Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

示例:在接口组上配置无状态防火墙过滤器

防火墙过滤器对于保护网络和简化网络管理至关重要。在 Junos OS 中,您可以配置无状态防火墙过滤器,以控制数据包在系统中的传输,并在必要时操作数据包。将无状态防火墙过滤器应用于接口组有助于过滤通过接口组中的每个接口经过的数据包。此示例说明如何配置标准无状态防火墙过滤器,以匹配标记为特定接口组的数据包。

要求

此示例使用以下硬件和软件组件:

  • 通过属于路由实例的接口物理或逻辑连接的任意两个瞻博网络路由器或交换机

  • 7.4 或更高版本 Junos OS

概述

您可以将无状态防火墙过滤器应用于接口组,以便在接口组中的所有接口上应用。这可帮助您同时管理各种接口上的数据包过滤。

在此示例中,将两个路由器或交换机接口配置为属于接口组。您还可以使用三个术语配置无状态防火墙过滤器。在短期term1内,过滤器会与在该接口组上标记为已接收的数据包匹配,并且包含 ICMP协议标记。过滤器会对匹配条件的数据包进行计数、记录和拒绝。在短期term2内,过滤器会与包含 ICMP 协议标记的数据包匹配。过滤器会对所有符合条件的数据包进行计数、记录和接受。在短期term3内,过滤器会对所有传输数据包进行计数。

通过将防火墙过滤器应用于路由实例,您可以同时在接口组中的所有接口上应用过滤机制。为此,接口组中的所有接口都必须属于一个路由实例。

注:

将防火墙过滤器应用于回传接口时,接口会过滤所有发往路由引擎的数据包。

图 1: 在接口组上配置无状态防火墙过滤器在接口组上配置无状态防火墙过滤器

CLI 快速配置显示中图 1所有设备的配置。本部分分步过程介绍了设备 R1 上的步骤。

配置

CLI 快速配置

要快速配置此示例,请复制以下命令,将其粘贴到文本文件中,删除任何换行符,更改与网络配置匹配的必要详细信息,将命令复制并粘贴到[edit]层次结构级别的 CLI 中,然后从commit配置模式进入。

设备 R0

设备 R1

在接口组上配置并应用无状态防火墙过滤器

分步过程

下面的示例要求您在配置层次结构中导航各个级别。有关导航应用程序CLI,请参阅 在配置模式中使用 CLI 编辑器 CLI 指南

要在接口组上配置filter_if_group无状态防火墙过滤器:

  1. 创建无状态防火墙过滤器filter_if_group

  2. 配置接口并为接口组1分配两个接口。

  3. 配置术语 term1 ,以匹配接口组和 1 ICMP 协议上收到的数据包。

  4. 将术语term1配置为计数、记录和拒绝所有匹配数据包。

  5. 配置术语term2 ,使其与 ICMP 协议匹配数据包。

  6. 将术语term2配置为计数、记录和接受所有匹配的数据包。

  7. 配置术语term3以计数所有传输数据包。

  8. 将防火墙过滤器应用于路由实例,以将防火墙过滤器应用于路由器(或交换机)接口组。

  9. 如果您完成了设备配置,请提交您的候选配置。

成果

从配置模式,通过发出show interfacesshow firewallshow forwarding-options命令来确认您的配置。如果输出未显示预期的配置,请重复此示例中的说明以更正配置。

针对

确认配置是否正常工作。

验证接口的配置

用途

验证接口是否配置正确。

行动

要显示接口的状态,请使用show interfaces terse操作模式命令。

设备 R0

设备 R1

含义

设备 R0 和 R1 上的所有接口均已物理连接。设备 R1 上1的接口组由两个接口组成,即 ge-0/0/0.0 和 ge-0/0/2.0。

验证无状态防火墙过滤器配置

用途

验证防火墙过滤器匹配条件是否正确配置。

行动

  • 要显示防火墙过滤器计数器,请输入显示防火墙 filter filter_if_group操作模式命令。

  • 要显示由防火墙过滤器评估的数据包的数据包标头的本地日志,请输入显示防火墙日志操作模式命令。

  • 要确保防火墙过滤器在设备 R1 上的接口组1中处于活动状态,请使用ping <address>设备 R0 的 CLI 上的操作模式命令。

  • 要确保未在不在接口组1中的接口上应用防火墙过滤器,请使用设备 R0 的 CLI ping <address>上的操作模式命令。

含义

无状态防火墙过滤器将应用于接口组1中的所有接口。无状态term1防火墙过滤器中的术语匹配条件用于对接口组1和源 ICMP 协议中的接口接收或发送的数据包进行计数、记录和拒绝。术语term2匹配条件匹配使用 ICMP 协议标记的数据包并计数、日志并接受这些数据包。术语term3匹配条件对所有传输数据包计数。