Définition d’un filtre de pare-feu sur les routeurs MX Series pour sélectionner le trafic à surveiller activement
La première étape de la surveillance active des flux consiste à configurer les conditions de correspondance pour le trafic acceptable ou le trafic mis en quarantaine. Les actions de correspondance courantes pour la surveillance active des flux incluent sample, discard accountingport-mirror, et accept. Pour configurer, incluez les instructions d’action souhaitées et un compteur dans l’instruction then dans un filtre de pare-feu et appliquez le filtre à une interface.
Lors de l’échantillonnage, le routeur examine une partie du trafic et envoie des rapports sur cet échantillon au serveur de surveillance des flux. Le trafic comptabilisé des rejets est compté et surveillé, mais il n’est pas transféré hors du routeur. Le trafic en miroir de port est copié et envoyé vers une autre interface. Le trafic accepté est transféré à la destination prévue.
La plupart de ces combinaisons de correspondances sont valides. Toutefois, vous pouvez effectuer une mise en miroir des ports ou un échantillonnage avec le même trafic en même temps, mais pas effectuer plusieurs actions simultanément sur les mêmes paquets.
[edit]
firewall {
family inet {
filter active_filter {
term quarantined_traffic {
from {
source-address {
10.36.1.2/32;
}
}
then {
count quarantined-counter;
sample;
discard accounting;
}
}
term copy_and_forward_the_rest {
then {
port-mirror;
accept;
}
}
}
}
}