Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Présentation des instances de filtre de pare-feu spécifiques à l’interface

Instanciation des filtres de pare-feu spécifiques à l’interface

Sur les routeurs T Series, M120, M320 et MX Series, vous pouvez permettre au système d’exploitation Junos OS de créer automatiquement une instance spécifique à l’interface d’un filtre de pare-feu pour chaque interface à laquelle vous appliquez le filtre. Si vous activez l’instanciation par interface d’un filtre de pare-feu, puis appliquez ce filtre à plusieurs interfaces, toutes count les actions ou policer actions configurées dans les termes de filtre agissent sur le flux de trafic entrant ou sortant de chaque interface individuelle, quelle que soit la somme du trafic sur les interfaces multiples.

Vous pouvez activer cette option par filtre de pare-feu en incluant l’instruction interface-specific dans la configuration du filtre.

Remarque :

Sur les routeurs T Series, M120, M320 et MX Series, les interfaces sont distribuées entre plusieurs composants de transfert de paquets.

Le filtrage de pare-feu spécifique à l’interface n’est pas pris en charge sur les routeurs M Series autres que les routeurs M120 et M320. Si vous appliquez un filtre de pare-feu à plusieurs interfaces sur un routeur M Series autre que les routeurs M120 ou M320, le filtre agit sur la somme du trafic entrant ou sortant de ces interfaces.

Le filtrage par pare-feu spécifique à l’interface est pris en charge pour les filtres de pare-feu standard sans état et pour les filtres de service. Les instances spécifiques à l’interface ne sont pas prises en charge pour les filtres simples.

Remarque :

Un filtre de pare-feu ne peut pas être à la fois spécifique à l’interface et partagé par une interface.

Noms spécifiques aux interfaces des instances de filtre de pare-feu

Lorsque Junos OS crée une instance distincte d’un filtre de pare-feu pour une interface logique, l’instance est associée à un nom spécifique à l’interface. Le nom généré par le système d’une instance de filtre de pare-feu est constitué du nom du filtre configuré suivi d’un trait d’union ('-'), du nom complet de l’interface et de «-i » pour une instance de filtre d’entrée ou de «-o » pour une instance de filtre de sortie.

  • Input filter instance name— Par exemple, si vous appliquez le filtre filter_s_tcp de pare-feu spécifique à l’interface logique at-1/1/1.0, junos OS instancie une instance de filtre spécifique à l’interface avec le nom généré par le système suivant :

  • Output filter instance name— Par exemple, si vous appliquez le filtre filter_s_tcp de pare-feu spécifique à l’interface logique so-2/2/2.2à la sortie, le système Junos OS instancie une instance de filtre spécifique à l’interface avec le nom généré par le système suivant :

Vous pouvez utiliser le nom spécifique à l’interface d’une instance de filtre lorsque vous entrez une commande de mode de fonctionnement Junos OS qui spécifie un nom de filtre de pare-feu sans état.

Conseil :

Lorsque vous configurez un filtre de pare-feu avec des instances spécifiques à l’interface activées, il est recommandé de limiter le nom du filtre à 52 octets de longueur. En effet, les noms des filtres de pare-feu sont limités à 64 octets de longueur. Si le nom d’une instance de filtre générée par le système dépasse cette longueur maximale, le logiciel d’infrastructure de stratégies peut rejeter le nom de l’instance.

Compteurs de filtres de pare-feu spécifiques à l’interface

L’instanciation des filtres de pare-feu spécifiques à l’interface permet au moteur de transfert de paquets de gérer séparément tous les compteurs du filtre de pare-feu pour chaque interface. Vous spécifiez des compteurs spécifiques à l’interface par terme de filtre de pare-feu en spécifiant l’action count counter-name non de terminaison.

Le nom généré par le système d’un compteur de filtres de pare-feu spécifique à l’interface se compose du nom du compteur configuré suivi d’un trait d’union (''-), du nom complet de l’interface et de «-i » pour une instance de filtre d’entrée ou «-o » pour une instance de filtre de sortie.

  • Interface-specific input filter counter name— Supposons, par exemple, que vous configurez le compteur count_tcp de filtres pour un filtre de pare-feu spécifique à l’interface. Si le filtre est appliqué à l’entrée au niveau de l’interface at-1/1/1.0logique, junos OS crée le contre-nom généré par le système suivant :

  • Interface-specific output filter counter name— Supposons, par exemple, que vous configurez le compteur count_udp de filtres pour un filtre de pare-feu spécifique à l’interface. Si le filtre est appliqué à la sortie au niveau de l’interface so-2/2/2.2logique, Junos OS crée le contre-nom généré par le système suivant :

Mécanismes de contrôle des filtres de pare-feu spécifiques à l’interface

L’instanciation des filtres de pare-feu spécifiques à l’interface crée non seulement des instances distinctes de n’importe quel compteur de filtre de pare-feu, mais également des instances distinctes de n’importe quelle action de mécanismes de contrôle. Tous les mécanismes de contrôle appliqués via une action spécifiée dans la configuration du filtre de pare-feu sont appliqués séparément à chaque interface du groupe d’interfaces. Vous spécifiez des mécanismes de contrôle spécifiques à l’interface par terme de filtre de pare-feu en spécifiant l’action policer policer-name non de terminaison.