Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
在本页
 

配置防火墙过滤器

按照以下部分中的步骤在交换机上配置和应用防火墙过滤器。

配置防火墙过滤器

要配置防火墙过滤器：

  1. 配置家族地址类型、过滤器名称、术语名称和至少一个匹配条件，例如，对包含特定源地址的数据包进行匹配。

    • 要过滤第 2 层流量（端口或 VLAN），请指定家族地址类型 ethernet-switching。

    • 要过滤第 3 层（路由）流量，请指定家族地址类型（inet 适用于 IPv4）或（inet6 适用于 IPv6）。

    • 要过滤第 2 层电路接口流量，请指定家族地址类型 ccc。

    过滤器和术语名称可包含字母、数字和连字符 （-），最长为 64 个字符。每个过滤器的名称都必须唯一。过滤器可以包含一个或多个术语，并且每个术语名称在过滤器中必须唯一。

  2. 配置其他匹配条件。例如：

    在此配置中，过滤器匹配包含源端口 80 的第 2 层数据包。

    在此配置中，过滤器匹配包含接口 ge-0/0/6.0 的 VLAN。

    您可以在单个 from 语句中指定一个或多个匹配条件。要进行匹配，数据包必须匹配术语中的所有条件。语句 from 是可选的，但如果将其包含在术语中，则不能为空。如果省略该 from 语句，则所有数据包均被视为匹配。

  3. 如果想对多个接口应用防火墙过滤器并能够查看特定于每个接口的计数器，请 interface-specific 配置以下选项：
  4. 在每个防火墙过滤器术语中，指定如果数据包与该术语中的所有条件匹配时要采取的操作。您可以指定操作和操作修改符：

    • 例如，要指定过滤器操作以丢弃与过滤器术语条件匹配的数据包：

      每个术语acceptdiscard（、flood、rejectrouting-instance或vlan）只能指定一个操作。

    • 例如，要指定过滤器操作，以泛洪与 QFX5100/QFX5110/QFX5120-32C/QFX5200/QFX5210 上的 MAC 地址匹配的数据包：

      您可以将基于入口端口的防火墙过滤器 配置为目标 MAC 地址作为匹配条件，以泛洪或丢弃以下 BPDUS。

      协议

      目标媒体访问控制 （DMAC） 地址

      防火墙操作

      链路聚合控制协议 (LACP)

      01:80:c2:00:00:02

      泛洪/丢弃/计数

      链路层发现协议 (LLDP)

      01:80:c2:00:00:0E

      泛洪/丢弃/计数

      基于 LAN 的可扩展身份验证协议 （EAPOL）

      01:80:c2:00:00:03

      泛洪/丢弃/计数

      生成树协议 (STP)

      01:80:c2:00:00:00

      泛洪/丢弃/Coun

      VLAN 生成树协议 (VSTP)

      01:00:0c:cc:cc:cd

      泛洪/丢弃/计数

      Cisco 发现协议 （CDP）/VLAN 中继协议 （VTP）

      01:00:0C:cc:cc:cc

      丢弃/计数

      ISIS L1

      01:80:c2:00:00:14

      丢弃/计数

      伊西斯 L2

      01:80:c2:00:00:15

      丢弃/计数
      注：

      • CDP/VTP、ISIS L1/L2 协议使用默认动态过滤器泛洪。因此，无需为这些协议配置其他过滤器。

      • 由于基于入口端口的防火墙过滤器 在端口级别应用，因此在服务提供商样式配置中只能对物理接口应用一个过滤器。

      • 必须配置本机 VLAN，以确保中继端口上接收的未标记 BPTU 泛洪。如果未配置本机 VLAN，则未标记的 BPDUS 将在本地 FPC 中的所有接口上泛洪。

      • 如果启用了 IGMP 侦听或组播侦听发现 （MLD） 侦听，则泛洪功能不起作用。

      • 当在某个接口上应用具有泛洪操作的防火墙过滤器时，如果接口关闭，则在满足匹配条件时，该接口上收到的 BPTU 将会泛洪。

    • 例如，要指定操作修改符，以便对数据包进行计数和分类转发类：

      您可以在语句中指定以下任一 then 操作修改符：

      • analyzer analyzer-name—将端口流量镜像到指定的分析器，您必须在级别进行 [ethernet-switching-options] 配置。

      • count counter-name-计算通过此过滤器术语的数据包数。

        注：

        我们建议为防火墙过滤器中的每个术语配置一个计数器，以便可以监控与每个过滤器术语指定条件匹配的数据包数量。

        注：

        在 QFX3500 和 QFX3600 交换机上，过滤器会自动对由于循环冗余校验 （CRC） 错误在入口方向丢弃的数据包进行计数。

      • forwarding-class class- 将数据包分配给转发类。

      • log-在路由引擎中记录数据包标头信息。

      • loss-priority priority- 设置丢弃数据包的优先级。

      • policer policer-name-对流量应用速率限制。

      • flood-泛洪数据包。

      • syslog-记录此数据包的警报。

    如果省略语句 then 或未指定操作，则接受与语句中所有条件匹配的 from 数据包。但请确保始终在语句中 then 配置操作。您只能包含一个操作语句，但可以使用操作修改符的任意组合。要使操作或操作修改符生效，语句中的所有 from 条件都必须匹配。

    注：

    应用于 implicit discard 环路接口 lo0的防火墙过滤器的操作。

配置增强型出口防火墙过滤器（QFX5110 和 QFX5220 交换机）

由于硬件限制，QFX5110 和 QFX5220 最多只能支持 1000 个出口防火墙过滤器 （ERAC）。您可以通过在扩展模式下配置交换机，将此数字增加到 2000。在此模式下，交换机使用入口 TCAM 空间 （IFP） 来实现更大的规模。

要配置出口过滤器，请指定家族地址类型（inet 适用于 IPv4）或（inet6 适用于 IPv6）、过滤器名称和术语名称。为交换机包括适用的扩展选项，并指定匹配条件，并在发生匹配时采取的操作。然后，在接口上的输出方向应用过滤器。

配置、修改或删除扩展选项后，必须提交配置，并且必须重新启动数据包转发引擎 （PFE）。

要增加 QFX5110 上的出口过滤器数量，请将选项 egress-to-ingress 包含在配置中。您可以随时添加此选项。以下是示例配置：

要增加 QFX5220 上的出口过滤器数量，请将eracl-scale 选项包含在语句下egress-profile 。以下是示例配置：

注：

选项 eracl-scale 以全局模式配置。启用后，将在扩展模式下自动重新安装现有出口过滤器。

启用扩展模式时，以下限制适用：

  • 您只能在出口方向（退出 VLAN 的流量）应用过滤器。

  • 仅 inet 支持协议家族和 inet6 协议家族。

  • 不支持通用路由封装 （GRE） 接口。

  • 仅对出口防火墙过滤器使用扩展选项。

  • 您不能将匹配条件相同的过滤器应用于不同的出口 VLAN 或第 3 层接口。唯一支持的操作是 accept、 discard和 count。

  • 匹配条件在入口防火墙过滤器 TCAM 中编程。这意味着，连接到过滤器的任何计数器会统计任何传入 VLAN 上的流量。

将防火墙过滤器应用于端口

要对端口应用防火墙过滤器：

  1. 为防火墙过滤器提供有意义且描述性的名称。名称就是将过滤器应用于端口时使用的名称。
  2. 将过滤器应用于接口，指定单元号、家族地址类型 （ethernet-switching）、过滤器的方向（对于进入端口的数据包）和过滤器名称：
    注：

    您只能对入口方向上的端口应用一个过滤器。

将防火墙过滤器应用于 VLAN

注：

EVPN-VXLAN 环境中的 QFX5100、QFX5100 虚拟机箱、QFX5110 和 QFX5120 交换机不支持 VLAN 防火墙过滤器。

将防火墙过滤器应用于 VLAN：

  1. 为防火墙过滤器提供有意义且描述性的名称。这个名称就是您用于将过滤器应用于 VLAN 时使用的名称。
  2. 应用防火墙过滤器以过滤进出 VLAN 的数据包：

    • 要应用过滤器以匹配进入 VLAN 的数据包：

    • 要应用防火墙过滤器以匹配退出 VLAN 的数据包：

    注：

    对于给定方向（入口或出口），您只能对 VLAN 应用一个过滤器。

将防火墙过滤器应用于第 3 层（路由）接口

您可以将防火墙过滤器应用于 IPv4 和 IPv6 接口、路由 VLAN 接口 （RVI） （也称为集成路由和桥接 （IRB） 接口）以及环路接口。所有这些都被视为第 3 层路由接口。

注：

（QFX5100 和 QFX5110 交换机）在 EVPN-VXLAN 环境中，您可以使用 IRB 接口提供与交换机的第 3 层连接。要配置 IRB 接口，请参阅 示例：在 EVPN-VXLAN 环境中配置 IRB 接口，为数据中心中的主机提供第 3 层连接。然后，您可以按照以下步骤将防火墙过滤器应用于 IRB 接口（仅支持入口方向）。支持的匹配条件列表，请参阅防火墙过滤器匹配条件和操作（QFX5100、QFX5110、QFX5120、QFX5200、EX4600、EX4650）
注：

将过滤器应用于与给定 VLAN 关联的 IRB 接口时，过滤器将在具有匹配 VLAN ID 的任何第 3 层接口上执行。这是因为过滤器匹配具有相应 VLAN 标记的所有第 3 层接口上。

要向第 3 层接口应用防火墙过滤器：

  1. 为防火墙过滤器提供有意义且描述性的名称。这个名称就是您用于将过滤器应用于接口的内容。
  2. 应用防火墙过滤器。

    • 要过滤进入接口的数据包：

    • 要过滤接口退出的数据包：

      家族地址类型可以是（inet 对于 IPv4）或（inet6 对于 IPv6）。

    注：

    您只能对给定方向（入口或出口）的接口应用一个过滤器。

将防火墙过滤器应用于第 2 层 CCC（QFX10000 交换机）

您可以对 QFX10000 交换机上的第 2 层电路交叉连接 （CCC） 流量应用带有计数和监管器操作的防火墙过滤器。这样，您就可以计算并监控层级上设置的 [edit firewall family ccc] 监管器活动。

在此示例中， count 是监管器操作。

在此示例中， discard 是监管器操作。

相关主题