Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Verstehen mehrerer Firewall-Filter in einer verschachtelten Konfiguration

Die Herausforderung: Vereinfachen Sie die Verwaltung von Firewall-Filtern im großen Maßstab

Normalerweise wenden Sie einen einzelnen Firewall-Filter auf eine Schnittstelle in Eingangs- oder Ausgaberichtung oder beides an. Dieser Ansatz ist möglicherweise nicht praktikabel, wenn Sie einen Router (oder Switch) mit vielen, ja sogar Hunderten von Schnittstellen konfigurieren lassen. In einer Umgebung dieser Größenordnung möchten Sie die Flexibilität haben, Filterbegriffe zu ändern, die für mehrere Schnittstellen üblich sind, ohne den Filter jeder betroffenen Schnittstelle neu konfigurieren zu müssen.

Im Allgemeinen besteht die Lösung darin, eine effektiv "verkettete" Struktur mehrerer zustandsloser Firewall-Filter auf eine einzige Schnittstelle anzuwenden. Sie partitionieren Ihre Filterbegriffe in mehrere Firewall-Filter, die so konfiguriert sind, dass Sie einen eindeutigen Filter auf jede Router- (oder Switch)-Schnittstelle anwenden können, aber bei Bedarf auch allgemeine Filter auf mehrere Router- (oder Switch)-Schnittstellen anwenden können. Das Junos OS-Richtlinien-Framework bietet zwei Optionen für die Verwaltung der Anwendung mehrerer separater Firewall-Filter auf einzelne Router- (oder Switch)-Schnittstellen. Eine Option besteht darin, mehrere Filter als eine einzige Eingabeliste oder Ausgabeliste anzuwenden. Die andere Option besteht darin, innerhalb des Begriffs eines anderen statuslosen Firewallfilters auf einen zustandslosen Firewall-Filter zu verweisen.

Eine Lösung: Konfiguration verschachtelter Verweise auf Firewall-Filter

Die strukturiertste Methode, doppelte Filterbegriffe zu vermeiden, die für mehrere Firewall-Filter üblich sind, besteht darin, mehrere Firewall-Filter so zu konfigurieren, dass jeder Filter die gemeinsamen Filterbegriffe enthält, indem auf einen separaten Filter verwiesen wird, der die allgemeinen Filterbegriffe enthält. Das Junos OS verwendet die Filterbegriffe in der Reihenfolge, in der sie in der Filterdefinition erscheinen, um Pakete auszuwerten, die die Schnittstelle übertragen. Wenn Sie filternde Begriffe ändern müssen, die über mehrere Schnittstellen hinweg gemeinsam genutzt werden, müssen Sie nur einen Firewall-Filter ändern.

Anmerkung:

Ähnlich dem alternativen Ansatz (Anwendung einer Liste von Firewall-Filtern) kombiniert die Konfiguration eines verschachtelten Firewall-Filters mehrere Firewall-Filter in einer neuen Firewall-Filterdefinition.

Konfiguration von geschachtelten Firewall-Filtern

Bei der Konfiguration eines geschachtelten Firewall-Filters für jede Router- (oder Switch-) Schnittstelle müssen gemeinsam genutzte Paketfilterregeln von schnittstellenspezifischen Paketfilterregeln wie folgt getrennt werden:

  • Konfigurieren Sie für jeden Satz von Paketfilterregeln, die über mehrere Schnittstellen hinweg üblich sind, einen separaten Firewall-Filter, der die gemeinsam genutzten Filterbegriffe enthält.

  • Konfigurieren Sie für jede Router- (oder Switch)-Schnittstelle einen separaten Firewall-Filter, der Folgendes enthält:

    • Alle Filterbegriffe, die für diese Schnittstelle eindeutig sind.

    • Ein zusätzlicher Filterbegriff, der einen filter Verweis auf den Firewall-Filter enthält, der die allgemeinen Filterbegriffe enthält.

Anwendung von geschachtelten Firewall-Filtern auf eine Router- oder Switch-Schnittstelle

Die Anwendung von geschachtelten Firewall-Filtern unterscheidet sich nicht von der Anwendung eines nicht benested Firewall-Filters. Für jede Schnittstelle können Sie innerhalb der Stanza eine oder output eine input Anweisung (oder beides) einfügen, um den filter entsprechenden verschachtelten Firewall-Filter anzugeben.

Wenn geschachtelte Firewall-Filter auf eine Schnittstelle angewendet werden, werden die gemeinsam genutzten Filterbegriffe und die schnittstellenspezifischen Firewall-Filter über einen einzelnen geschachtelten Firewall-Filter angewendet, der andere Filter über die filter Anweisung innerhalb eines separaten Filterbegriffs einschließt.