Auf dieser Seite
Beispiel: Konfigurieren eines Filters für die Übereinstimmung mit zwei nicht verwandten Kriterien
In diesem Beispiel wird gezeigt, wie ein standardmäßiger zustandsloser Firewallfilter so konfiguriert wird, dass er zwei nicht verwandte Kriterien erfüllt.
Anforderungen
Vor der Konfiguration dieses Beispiels ist keine spezielle Konfiguration erforderlich, die über die Geräteinitialisierung hinausgeht.
Überblick
In diesem Beispiel verwenden Sie einen standardmäßigen zustandslosen Firewallfilter, um IPv4-Pakete abzugleichen, bei denen es sich entweder um OSPF-Pakete oder um Pakete handelt, die von einer Adresse im Präfix 10.108/16stammen, und senden eine administratively-prohibited ICMP-Nachricht für alle Pakete, die nicht übereinstimmen.
Konfiguration
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Weitere Informationen zum Navigieren in der CLI finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus.
Um dieses Beispiel zu konfigurieren, führen Sie die folgenden Aufgaben aus:
- CLI-Schnellkonfiguration
- Konfigurieren des IPv4-Firewallfilters
- Anwenden des IPv4-Firewallfilters auf eine logische Schnittstelle
CLI-Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Konfigurationsbefehle in eine Textdatei, entfernen Sie alle Zeilenumbrüche, und fügen Sie die Befehle dann auf Hierarchieebene [edit] in die CLI ein.
set firewall family inet filter ospf_or_131 term protocol_match from protocol ospf set firewall family inet filter ospf_or_131 term address-match from source-address 10.108.0.0/16 set interfaces ge-0/0/1 unit 0 family inet address 10.1.2.3/30 set interfaces ge-0/0/1 unit 0 family inet filter input ospf_or_131
Konfigurieren des IPv4-Firewallfilters
Schritt-für-Schritt-Anleitung
So konfigurieren Sie den IPv4-Firewallfilter:
Aktivieren Sie die Konfiguration des IPv4-Firewallfilters.
[edit] user@host# edit firewall family inet filter ospf_or_131
Konfigurieren Sie den ersten Begriff so, dass OSPF-Pakete akzeptiert werden.
[edit firewall family inet filter ospf_or_131] user@host# set term protocol_match from protocol ospf
Pakete, die die Bedingung erfüllen, werden standardmäßig akzeptiert. Da auf diesen Begriff ein anderer Begriff folgt, werden Pakete, die dieser Bedingung nicht entsprechen, vom nächsten Begriff ausgewertet.
Konfigurieren Sie den zweiten Begriff so, dass Pakete von einer beliebigen IPv4-Adresse in einem bestimmten Präfix akzeptiert werden.
[edit firewall family inet filter ospf_or_131] user@host# set term address_match from source-address 10.108.0.0/16
Pakete, die diese Bedingung erfüllen, werden standardmäßig akzeptiert. Da dies der letzte Begriff im Filter ist, werden Pakete, die diese Bedingung nicht erfüllen, standardmäßig verworfen.
Ergebnisse
Bestätigen Sie die Konfiguration des zustandslosen Firewallfilters, indem Sie den show firewall Befehl configuration mode eingeben. Wenn die Befehlsausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Anweisungen in diesem Verfahren, um die Konfiguration zu korrigieren.
[edit]
user@host# show firewall
family inet {
filter ospf_or_131 {
term protocol_match {
from {
protocol ospf;
}
}
term address_match {
from {
source-address {
10.108.0.0/16;
}
}
}
}
}
Anwenden des IPv4-Firewallfilters auf eine logische Schnittstelle
Schritt-für-Schritt-Anleitung
So wenden Sie den zustandslosen Firewallfilter auf eine logische Schnittstelle an:
Aktivieren Sie die Konfiguration einer logischen Schnittstelle.
[edit] user@host# edit interfaces ge-0/0/1 unit 0 family inet
Konfigurieren Sie eine IP-Adresse für die logische Schnittstelle.
[edit interfaces ge-0/0/1 unit 0 family inet] user@host# set address 10.1.2.3/30
Wenden Sie den IPv4-Firewallfilter auf die logische Schnittstelle an.
[edit interfaces ge-0/0/1 unit 0 family inet] user@host# set filter input ospf_or_131
Ergebnisse
Bestätigen Sie die Konfiguration der Schnittstelle, indem Sie den show interfaces Befehl Konfigurationsmodus eingeben. Wenn die Befehlsausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Anweisungen in diesem Verfahren, um die Konfiguration zu korrigieren.
[edit]
user@host# show interfaces
ge-0/0/1 {
unit 0 {
family inet {
filter {
input ospf_or_131;
}
address 10.1.2.3/30;
}
}
}
Wenn Sie mit der Konfiguration des Geräts fertig sind, rufen Sie den Konfigurationsmodus auf commit .
Verifizierung
Um zu bestätigen, dass die Konfiguration ordnungsgemäß funktioniert, geben Sie den show firewall filter ospf_or_131 Befehl Betriebsmodus ein.