Configuration des filtres de pare-feu

• Pour filtrer le trafic de couche 2 (port ou VLAN), spécifiez le type ethernet-switchingd’adresse de la famille .

• Pour filtrer le trafic de couche 3 (routé), spécifiez le type d’adresse de famille ( pour IPv4) ou (inetinet6 pour IPv6).

• Pour filtrer le trafic de l’interface de circuit de couche 2, spécifiez le type cccd’adresse de famille .

Les noms de filtre et de terme peuvent contenir des lettres, des chiffres et des traits d’union (-) et peuvent comporter jusqu’à 64 caractères. Chaque nom de filtre doit être unique. Un filtre peut contenir un ou plusieurs termes, et chaque nom de terme doit être unique au sein d’un filtre.

Dans cette configuration, le filtre correspond aux paquets de couche 2 qui contiennent le port source 80.

Dans cette configuration, le filtre correspond sur les VLAN qui contiennent l’interface ge-0/0/6.0.

Vous pouvez spécifier une ou plusieurs conditions de correspondance dans une seule from instruction. Pour qu’une correspondance se produise, le paquet doit correspondre à toutes les conditions du terme. L’instruction from est facultative, mais si vous l’incluez dans un terme, elle ne peut pas être vide. Si vous omettez l’instruction from , tous les paquets sont considérés comme correspondants.

• Pour spécifier une action de filtrage, par exemple, pour ignorer les paquets qui correspondent aux conditions du terme de filtre :

  Vous ne pouvez spécifier qu’une seule action par terme (accept, , , , rejectrouting-instancediscardfloodou ).vlan

• Pour spécifier une action de filtrage, par exemple, pour inonder des paquets qui correspondent à la adresse MAC sur QFX5100/QFX5110/ QFX5120-32C/QFX5200/QFX5210 :

  Vous pouvez configurer les filtres de pare-feu basés sur les ports d’entrée pour inonder ou ignorer les BPDU suivants en utilisant l’adresse MAC de destination comme condition de correspondance.

  Protocoles	Adresse DMAC (Destination Media Access Control)	Mesure du pare-feu
  Protocole LACP (Link Aggregation Control Protocol)	01 :80 :C2 :00 :00 :02	Inondation/Rejet/Dénombrement
  Protocole LLDP (Link Layer Discovery Protocol)	01 :80 :c2 :00 :00 :0E	Inondation/Rejet/Dénombrement
  EAPOL (Extensible Authentication Protocol over LAN)	01 :80 :C2 :00 :00 :03	Inondation/Rejet/Dénombrement
  Protocole Spanning Tree (STP)	01 :80 :C2 :00 :00 :00	Inondation/Rejet/Avis
  Protocole VSTP (VLAN Spanning Tree Protocol)	01 :00 :0c :cc :cc :cd	Inondation/Rejet/Dénombrement
  Cisco Discovery Protocol (CDP)/VLAN Trunk Protocol (VTP)	01 :00 :0C :cc :cc :cc	Rejeter/Compter
  ISIS L1	01 :80 :C2 :00 :00 :14	Rejeter/Compter
  ISIS L2	01 :80 :C2 :00 :00 :15	Rejeter/Compter

  REMARQUE :

  • CDP/VTP, LES PROTOCOLES ISIS L1/L2 sont inondés à l’aide du filtre dynamique par défaut. Par conséquent, il n’est pas nécessaire de configurer des filtres supplémentaires pour ces protocoles.

  • Étant donné que des filtres de pare-feu basés sur les ports d’entrée sont appliqués au niveau du port, un seul filtre peut être appliqué pour une interface physique dans la configuration de type fournisseur de services.

  • Le VLAN natif doit être configuré pour assurer le flooding des BPDU non étiquetés reçus sur le port trunk. Si le VLAN natif n’est pas configuré, les BPDU non balisés seront inondés sur toutes les interfaces du FPC local.

  • Lorsque la surveillance IGMP ou la surveillance MLD (Multicast Listener Discovery) est activée, la fonctionnalité de saturation ne fonctionne pas.

  • Lorsque le filtre de pare-feu avec action flood est appliqué sur une interface et ultérieurement si l’interface tombe en panne, les BPDU reçus sur cette interface sont inondés si elle satisfait aux conditions de correspondance.

• Pour spécifier des modificateurs d’action, par exemple, pour compter et classer les paquets dans une classe de transfert :

  Vous pouvez spécifier l’un des modificateurs d’action suivants dans une then instruction :

  • analyzer analyzer-name: met en miroir le trafic de port vers un analyseur spécifié, que vous devez configurer au [ethernet-switching-options] niveau.

  • count counter-name: compte le nombre de paquets qui passent ce terme de filtre.

    REMARQUE :

    Nous vous recommandons de configurer un compteur pour chaque terme dans un filtre de pare-feu, afin de pouvoir surveiller le nombre de paquets qui correspondent aux conditions spécifiées dans chaque terme de filtre.

    REMARQUE :

    Sur les commutateurs QFX3500 et QFX3600, les filtres comptent automatiquement les paquets qui ont été abandonnés dans le sens entrant en raison d’erreurs de contrôle de redondance cyclique (CRC).

  • forwarding-class class: assigner des paquets à une classe de transfert.

  • log—Consigner les informations d’en-tête de paquet dans le moteur de routage.

  • loss-priority priority: définit la priorité de suppression d’un paquet.

  • policer policer-name: applique une limitation de débit au trafic.

  • flood: inonder les paquets.

  • syslog: consigne une alerte pour ce paquet.

Si vous omettez l’instruction ou si vous ne spécifiez pas d’action, les paquets correspondant à toutes les conditions de l’instruction thenfrom sont acceptés. Mais assurez-vous de toujours configurer une action dans l’instruction then . Vous ne pouvez inclure qu’une seule instruction d’action, mais vous pouvez utiliser n’importe quelle combinaison de modificateurs d’action. Pour qu’une action ou un modificateur d’action prenne effet, toutes les conditions de l’instruction from doivent correspondre.

• Pour appliquer un filtre afin de faire correspondre les paquets entrant dans le VLAN :

• Pour appliquer un filtre de pare-feu aux paquets sortant du VLAN :

• Pour filtrer les paquets entrant dans l’interface :

• Pour filtrer les paquets sortant de l’interface :

  Le type d’adresse de famille peut être ( pour IPv4) ou (inetinet6 pour IPv6).