So verstehen Sie den Fast Lookup-Filter für Firewallfilter
Um die Verarbeitungsgeschwindigkeit von spezifischen Firewall-Filtern zu verbessern, können Sie die Filterblockierungshardware verwenden, die auf bestimmten modularen Port-Concentrators (MPCs) verfügbar ist. Weitere Informationen finden Sie im Handbuch zu den Schnittstellenmodulen der MX-Serie. Mit dieser Hardware lässt sich die Anzahl der Firewall-Filtervorgänge pro Sekunde erhöhen, was sich erreichen lässt.
Die Option in Umgebungen mit Hunderten oder Tausenden von Bedingungen pro Filter kann die Leistung dieser Filter durch die Nutzung der fast-lookup-filter Filterblockierungshardware erhöhen.
Pro MPC sind 4096 Hardwarefilter verfügbar. Die Anzahl der firewallfilter, die in Hardware installiert werden können, hängt von der Anzahl der Begriffe in jedem Filter ab. Für jede Gruppe von 255 Begriffen in einem Firewall-Filter wird ein Hardwarefilter benötigt. Die Gesamtanzahl der pro Firewall-Filter unterstützten Begriffe beträgt 8.000. Wenn Sie jedoch einen bestimmten Firewall-Filter mit weniger als 256 Begriffen an mehrere Schnittstellen anfügen, wird nur eine Instanz dieses Firewallfilters im Filterblock installiert. Dies gilt für schnittstellenspezifische Filter ebenso wie für Filterlisten.
Sie bestimmen spezifische Firewall-Filter, die in der Filterblockierungs-Hardware verarbeitet werden sollen, indem Sie auch die Option fast-lookup-filter zur Konfiguration der Firewall enthalten.
Bei Verwendung dieser Option werden firewallparameter in der Filterblockierungshardware gespeichert, was den Suchprozess beschleunigt. fast-lookup-filter ist nur für die Protokollfamilien inet und inet6 verfügbar. Die Bedingungen sind auf 5 Tuples beschränkt: protocol, source-addressdestination-address und source-portdestination-port .
Bereiche, Präfixlisten und das außer Schlüsselwort werden innerhalb der Firewall-Filter und -Bedingungen bei Verwendung dieser Option unterstützt.
Firewall-Filter, die mithilfe dieser Option konfiguriert werden, werden durch fast-lookup-filter den Firewall-Compiler nicht optimiert.