Configuration des filtres de pare-feu

• Pour filtrer le trafic de couche 2 (port ou VLAN), spécifiez le type ethernet-switchingd’adresse de la famille .

• Pour filtrer le trafic de couche 3 (routé), spécifiez le type d’adresse de la famille (inet pour IPv4) ou (inet6 pour IPv6).

• Pour filtrer le trafic d’interface de circuit de couche 2, spécifiez le type cccd’adresse de la famille .

Les noms de filtre et de terme peuvent contenir des lettres, des chiffres et des traits d’union (-) et peuvent contenir jusqu’à 64 caractères. Chaque nom de filtre doit être unique. Un filtre peut contenir un ou plusieurs termes, et chaque nom de terme doit être unique dans un filtre.

Dans cette configuration, le filtre correspond aux paquets de couche 2 qui contiennent le port source 80.

Dans cette configuration, le filtre correspond sur les VLAN qui contiennent l’interface ge-0/0/6.0.

Vous pouvez spécifier une ou plusieurs conditions de correspondance dans une seule et même from instruction. Pour qu’une correspondance se produise, le paquet doit correspondre à toutes les conditions du terme. L’instruction from est facultative, mais si vous l’incluez dans un terme, elle ne peut pas être vide. Si vous omettez l’instruction from , tous les paquets sont considérés comme correspondant.

• Pour spécifier une action de filtre, par exemple, pour supprimer des paquets qui correspondent aux conditions du terme de filtre :

  Vous ne pouvez spécifier qu’une seule action par terme (accept, discard, flood, rejectou routing-instancevlan).

• Pour spécifier une action de filtre, par exemple, pour inonder des paquets qui correspondent à l’adresse MAC sur QFX5100/QFX5110/QFX5120-32C/QFX5200/QFX5210 :

  Vous pouvez configurer les filtres de pare-feu basés sur les ports d’entrée pour inonder ou rejeter les BPDU suivants en utilisant l’adresse MAC de destination comme condition de correspondance.

  Protocoles	Adresse DMAC (Destination Media Access Control)	Mesure du pare-feu
  Protocole LACP (Link Aggregation Control Protocol)	01:80:c2:00:00:02	Inondation/Rejet/Comptage
  Protocole LLDP (Link Layer Discovery Protocol)	01:80:c2:00:00:0E	Inondation/Rejet/Comptage
  Protocole d’authentification extensible sur LAN (EAPOL)	01:80:c2:00:00:03	Inondation/Rejet/Comptage
  Spanning Tree Protocol (STP)	01:80:c2:00:00:00	Inondation/Rejet/Coun
  Protocole VSTP (VLAN Spanning Tree Protocol)	01:00:0c:cc:cc:cd	Inondation/Rejet/Comptage
  Cisco Discovery Protocol (CDP)/VLAN Trunk Protocol (VTP)	01:00:0C:cc:cc:cc	Rejet/Nombre
  ISIS L1	01:80:c2:00:00:14	Rejet/Nombre
  ISIS L2	01:80:c2:00:00:15	Rejet/Nombre

  REMARQUE :

  • Les protocoles CDP/VTP et ISIS L1/L2 inondent à l’aide du filtre dynamique par défaut. Par conséquent, la configuration de filtres supplémentaires pour ces protocoles n’est pas nécessaire.

  • Comme les filtres de pare-feu entrants sont appliqués au niveau des ports, un seul filtre peut être appliqué pour une interface physique dans la configuration de type fournisseur de services.

  • Le VLAN natif doit être configuré pour assurer l’inondation des BPDU non identifiés reçus sur le port trunk. Si le VLAN natif n’est pas configuré, les BPDU non identifiés seront inondés sur toutes les interfaces du FPC local.

  • Lorsque la surveillance IGMP ou la détection d’écoute multicast (MLD) est alors activée, la fonctionnalité d’inondation ne fonctionne pas.

  • Lorsque le filtre de pare-feu avec action d’inondation est appliqué sur une interface et plus tard si l’interface tombe en panne, les BPDU reçus sur cette interface sont inondés s’ils répondent aux conditions de correspondance.

• Pour spécifier des modificateurs d’action, par exemple, pour compter et classer les paquets dans une classe de transfert :

  Vous pouvez spécifier l’un des modificateurs d’action suivants dans une then instruction :

  • analyzer analyzer-name: mettre en miroir le trafic de port vers un analyseur spécifié, que vous devez configurer au [ethernet-switching-options] niveau.

  • count counter-name— Comptez le nombre de paquets qui passent ce terme de filtre.

    REMARQUE :

    Nous vous recommandons de configurer un compteur pour chaque terme dans un filtre de pare-feu, afin de pouvoir surveiller le nombre de paquets qui correspondent aux conditions spécifiées dans chaque terme de filtre.

    REMARQUE :

    Sur les commutateurs QFX3500 et QFX3600, les filtres comptent automatiquement les paquets qui ont été abandonnés dans le sens d’entrée en raison d’erreurs de vérification de redondance cyclique (CRC).

  • forwarding-class class— Attribuez des paquets à une classe de transfert.

  • log— Consignez les informations d’en-tête du paquet dans le moteur de routage.

  • loss-priority priority— Définissez la priorité de l’abandon d’un paquet.

  • policer policer-name: appliquez une limitation de débit au trafic.

  • flood— Inondez les paquets.

  • syslog— Consignez une alerte pour ce paquet.

Si vous omettez l’instruction then ou que vous ne spécifiez pas d’action, les paquets correspondant à toutes les conditions de l’instruction from sont acceptés. Mais assurez-vous de toujours configurer une action dans l’instruction then . Vous ne pouvez inclure qu’une seule déclaration d’action, mais vous pouvez utiliser n’importe quelle combinaison de modificateurs d’action. Pour qu’une action ou un modificateur d’action prenne effet, toutes les conditions de l’instruction from doivent correspondre.

• Pour appliquer un filtre correspondant aux paquets entrant dans le VLAN :

• Pour appliquer un filtre de pare-feu aux paquets sortant du VLAN :

• Pour filtrer les paquets entrant dans l’interface :

• Pour filtrer les paquets sortant de l’interface :

  Le type d’adresse de la famille peut être (inet pour IPv4) ou (inet6 pour IPv6).