Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

示例:应用多个防火墙过滤器的列表

此示例说明如何应用多个防火墙过滤器的列表。

要求

开始之前,请确保您已:

  • 安装了路由器或交换机,并支持 PIC、DPC 或 MPC,并执行了初始路由器或交换机配置。

  • 在拓扑中配置基本以太网。

  • 配置了一个逻辑接口以运行 IP 版本 4 (IPv4) 协议 ( ),并配置了具有接口地址 family inet 的逻辑接口。此示例使用配置有ge-1/3/0.0 IP 地址 172.16.1.2/30 的逻辑接口。

    注:

    为了实现完整性,此示例的配置部分包括设置逻辑接口ge-1/3/0.0的 IP 地址。

  • 验证信息流是否在拓扑中流动,以及入口和出口 IPv4 流量是否通过逻辑接口ge-1/3/0.0流动。

  • 验证您是否有权访问连接到此路由器或交换机逻辑接口的远程主机 ge-1/3/0.0

概述

在此示例中,您将配置三个 IPv4 防火墙过滤器,并使用列表将每个过滤器直接应用到同一逻辑接口。

拓扑

此示例将以下防火墙过滤器应用于 逻辑接口的输入 过滤器列表 ge-1/3/0.0 。每个过滤器都包含一个搜索 IPv4 数据包的术语,并根据 TCP 标头中的destination port字段值接受数据包:

  • 过滤器 filter_FTP 与 FTP 端口号 ( ) 上匹配 21

  • 过滤器 filter_SSH 与 SSH 端口号 ( ) 匹配 22

  • 过滤器 filter_Telnet 与 Telnet 端口号 ( ) 上的匹配 23

如果入站数据包与输入列表中的任何过滤器都不匹配,则丢弃该数据包。

注:

Junos OS 按过滤器名称在列表中的显示顺序,在列表中使用过滤器。在这个简单的示例中,顺序无关紧要,因为所有过滤器都指定相同的操作。

任何过滤器均可单独应用于其他接口( input使用 or output语句)或与其他过滤器组合(使用input-list or output-list语句)。目标是配置多个"极简"防火墙过滤器,您可以在特定接口的过滤器列表中重复使用。

配置

下面的示例要求您在配置层次结构中导航各个级别。有关导航导航CLI,请参阅 在配置模式中使用 CLI 编辑器

CLI 快速配置

要快速配置此示例,请将以下命令复制到一个文本文件中,卸下任何换行符,然后将命令粘贴到[edit]层次结构级别的 CLI 中。

配置多个 IPv4 防火墙过滤器

分步过程

要配置 IPv4 防火墙过滤器:

  1. 将 CLI 导航到要在其中配置 IPv4 防火墙过滤器的层次结构级别。

  2. 配置第一个防火墙过滤器,以计数并接受端口 21 的数据包。

  3. 配置第二个防火墙过滤器,以计数并接受端口 22 的数据包。

  4. 配置第三个防火墙过滤器,以计数并接受来自端口 23 的数据包。

  5. 配置最后一个防火墙过滤器以统计丢弃的数据包。

将过滤器作为输入列表和输出清单应用于逻辑接口

分步过程

要将六个 IPv4 防火墙过滤器作为输入过滤器列表和输出过滤器的列表进行应用:

  1. 将 CLI 导航到层次结构级别,您可从中将 IPv4 防火墙过滤器应用于ge-1/3/0.0逻辑接口。

  2. 为逻辑接口配置 IPv4 协议系列。

  3. 将过滤器作为输入过滤器列表应用。

确认并提交您的候选配置

分步过程

要确认然后提交候选配置:

  1. 进入show firewall配置模式命令,确认防火墙过滤器的配置。如果命令输出未显示预期的配置,请重复此示例中的说明以更正配置。

  2. 进入show interfaces配置模式命令,确认接口配置。如果命令输出未显示预期的配置,请重复此示例中的说明以更正配置。

  3. 如果您完成了设备配置,请提交您的候选配置。

针对

确认配置是否正常工作。

验证入站数据包是否仅在目的地为 FTP、SSH 或 Telnet 端口时才被接受

用途

验证所有三个过滤器对于逻辑接口是否均处于活动状态。

行动

要根据以下三个过滤器验证输入数据包是否已被接受:

  1. 从连接到此路由器(或交换机)逻辑接口的远程主机,发送一个包头中目标端口 ge-1/3/0.0 号 21 的数据包。应接受数据包。

  2. 从连接到此路由器(或交换机)逻辑接口的远程主机,发送一个包头中目标端口 ge-1/3/0.0 号 22 的数据包。应接受数据包。

  3. 从连接到此路由器(或交换机)逻辑接口的远程主机,在标头中发送一个目的端口号 ge-1/3/0.0 为 23 的数据包。应接受数据包。

  4. 从连接到此路由器(或交换机)逻辑接口的远程主机发送数据包,其目标端口号不是 ge-1/3/0.0 21、22或 23。数据包应丢弃。

  5. 在进入ge-1/3/0.0-inet-ishow firewall filter ge-1/3/0.0-inet-i操作模式命令时显示应用于输入的过滤器列表的计数器信息。命令输出显示与以下计数器相关的过滤器术语匹配的字节数和数据包:

    • pkts_FTP-ge-1/3/0.0-inet-i

    • pkts_SSH-ge-1/3/0.0-inet-i

    • pkts_Telnet-ge-1/3/0.0-inet-i

    • pkts_discard-ge-1/3/0.0-inet-i