Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Exemple : Configuration d’un filtre de pare-feu sans état sur un groupe d’interfaces

Les filtres de pare-feu sont essentiels pour sécuriser un réseau et simplifier la gestion du réseau. Dans Junos OS, vous pouvez configurer un filtre de pare-feu sans état pour contrôler le transit des paquets de données à travers le système et manipuler les paquets si nécessaire. L’application d’un filtre de pare-feu sans état à un groupe d’interfaces permet de filtrer les paquets transitant par chaque interface du groupe d’interfaces. Cet exemple montre comment configurer un filtre de pare-feu standard sans état pour correspondre aux paquets balisés pour un groupe d’interfaces particulier.

Conditions préalables

Cet exemple utilise les composants matériels et logiciels suivants :

  • Deux routeurs ou commutateurs Juniper Networks qui sont physiquement ou logiquement connectés entre eux via des interfaces appartenant à une instance de routage

  • Junos OS Version 7.4 ou ultérieure

Présentation

Vous pouvez appliquer un filtre de pare-feu sans état à un groupe d’interfaces pour l’appliquer sur toutes les interfaces du groupe d’interfaces. Cela vous permet de gérer simultanément le filtrage des paquets sur diverses interfaces.

Dans cet exemple, vous configurez deux interfaces de routeur ou de commutateur pour qu’elles appartiennent au groupe d’interfaces. Vous configurez également un filtre de pare-feu sans état avec trois termes. En terme de term1terme , le filtre correspond aux paquets qui ont été étiquetés comme reçus sur ce groupe d’interface et contiennent une balise de protocole ICMP. Le filtre compte, enregistre et rejette les paquets qui correspondent aux conditions. En terme de term2terme , le filtre correspond aux paquets qui contiennent la balise de protocole ICMP. Le filtre compte, enregistre et accepte tous les paquets qui correspondent à la condition. En terme term3, le filtre compte tous les paquets de transit.

En appliquant le filtre de pare-feu à l’instance de routage, vous pouvez appliquer simultanément le mécanisme de filtrage sur toutes les interfaces du groupe d’interfaces. Pour cela, toutes les interfaces du groupe d’interfaces doivent appartenir à une seule instance de routage.

REMARQUE :

Lorsque vous appliquez un filtre de pare-feu à une interface de bouclage, l’interface filtre tous les paquets destinés au moteur de routage.

Figure 1 : Configuration d’un filtre de pare-feu sans état sur un groupe d’interfacesConfiguration d’un filtre de pare-feu sans état sur un groupe d’interfaces

La configuration rapide cli affiche la configuration de tous les équipements dans Figure 1. La section Procédure étape par étape décrit les étapes sur l’équipement R1.

Configuration

Configuration rapide cli

Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez les détails nécessaires pour correspondre à la configuration de votre réseau, copiez et collez les commandes dans la CLI au niveau de la [edit] hiérarchie, puis entrez commit à partir du mode de configuration.

Équipement R0

Équipement R1

Configurer et appliquer le filtre de pare-feu sans état sur un groupe d’interfaces

Procédure étape par étape

Dans l’exemple suivant, vous devez parcourir différents niveaux de la hiérarchie de configuration. Pour plus d’informations sur la navigation sur l’interface cli, consultez Utiliser l’éditeur CLI en mode configuration le guide de l’utilisateur CLI.

Pour configurer le filtre filter_if_group de pare-feu sans état sur un groupe d’interfaces :

  1. Créez le filtre de pare-feu sans état filter_if_group.

  2. Configurez les interfaces et attribuez deux interfaces au groupe 1d’interfaces .

  3. Configurez le terme term1 pour correspondre aux paquets reçus sur le groupe 1 d’interface et avec le protocole ICMP.

  4. Configurez le terme term1 pour compter, consigner et rejeter tous les paquets correspondants.

  5. Configurez le terme term2 pour faire correspondre les paquets au protocole ICMP.

  6. Configurez le terme term2 pour compter, consigner et accepter tous les paquets correspondants.

  7. Configurez le terme term3 pour compter tous les paquets de transit.

  8. Appliquez le filtre de pare-feu au groupe d’interface du routeur (ou du commutateur) en l’appliquant à l’instance de routage.

  9. Si vous avez fini de configurer l’équipement, validez la configuration de votre candidat.

Résultats

À partir du mode de configuration, confirmez votre configuration en émettant le show interfaces, show firewallet show forwarding-options les commandes. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.

Vérification

Vérifiez que la configuration fonctionne correctement.

Vérification de la configuration des interfaces

But

Vérifiez que les interfaces sont correctement configurées.

Action

Pour afficher l’état des interfaces, utilisez la commande du show interfaces terse mode opérationnel.

Équipement R0

Équipement R1

Sens

Toutes les interfaces des équipements R0 et R1 sont physiquement connectées et up. Le groupe d’interfaces 1 sur l’équipement R1 se compose de deux interfaces, à savoir ge-0/0/0 et ge-0/0/2.0.

Vérification de la configuration du filtre de pare-feu sans état

But

Vérifiez que les conditions de correspondance du filtre de pare-feu sont correctement configurées.

Action

  • Pour afficher les compteurs de filtres de pare-feu, saisissez la commande du show firewall filter filter_if_group mode opérationnel.

  • Pour afficher le journal local des en-têtes de paquets pour les paquets évalués par le filtre de pare-feu, saisissez la commande du show firewall log mode opérationnel.

  • Pour vous assurer que les filtres de pare-feu sont actifs sur le groupe 1 d’interfaces sur l’équipement R1, utilisez la ping <address> commande du mode opérationnel sur l’interface CLI de l’équipement R0.

  • Pour vous assurer que le filtre de pare-feu n’est pas appliqué sur une interface qui n’est pas dans un groupe 1d’interfaces, utilisez la ping <address> commande du mode opérationnel sur l’interface CLI de l’équipement R0.

Sens

Le filtre de pare-feu sans état est appliqué à toutes les interfaces du groupe d’interfaces 1. Le terme term1 condition de correspondance dans le filtre de pare-feu sans état compte, enregistre et rejette les paquets reçus sur ou envoyés par les interfaces du groupe 1 d’interfaces et avec un protocole ICMP source. La condition de correspondance correspond term2 aux paquets balisés avec le protocole ICMP et compte, enregistre et accepte ces paquets. La condition de correspondance de terme term3 compte tous les paquets de transit.