Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

配置防火墙过滤器

您可以在交换机中配置防火墙过滤器,以控制进入或退出第 3 层(路由)接口的流量。要使用防火墙过滤器,您必须配置过滤器,然后应用至第 3 层接口。

配置防火墙过滤器

要配置防火墙过滤器:

  1. 配置家族地址类型、过滤器名称、术语名称以及至少一个匹配条件—例如,在包含特定源地址的数据包上匹配:

    指定 IPv4 或inet IPv6 的inet6系列地址类型。

    过滤器和术语名称可以包含字母、数字和连字符(-),长度最高可达64个字符。每个过滤器名称都必须是唯一的。过滤器可以包含一个或多个术语,并且每个术语名称在过滤器中必须是唯一的。

  2. 配置附加的匹配条件。例如,匹配包含特定源端口的数据包:

    您可在单个from语句中指定一个或多个匹配条件。为实现匹配,数据包必须与术语中的所有条件匹配。该from语句是可选的,但如果包含在术语中,则不能为空。如果您省略该from语句,所有数据包都将被视为匹配。

  3. 如果要将防火墙过滤器应用于多个接口,并且能够查看每个接口特定的计数器,请配置以下interface-specific选项:
  4. 在每个防火墙过滤器术语中,指定数据包符合该术语中的所有条件时要采取的操作。您可以指定操作和操作修饰符:
    • 要指定过滤器操作,例如,丢弃符合过滤器术语条件的数据包:

      您可以为每个术语指定不多于accept一个discard操作rejectrouting-instance、、 vlan、或)。

    • 用于指定操作修饰符,例如用于对数据包进行计数并将其分类为转发类。例如:

    如果省略该then语句或不指定操作,将接受与from语句中的所有条件相匹配的数据包。但是,您应始终在then语句中显式配置一个操作。您只能包含一个操作语句,但您可以使用操作修饰符的任意组合。要使操作或操作修饰符生效, from语句中的所有条件都必须匹配。

    注:

    隐含放弃也适用于应用于回传接口的防火墙过滤器lo0

注:

有关匹配条件、操作和操作修改器的完整列表,请参阅 防火墙过滤器匹配条件和操作(QFX5100、QFX5110、QFX5120、QFX5200、EX4600、EX4650) 。请注意,在 OCX1100 交换机上,您只能使用对于 IPv4 和 IPv6 接口有效的匹配条件。

将防火墙过滤器应用于第3层(路由)接口

要将防火墙过滤器应用于第3层接口:

  1. 在将应用过滤器的接口配置中提供防火墙过滤器的有意义说明:
  2. 您可以应用防火墙过滤器过滤进入或退出第 3 层接口的数据包:
    • 要应用防火墙过滤器以过滤输入3层接口的数据包:

    • 要应用防火墙过滤器以过滤退出第3层接口的数据包:

    注:

    您只能将一个过滤器应用于给定方向(入口或出口)的接口。