Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
Sur cette page
 

Exemple : Configuration d’un filtre pour compter et échantillonner les paquets acceptés

Cet exemple montre comment configurer un filtre de pare-feu sans état standard pour compter et échantillonner les paquets acceptés.

Conditions préalables

Aucune configuration spéciale au-delà de l’initialisation de l’appareil n’est requise avant de configurer cet exemple.

Avant de commencer, configurez l’échantillonnage du trafic en incluant l’instruction sampling au niveau de la [edit forwarding-options] hiérarchie.

Présentation

Dans cet exemple, vous utilisez un filtre de pare-feu sans état standard pour compter et échantillonner tous les paquets reçus sur une interface logique.

REMARQUE :

Lorsque vous activez le transfert de chemin inverse (RPF) sur une interface avec un filtre d’entrée pour le journal et le comptage du pare-feu, le filtre du pare-feu d’entrée ne consigne pas les paquets rejetés par RPF, bien que les paquets rejetés soient comptés. Pour consigner les paquets rejetés, utilisez un filtre d’échec de vérification RPF.

AVERTISSEMENT :

Sur les routeurs MX Series avec MPC3 ou MPC4, si les filtres de pare-feu sont configurés pour compter les paquets TWAMP (Two-Way Active Measurement Protocol), le nombre est doublé pour tous les paquets TWAMP. Il peut également y avoir une légère augmentation du temps d’aller-retour (RTT) lorsque le serveur TWAMP est hébergé sur MPC3 ou MPC4. Cet avertissement ne s’applique pas aux routeurs équipés de cartes MPC1 ou MPC2.

REMARQUE :

Sur QFX5130 et QFX5700, lorsqu’un paquet atteint plusieurs filtres de pare-feu qui ont une action de contre-attaque, seul le compteur de groupe de priorité la plus élevée s’incrémente. Par exemple, supposons que le paquet a heurté un filtre IPACL (Port ACL) et un filtre IRACL (Routed ACL), les deux ayant une contre-action. Selon la priorité, l’IRACL a une priorité élevée sur l’IPACL. Par conséquent, seul le compteur IRACL s’incrémentera. S’il n’y a pas de hit dans IRACL, alors le compteur IPACL s’incrémentera.

Vous trouverez ci-dessous l’ordre de priorité des listes de contrôle d’accès configurées par l’utilisateur (de la plus élevée à la plus basse),

  • Bouclage

  • L’IRACL

  • L’IPACL

  • IVACL

Configuration

L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans l’interface de ligne de commande, reportez-vous à la section Utiliser l’éditeur CLI en mode configuration.

Pour configurer cet exemple, effectuez les tâches suivantes :

Configuration rapide de l’interface de ligne de commande

Pour configurer rapidement cet exemple, copiez les commandes de configuration suivantes dans un fichier texte, supprimez les sauts de ligne, puis collez-les dans l’interface de ligne de commande au niveau de la [edit] hiérarchie.

Configurer le filtre de pare-feu sans état

Procédure étape par étape

Pour configurer le filtre samdu pare-feu sans état :

  1. Créez le filtre samde pare-feu sans état .

  2. Configurez le terme pour compter et échantillonner tous les paquets.

Application du filtre de pare-feu sans état à une interface logique

Procédure étape par étape

Pour appliquer le filtre de pare-feu sans état à une interface logique :

  1. Configurez l’interface logique à laquelle vous allez appliquer le filtre de pare-feu sans état.

  2. Configurez l’adresse de l’interface logique.

  3. Appliquez le filtre de pare-feu sans état à l’interface logique.

    REMARQUE :

    Junos OS néchantillonne pas les paquets provenant du routeur ou du commutateur. Si vous configurez un filtre et que vous l’appliquez au côté sortie d’une interface, seuls les paquets de transit passant par cette interface sont échantillonnés. Les paquets envoyés du moteur de routage au moteur de transfert de paquets ne sont pas échantillonnés.

Confirmez et validez la configuration de votre candidat

Procédure étape par étape

Pour confirmer, puis valider la configuration de votre candidat :

  1. Confirmez la configuration du filtre de pare-feu sans état en entrant la commande configuration show firewall mode. Si la sortie de la commande n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.

  2. Confirmez la configuration de l’interface en entrant la commande configuration show interfaces mode. Si la sortie de la commande n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.

  3. Si vous avez terminé de configurer l’appareil, validez votre configuration candidate.

Vérification

Vérifiez que la configuration fonctionne correctement.

Affichage du compteur de paquets

But

Vérifiez que le filtre de pare-feu évalue les paquets.

Action

Affichage de la sortie du journal du filtre de pare-feu

But

Affiche les informations d’en-tête de tous les paquets évalués par le filtre de pare-feu.

Action

Sens

Ce fichier de sortie contient les champs suivants :

  • Time: heure à laquelle le paquet a été reçu (non affichée par défaut).

  • Filter: nom d’un filtre qui a été configuré avec l’instruction filter au niveau de la [edit firewall] hiérarchie. Un trait d’union (-) ou l’abréviation pfe indique que le paquet a été traité par le moteur de transfert de paquets. Un espace (sans trait d’union) indique que le paquet a été traité par le moteur de routage.

  • A—Action de filtre :

    • A—Accepter (ou au terme suivant)

    • D—Jeter

    • R—Rejeter

  • Interface: interface sur laquelle le filtre est configuré.

    REMARQUE :

    Nous vous recommandons vivement de toujours configurer explicitement une action dans l’instruction then .

  • Pro: nom ou numéro de protocole du paquet.

  • Source address: adresse IP source dans le paquet.

  • Destination address: adresse IP de destination dans le paquet.

Affichage de la sortie d’échantillonnage

But

Vérifiez que la sortie d’échantillonnage contient les données appropriées.

Action

Rubriques connexes