インターフェイスへのフィルターとサービスの適用
サービスセット定義を設定してサービスルールを定義してグループ化すると、ルーター上の1つ以上のインターフェイスにサービスを適用できます。定義されたサービスセットをインターフェイスに関連付けるには、[edit interfaces interface-name unit logical-unit-number family inet service]階層レベルでinputまたはoutputステートメントとともにservice-setステートメントを含めます。
[edit interfaces interface-name unit logical-unit-number family inet service] input { service-set service-set-name <service-filter filter-name>; post-service-filter filter-name; } output { service-set service-set-name <service-filter filter-name>; }
インターフェイスでサービスを有効にした場合、リバースパス転送はサポートされません。管理インターフェイス(fxp0)またはループバックインターフェイス(lo0)でサービスを設定することはできません。
インターフェイスの入力側と出力側で異なるサービスセットを設定できます。ただし、双方向サービスルールを持つサービスセットの場合は、inputステートメントとoutputステートメントの両方に同じサービスセット定義を含める必要があります。serviceステートメントに含めるサービスセットは、[edit services service-set service-set-name]階層レベルでinterface-serviceステートメントで設定する必要があります。詳細については、サービスインターフェイスに適用するサービスセットの設定を参照してください。
拒否アクションを含む入力ファイアウォールフィルターとステートフルファイアウォールルールを含むサービスセットでインターフェイスを設定した場合、ステートフルファイアウォールルールがパケットで実行される前に、ルーターは入力ファイアウォールフィルターを実行します。その結果、パケット転送エンジンがインターフェイスを介してインターネット制御メッセージプロトコル(ICMP)エラーメッセージを送信すると、入力方向にパケットが表示されないため、ステートフルファイアウォールルールがパケットをドロップする可能性があります。
可能な回避策は、入力方向のステートフルファイアウォールの後に実行されるため、拒否アクションを実行するための転送テーブルフィルターを含めるか、ローカルで生成されたICMPパケットがステートフルファイアウォールサービスに行かないように出力サービスフィルターを含めることです。
サービスフィルターの設定
オプションで各サービスセットに関連付けられたフィルターを含めて、ターゲットを絞り込み、トラフィックを追加で処理できます。service-filter定義なしでservice-setステートメントを含めると、ルーターソフトウェアは一致条件がtrueであると見なし、処理するサービスセットを自動的に選択します。
サービスフィルターを設定するには、[edit]階層レベルでfirewallステートメントを含めます。
firewall {
family inet {
service-filter filter-name {
term term-name {
from {
match-conditions;
}
then {
action;
action-modifiers;
}
}
}
}
}
サービスフィルターを設定するには、アドレスファミリーとして inet を指定する必要があります。
サービスフィルターは、ファイアウォールフィルターと同様の方法で設定します。サービスフィルターの一致条件はファイアウォールフィルターと同じですが、以下の特定のアクションがあります。
count—カウンタ合計にパケットを追加します。log—パケットを記録します。port-mirror- パケットをポートミラーリングします。sample—パケットをサンプリングします。service—サービス処理のためにパケットを転送します。skip—サービス処理からパケットを除外します。
ファイアウォールフィルターの設定の詳細については、 『ルーティングポリシー、ファイアウォールフィルタ、およびトラフィックポリサーユーザーガイド』を参照してください。
また、インターフェイスの各側に複数のサービスセット定義を含めることもできます。複数のサービスセットを含めた場合、ルーターソフトウェアは設定で指定された順序でそれらを評価します。サービスフィルターで一致するものを見つけた最初のサービスセットを実行し、後続の定義は無視します。
追加のステートメントにより、入力サービス セットの実行後にトラフィックを処理するためのフィルターを指定できます。このタイプのフィルターを設定するには、[edit interfaces interface-name unit logical-unit-number family inet service input]階層レベルでpost-service-filterステートメントを含めます。
post-service-filter filter-name;
ソフトウェアは、サービスセットを選択して実行した場合にのみ、ポストサービスフィルタリングを実行します。トラフィックが設定されたサービスセットの一致基準を満たさない場合、postserviceフィルターは無視されます。 post-service-filter ステートメントは、サービスインターフェイスがMS-MICまたはMS-MPC上にある場合、サポートされません。
サービスセットをインターフェイスに適用する例については、 例:サービスインターフェイスの設定を参照してください。
インターフェイスへのフィルター適用の詳細については、 ルーティングデバイス用 Junos OS ネットワークインターフェイスライブラリを参照してください。フィルターの一般的な情報については、 ルーティングポリシー、ファイアウォールフィルター、およびトラフィックポリサーユーザーガイドを参照してください。
NAT処理がパケットに適用された後は、出力サービスフィルターの対象になりません。サービスフィルターは、未変換のトラフィックのみに影響を与えます。