Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

经典过滤器概述

动态防火墙功能支持经典过滤器,这是动态应用于接口的静态过滤器。它们会在提交时编译,然后在激活服务时,会创建特定于接口的过滤器克隆并连接到 逻辑接口。此动态应用程序通过将输入或输出过滤器与动态配置文件关联来执行。

此概述涵盖:

经典过滤器类型

支持以下经典过滤器类型:

  • 端口(第 2 层) 防火墙过滤器 — 端口防火墙过滤器适用于第 2 层交换机端口。您只能在物理端口的入口方向上应用端口防火墙过滤器。

  • VLAN 防火墙过滤器 — VLAN 防火墙过滤器为进入 VLAN、在 VLAN 中桥接并离开 VLAN 的数据包提供访问控制。您可以在 VLAN 上的入口和出口方向上应用 VLAN 防火墙过滤器。VLAN 防火墙过滤器适用于从 VLAN 转发或转发的所有数据包。

  • 路由器(第 3 层)防火墙过滤器 — 您可以在第 3 层(路由)接口上的入口和出口方向上应用路由器防火墙过滤器。

经典过滤器组件

创建经典过滤器时,首先定义家族地址类型 (inetinet6),然后定义一个或多个术语,指定过滤标准以及匹配时要采取的操作。

每个术语或规则均由以下组件构成:

  • 匹配条件 — 指定数据包必须包含的值或字段。您可以定义各种匹配条件,包括:

    • IP 源地址字段

    • IP 目标地址字段

    • 传输控制协议 (TCP) 或用户数据报协议 (UDP) 源端口字段

    • IP 协议字段

    • 互联网控制消息协议 (ICMP) 数据包类型

    • TCP 标志

    • 接口

  • 操作 — 指定在发生匹配情况时该执行的操作。可能的操作是接受或丢弃数据包。此外,数据包可以计算以收集统计信息。如果一个术语未指定任何操作,则默认操作是接受数据包。

经典过滤器处理

经典过滤器中的条款顺序很重要。按照防火墙过滤器配置中列出术语的顺序,对每个术语的数据包进行测试。当防火墙过滤器包含多个术语时,路由器将采用自上而下的方法,并将数据包与防火墙过滤器中的第一个术语进行比较。如果数据包与第一个术语匹配,则路由器将执行该术语定义的接受或拒绝数据包的操作,并且无需评估其他术语。如果路由器未在数据包和第一个术语之间找到匹配项,则使用相同的匹配过程将数据包与防火墙过滤器中的下一个术语进行比较。如果数据包与第二个术语之间没有匹配,则路由器将继续将数据包与防火墙过滤器中定义的每个连续术语进行比较,直至找到匹配项。如果数据包与防火墙过滤器中的任何术语不匹配,默认操作是丢弃数据包。

您还可以为动态配置文件中的输入和输出过滤器指定优先级(从 0 到 255),以按特定顺序强制过滤器处理。为过滤器设置较低的优先级值可使其在动态配置文件中具有更高的优先级。优先级较低的过滤器在具有更高优先级值的过滤器之前应用于接口。优先级为零(默认值)使过滤器具有最高优先级。如果未指定优先级,过滤器将获得零优先级(最高优先级)。随机顺序应用具有匹配优先级(零或其他)的过滤器。

注意:

动态过滤器不会处理源自路由引擎的出站数据包。要过滤源自路由引擎的出站数据包,您可以为每个接口创建静态出站过滤器。

为订阅者接口创建和应用经典过滤器的准则

支持防火墙过滤器的动态配置。但是,您还可以像正常情况下一样继续为接口创建静态防火墙过滤器,然后使用动态配置文件动态将这些过滤器应用到静态创建的接口中。您也可使用动态配置文件通过 RADIUS 连接输入和输出过滤器。

创建和应用过滤器时,请记住以下内容:

  • 仅支持输入和输出过滤器的动态应用。

  • 过滤器必须特定于接口。

  • 您可以创建特定 inet 于系列的 inet6 过滤器。

  • 您可以创建 unit 适用于接口上配置的任何家族类型(inetinet6)的特定接口过滤器。

  • 您可添加或移除具有相同服务激活或停用功能的 IPv4 和 IPv6 过滤器。

  • 您可以在不影响另一种类型的过滤器的情况下卸下一种过滤器类型。例如,您可以卸下 IPv6 过滤器,使当前的 IPv4 过滤器保持活动状态。

  • 您最多可以将五个输入过滤器和四个输出过滤器链接在一起。

  • 如果不配置和应用过滤器,接口将使用默认组过滤器配置。

  • 在同一逻辑接口上绑定订阅者时,您无法修改或删除防火墙过滤器。