サービスフィルター
ACXシリーズのサービスフィルター
インライン サービス インターフェイスのトラフィックにサービス セットを適用する場合、オプションでサービス フィルターを使用してサービス セットのターゲットを絞り込んだり、トラフィックを処理したりできます。サービスフィルターを使用すると、トラフィックが宛先に配信される前に、インラインサービスインターフェイス上で定義されたサービスセットに対してパケットフィルタリングを実行して、トラフィックを操作できます。ACXシリーズルーターでは、入力サービス処理のためにパケットが受け入れられる前に、トラフィックにサービスフィルターを適用できます。
ACXシリーズルーターでは、 service-set フィルターはTCAM(Ternary Content Addressable Memory)スペースを使用して実装されます。割り当てられたTCAMスペースは、ブリッジファミリーフィルターによって共有されます。同じスペースがNNI-Address-Overload-Reverseフィルターによって共有されます(アドレスオーバーロードで設定された各サービスセットに対して、内部フィルターは、指定されたオーバーロードされたIPアドレスとポート範囲に対して設定され、一致したリバースNAT(パブリックからプライベート)トラフィックをサービスにリダイレクトします)。スケーリングの観点からは、割り当てられた124個のハードウェアTCAMエントリーがこれらの機能で共有され、TCAMエントリーの割り当ては先着順で機能します。
関連項目
サービスフィルター適用のガイドライン
このトピックでは、次の情報について説明します。
- インライン サービス インターフェイスの制限
- サービスフィルターを適用するためのステートメント階層
- サービスルールとインラインサービスインターフェイスの関連付け
- サービス処理のためにパケットを受け取る前のトラフィックのフィルタリング
インライン サービス インターフェイスの制限
サービスフィルターは、 インラインサービスインターフェイス にあるサービスセットに関連付けられたIPv4トラフィックにのみ適用できます。
ACXシリーズルーターは、ポストサービスフィルターをサポートしていません。
サービスフィルターを適用するためのステートメント階層
パケットが入力サービス処理で受け入れられる前に、IPv4トラフィックのパケットフィルタリングを有効にすることができます。これを行うには、インターフェイスサービスセットと組み合わせて、インラインサービスインターフェイス入力にサービスフィルターを適用します。
以下の設定は、インライン サービス インターフェイスにサービス フィルターを適用できる階層レベルを示しています。
[edit]
interfaces {
interface-name {
unit unit-number {
family (inet | inet6) {
service {
input {
service-set service-set-name service-filter service-filter-name;
}
output {
[ service-set service-set-name <service-filter filter-name> ];
}
}
}
}
}
}
サービスルールとインラインサービスインターフェイスの関連付け
インラインサービスインターフェイスに適用するサービスルールを定義してグループ化するには、[edit services]階層レベルでservice-set service-set-nameステートメントを含めてインターフェイスサービスセットを定義します。
インライン サービス インターフェイスの入力にインターフェイス サービス セットを適用するには、以下の階層レベルで サービス セット service-set-name を含めます。
-
[edit interfaces interface-name unit unit-number input]
サービス処理のためにパケットを受け取る前のトラフィックのフィルタリング
入力サービス処理用のパケットを受け入れる前にIPv4トラフィックをフィルタリングするには、以下の階層レベルに サービスセット service-set-name サービスフィルター service-filter-name を含めます。
-
[edit interfaces interface-name unit unit-number family inet service input]
service-set-nameには、[edit services service-set]階層レベルで設定されたサービスセットを指定します。
サービスセットは、サービスが適用された後も入力インターフェイス情報を保持するため、入力インターフェイス情報に依存するフィルタークラス転送などの機能は引き続き機能します。
サービス処理のためにパケットを受け取る前のインバウンドまたはアウトバウンドトラフィックのフィルタリングには、次の要件が適用されます。
-
インターフェイスの入力側と出力側に同じサービスセットを設定します。
-
オプションのサービスフィルター定義なしで
service-setステートメントを含めると、Junos OS一致条件がtrueであると仮定し、自動的に処理するサービスセットを選択します。 -
サービスフィルターは、サービスセットが設定され、選択されている場合にのみ適用されます。
関連項目
IPv4トラフィックのサービスフィルター一致条件
ACXシリーズでは、サービスフィルターは、IPv4トラフィックのステートレスファイアウォールフィルター一致条件のサブセットのみをサポートします。 表1は 、サービスフィルターの一致条件を示しています。
|
一致条件 |
説明 |
プロトコルファミリー |
|---|---|---|
|
宛先アドレス address |
IP宛先アドレスフィールドに一致します。 |
ファミリーINET |
|
宛先ポート number |
UDPまたはTCP宛先ポートフィールドに一致します。 同じ条件に ポート と 宛先ポート の両方の一致条件を指定することはできません。 IPv4トラフィックに対してこの一致条件を設定する場合、ポートで使用されるプロトコルを指定するために、同じ条件で protocol udp または protocol tcp matchステートメントを設定することもお勧めします。 |
ファミリーINET |
|
ipオプション values |
指定された値または値のリストに、8ビットIP オプションフィールドを一致させます。 |
ファミリーINET |
|
プロトコル number |
IPプロトコルタイプフィールドに一致します。 |
ファミリーINET |
|
送信元アドレス address |
IP送信元アドレスに一致します。 |
ファミリーINET |
|
ソースポート number |
UDPまたはTCP送信元ポートフィールドに一致します。 IPv4トラフィックに対してこの一致条件を設定する場合、ポートで使用されるプロトコルを指定するために、同じ条件で protocol udp または protocol tcp matchステートメントを設定することもお勧めします。 |
ファミリーINET |
|
TCPフラグ value |
TCPヘッダーの8ビットTCPフラグフィールドの下位6 ビットの1つ以上に一致します。 IPv4トラフィックに対してこの一致条件を設定する場合、ポートでTCPプロトコルが使用されていることを指定するために、同じ条件で protocol tcp matchステートメントを設定することもお勧めします。 |
ファミリーINET |
関連項目
サービスフィルターアクション
ACXシリーズは、サービスフィルター条件で設定できる終了および非終了アクションのさまざまなセットをサポートしています。
サービスフィルターは 、次の 用語 アクションをサポートしていません。
表2は 、サービスフィルター条件で設定できる終了アクションを示しています。
|
終了アクション |
説明 |
プロトコルファミリー |
|---|---|---|
|
サービス |
パケットをサービス処理に誘導します。 |
inet |
表3は 、サービスフィルター条件で設定できる非終了アクションを示しています。
|
非終了アクション |
説明 |
プロトコルファミリー |
|---|---|---|
|
|
パケットを受け取ります。 |
inet |
|
カウント counter-name |
指定されたカウンターのパケットをカウントします。 |
inet |
|
ログ |
パケットヘッダー情報をパケット転送エンジン内のバッファーに記録します。この情報には、コマンドラインインターフェイス(CLI)で |
inet |
|
ポートミラー |
指定されたファミリーに基づいてパケットをポートミラーリングします。 |
inet |