 匹配标准仅支持用于 IPv4,而 IPv6 则不支持。这适用于支持 Junos Trio 芯片组(如 MX 3D MPC 线卡)的线卡。

防火墙过滤器名称和选项

family family-name语句下,您可以包括filter filter-name用于创建和命名防火墙过滤器的语句。过滤器名称可以包含字母、数字和连字符(-),长度最高可达64个字符。要将空格包含在名称中,请用引号 (" ") 将整个名称括起来。

[edit firewall family family-name filter filter-name]层次结构级别,以下语句是可选的:

  • accounting-profile

  • instance-shared(仅带有模块化端口集中器(MPC)的 MX 系列路由器)

  • interface-specific

  • physical-interface-filter

防火墙过滤器术语

filter filter-name语句下,您可以包括term term-name用于创建和命名过滤器术语的语句。

  • 您必须在防火墙过滤器中至少配置一个术语。

  • 您必须为防火墙过滤器内的每个术语指定唯一名称。术语名称可以包含字母、数字和连字符(-),长度最高可达64个字符。要将空格包含在名称中,请用引号 (" ") 将整个名称括起来。

  • 在防火墙过滤器配置中指定术语的顺序至关重要。防火墙过滤器术语按其配置顺序进行评估。默认情况下,新术语始终添加到现有过滤器的末尾。您可以使用insert配置模式命令对防火墙过滤器的条款进行重新排序。

[edit firewall family family-name filter filter-name term term-name]层次结构级别, filter filter-name语句在同一词fromthen语句中无效。此filter filter-name语句包含在此层次结构级别中,用于嵌套防火墙过滤器。

防火墙过滤器匹配条件

防火墙过滤器匹配条件特定于被过滤的信息流类型。

除了带MPLS IPv4 或 IPv6 信息流之外,您可以在 语句下指定术语的匹配 from 条件。对于MPLS标记的 IPv4 信息流,您可以在语句下指定术语的 IPv4 地址特定匹配条件,在语句下指定术语 ip-version ipv4 的 IPv4 端口特定匹配条件。 protocol (tcp | udp)

对于MPLS标记的 IPv6 流量,您可以在语句下指定术语的 IPv6 地址特定匹配条件,以及语句下术语 ip-version ipv6 的 IPv6 端口特定匹配条件。 protocol (tcp | udp)

表 1介绍了可为其配置防火墙过滤器的信息流类型。

表 1: 防火墙过滤器符合协议系列的条件

流量类型

指定匹配条件的层次结构级别

协议无关

[edit firewall family any filter filter-name term term-name]

有关匹配条件的完整列表,请参阅防火墙的筛选器匹配条件,以实现协议无关的信息流

IPv4

[edit firewall family inet filter filter-name term term-name]

有关匹配条件的完整列表,请参阅IPv4 流量的防火墙过滤器匹配条件

IPv6

[edit firewall family inet6 filter filter-name term term-name]

有关匹配条件的完整列表,请参阅IPv6 流量的防火墙过滤器匹配条件

MPLS

[edit firewall family mpls filter filter-name term term-name]

有关匹配条件的完整列表,请参阅防火墙过滤器匹配条件以获取 MPLS 流量

流中的 IPv4 MPLS地址

[edit firewall family mpls filter filter-name term term-name ip-version ipv4 ]

有关匹配条件的完整列表,请参阅防火墙过滤器匹配条件,了解 MPLS 标记的 IPv4 或 IPv6 流量

流中的 IPv4 MPLS

[edit firewall family mpls filter filter-name term term-name ip-version ipv4 protocol (tcp | udp)]

有关匹配条件的完整列表,请参阅防火墙过滤器匹配条件,了解 MPLS 标记的 IPv4 或 IPv6 流量

流中的 IPv6 MPLS地址

[edit firewall family mpls filter filter-name term term-name ip-version ipv6 ]

有关匹配条件的完整列表,请参阅防火墙过滤器匹配条件,了解 MPLS 标记的 IPv4 或 IPv6 流量

流中的 IPv6 MPLS端口

[edit firewall family mpls filter filter-name term term-name ip-version ipv6 protocol (tcp | udp)]

有关匹配条件的完整列表,请参阅防火墙过滤器匹配条件,了解 MPLS 标记的 IPv4 或 IPv6 流量

VPLS

[edit firewall family vpls filter filter-name term term-name]

有关匹配条件的完整列表,请参阅VPLS 流量的防火墙过滤器匹配条件

2 层 CCC

[edit firewall family ccc filter filter-name term term-name]

有关匹配条件的完整列表,请参阅2 层 CCC 流量的防火墙过滤器匹配条件

第 2 层桥接

(仅 MX 系列路由器和 EX 系列交换机)

[edit firewall family bridge filter filter-name term term-name]

[edit firewall family ethernet-switching filter filter-name term term-name](仅适用于 EX 系列交换机)

有关匹配条件的完整列表,请参阅第2层桥接信息流的防火墙过滤器匹配条件

如果在匹配条件(、 或匹配条件)中指定 IPv6 地址,请使用 addressdestination-addresssource-address RFC 4291"IP 版本 6寻址架构"中介绍的文本表示语法。有关 IPv6 地址的详细信息,请参阅IPv6 概述受支持的 IPv6 标准

防火墙过滤器操作

在防火墙then过滤器术语的语句下,您可以指定要对符合此术语的数据包执行的操作。

表 2汇总了可在防火墙过滤器术语中指定的操作类型。

表 2: 防火墙过滤器操作类别

操作类型

Description

评论

终止

停止特定数据包对防火墙过滤器的所有评估。路由器(或交换机)执行指定的操作,不会使用其他术语来检查数据包。

您只能在防火墙过滤器术语中指定一个终止操作。但是,您可以在一个术语中为一个或多个nonterminating 操作指定一个终止操作。例如,在一个术语中,您可以使用acceptcount and syslog指定。无论包含终止操作的术语数量如何,系统在某个术语内处理终止操作后,整个防火墙过滤器的进程就会停止。

请参阅防火墙过滤器终止操作

Nonterminating

在数据包上执行其他功能(例如,递增计数器、记录有关数据包标头的信息、采样数据包数据或使用系统日志功能将信息发送到远程主机),但任何附加术语都用于检查数据包.

所有 nonterminating 操作都包括隐式接受操作。如果在同一术语中未配置其他终止操作,则执行此接受操作。

请参阅防火墙过滤器 Nonterminating 操作

流控制

仅限标准防火墙过滤器,此next term操作会指示路由器(或交换机)对数据包执行配置的操作,而不是终止过滤器,而是使用过滤器中的下一术语来评估数据包。如果包括next term此操作,则会根据防火墙过滤器中的下一术语评估匹配数据包。否则,将不对防火墙过滤器中的后续术语评估匹配数据包。

例如,使用非终止操作配置术语时,术语的操作从隐式更改 countdiscard 为隐式 accept 。该next term操作会强制执行防火墙过滤器的继续评估。

您无法使用 next term 相同过滤器术语中的终止操作来配置操作。但是,您可以将下一术语操作配置为同一过滤器术语中的另一个 nonterminating 操作。

每个标准防火墙过滤器配置最多支持 1024 next term 个操作。如果您配置的标准防火墙过滤器超过此限制,您的候选配置将导致提交错误。

注:

在 Junos OS 演变时next term ,不能显示为操作的最后一项。指定为操作但next term不支持任何未配置任何匹配条件的过滤器术语。