Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ファイアウォールフィルターによるアクションの中断

ファイアウォールフィルターは、各プロトコルファミリーの一連の終端アクションをサポートします。フィルターを終了するアクションによって、特定のパケットに対するファイアウォールフィルターの評価がすべて中止されます。ルーターは指定されたアクションを実行し、それ以上の条件は検証されません。

注:

同じフィルター条件でnext termアクションを終了アクションとして設定することはできません。ただし、同じフィルタ条件でnext term別の終端以外のアクションを使用してアクションを設定できます。

Junos OS 進化するとnext term 、そのアクションの最後の条件としては表示できません。フィルター条件がアクションnext termとして指定されていますが、合致する範囲が構成されていない場合、サポートされていません。

MPC MX シリーズルーターの場合、対応する MIB SNMP フィルタを歩いて Trio 専用の一致フィルターのフィルタ カウンターを初期化する必要があります(例: show snmp mib walk name ascii これにより、Junos がフィルタカウンターを学習し、フィルタ統計が表示されることを確認します。このガイドは、すべての拡張モードファイアウォールフィルター、柔軟な条件を持つフィルター、特定の終端アクションを使用したフィルターに適用されます。詳細については、関連ドキュメントに記載されているトピックを参照してください。

表 1ファイアウォールフィルタ条件で指定できる終端処理のアクションについて説明します。

表 1: ファイアウォールフィルターのアクションを終了します。

終了アクション

説明

プロトコル

accept

パケットを受け入れます。

  • family any

  • family inet

  • family inet6

  • family mpls

  • family vpls

  • family ccc

  • family bridge

  • family ethernet-switching(EX シリーズスイッチの場合のみ)

decapsulate gre [ routing-instance instance-name ]

IPv4 トランスポートネットワークのプロバイダエッジ (PE) にインストールされている MX シリーズルーターの顧客と接しているインターフェイスで、フィルタベースの GRE トンネルを通過して送信した汎用ルーティングカプセル化 (GRE) パケットのカプセル化解除を有効にします。

このアクションと GRE プロトコルのパケットヘッダーマッチングを含む match 条件を組み合わせたフィルター条件を設定できます。IPv4 フィルターの場合は、 protocol gre (またはprotocol 47) 一致条件を含めます。ルーター内のモジュラー型インターフェイスカード (MIC) またはモジュラーポートコンセントレーター (MPC) 上のイーサネット論理インターフェイスまたはアグリゲートイーサネットインターフェイスの入力にフィルターを接続します。フィルターベースの GRE トンネリングをサポートしていないインターフェイスにカプセル化解除フィルターをアタッチする構成をコミットすると、そのインターフェイスがフィルターをサポートしていないという syslog 警告メッセージがシステムによって書き込まれます。

インターフェイスが一致したパケットを受信すると、パケット転送エンジンで実行されるプロセスは次の操作を実行します。

  • 外部 GRE ヘッダーを削除します。

  • 宛先のルックアップを実行して、内部ペイロードパケットを元の宛先に転送します。

デフォルトでは、パケット転送エンジンはデフォルトのルーティングインスタンスを使用してペイロードパケットを宛先ネットワークに転送します。ペイロードが MPLS されている場合、パケット転送エンジンは、MPLS ヘッダーのルートラベルを使用して、MPLS パスルーティングテーブルのルートルックアップを実行します。

オプションのルーティングインスタンスdecapsulate名を使用してアクションを指定した場合、パケット転送エンジンはルーティングインスタンスでルートルックアップを実行し、インスタンスを構成する必要があります。

注:

MX960 ルーターでは、 decapsulateこのアクションによって GRE、IP イン Ip、IPV6 イン ip の各トンネリングパケットが逆カプセル化されます。このアクションは、 [edit firewall family inet filter filter-name term term-name]階層レベルで設定します。

詳細については、 を参照 IPv4 ネットワーク全体でフィルターベースのトンネリングを理解する してください IPv4 ネットワーク全体でフィルターベースのトンネリングのコンポーネント

  • family inet

decapsulate l2tp [ routing-instance instance-name ] [ forwarding-class class-name ] [ output-interface interface-name ] [ cookie l2tpv3-cookie ] [ sample ]

IPv4 トランスポートネットワークのプロバイダエッジ (PE) にインストールされている MX シリーズルーター上の顧客と接しているインターフェイスで、フィルタベースの L2TP トンネルを通過したレイヤー2トンネリングプロトコル (L2TP) パケットのカプセル化解除を有効にします。

このアクションと、L2TP プロトコルに一致するパケットヘッダーを含む照合条件を組み合わせたフィルター条件を設定できます。IPv4 トラフィックでは、入力ファイアウォール$junos-input-filterフィルターと出力ファイアウォール$junos-output-filterフィルタがインターフェイスにアタッチされています。ルーター内のモジュラー型インターフェイスカード (MIC) またはモジュラーポートコンセントレーター (MPC) 上のイーサネット論理インターフェイスまたはアグリゲートイーサネットインターフェイスの入力にフィルターを接続します。フィルターベースの L2TP トンネリングをサポートしていないインターフェイスにカプセル化解除フィルターをアタッチする構成をコミットすると、そのインターフェイスがフィルターをサポートしていないという syslog 警告メッセージがシステムによって書き込まれます。

リモートトンネルエンドポイントは、ペイロードにイーサネット MAC アドレスを含む IP トンネルパケットを送信します。ペイロードパケットの宛先 MAC アドレスにルーターの MAC アドレスが含まれている場合、イーサネットパケットは送信方向でネットワークに送信され、顧客ポートで受信したものとして処理および転送されます。ペイロードパケットの送信元 MAC アドレスにルーターの MAC アドレスが含まれている場合、イーサネットパケットは顧客のポートに向かって送信方向に送信されます。トンネルに設定された cookie が存在しない場合、パケット挿入は行われません。このような場合、受信したすべてのトンネルパケットは、間違った cookie を使用して到着したパケットがカウントされてドロップしたときと同じ方法で破棄されます。

decapsulate l2tpアクションには、以下のパラメーターを指定できます。

  • routing-instance instance-name—デフォルトでは、パケット転送エンジン ルーティング インスタンスを使用してペイロード パケットを宛先ネットワークに転送します。ペイロードが MPLS されている場合、パケット転送エンジンは、MPLS ヘッダーのルートラベルを使用して、MPLS パスルーティングテーブルのルートルックアップを実行します。オプションのルーティングインスタンスdecapsulate名を使用してアクションを指定した場合、パケット転送エンジンはルーティングインスタンスでルートルックアップを実行し、インスタンスを構成する必要があります。

  • forwarding-class class-name—(オプション) l2TP パケットを指定された転送クラスに分類します。

  • output-interface interface-name—(オプション)L2TP トンネルの場合、パケットを複製して顧客またはネットワークに送信できます(イーサネット ペイロード内の MAC アドレス ベース)。

  • cookie l2tpv3-cookie—(オプション)L2TP トンネルの場合、重複するパケットに L2TP Cookie を指定します。トンネルに設定された cookie が存在しない場合、パケット挿入は行われません。このような場合、受信したすべてのトンネルパケットは、間違った cookie を使用して到着したパケットがカウントされてドロップしたときと同じ方法で破棄されます。

  • sample—(オプション)パケットのサンプル。Junos OS は、ルーターから送信されるパケットをサンプリングするわけではありません。フィルターを構成し、インターフェイスの出力側に適用した場合、そのインターフェイスを通過する通過パケットのみがサンプリングされます。ルーティングエンジンからパケット転送エンジンに送信されたパケットはサンプリングされません。

注:

階層レベルで設定したアクションでは、 decapsulate l2tp IPv4 および IPv6 オプションを使用したトラフィックは処理されません。 [edit firewall family inet filter filter-name term term-name] その結果、そのようなオプションを持つトラフィックは、L2TP パケット機能のカプセル化解除によって破棄されます。

family inet

discard

インターネット制御メッセージプロトコル (ICMP) メッセージを送信せずに、パケットをサイレントで破棄します。ログ収集とサンプリングには、廃棄されたパケットを利用できます。

  • family any

  • family inet

  • family inet6

  • family mpls

  • family vpls

  • family ccc

  • family bridge

  • family ethernet-switching(EX シリーズスイッチの場合のみ)

encapsulate template-name

IPv4 トランスポートネットワークのプロバイダエッジ (PE) にインストールされている MX シリーズルーターの顧客と接しているインターフェイスで、指定されたトンネルテンプレートを使用して、フィルタベースの汎用ルーティングカプセル化 (GRE) トンネリングを有効にします。

このアクションと適切な一致条件をペアにしたフィルター条件を設定し、イーサネット論理インターフェイスの入力、またはモジュラー型インターフェイスカード (MIC) またはモジュラー型ポートコンセントレーター (MPC) になります。フィルターベースの GRE トンネリングをサポートしていないインターフェイスにカプセル化フィルターを適用する構成をコミットすると、そのインターフェイスがフィルターをサポートしていないという syslog 警告メッセージがシステムによって書き込まれます。

インターフェイスが一致したパケットを受信すると、パケット転送エンジンで実行されるプロセスは、指定したトンネルテンプレートの情報を使用して次の操作を実行します。

  1. トンネルテンプレートに指定されているように、GRE ヘッダーを付加します (トンネルキー値の有無はかかわらず)。

  2. IPv4 トランスポートプロトコルのヘッダーを接続します。

  3. 結果の GRE パケットをトンネルソースインターフェイスからトンネル宛先 (リモート PE ルーター) に転送します。

指定されたトンネルテンプレートは、またtunnel-end-point[edit firewall]階層レベル[edit logical-systems logical-system-name firewall]の下のステートメントを使用して設定する必要があります。詳細についてはIPv4 ネットワーク全体でフィルターベースのトンネリングを理解する、を参照してください。

  • family inet

  • family inet6

  • family any

  • family mpls

encapsulate template-name (L2TP トンネル用)

IPv4 トランスポートネットワークのプロバイダエッジ (PE) にインストールされている MX シリーズルーターの顧客と接しているインターフェイスで、指定されたトンネルテンプレートを使用してフィルターベースの L2TP トンネリングを有効にします。このアクションと適切な一致条件をペアにしたフィルター条件を設定し、イーサネット論理インターフェイスの入力、またはモジュラー型インターフェイスカード (MIC) またはモジュラー型ポートコンセントレーター (MPC) になります。フィルターベースの GRE トンネリングをサポートしていないインターフェイスにカプセル化フィルターを適用する構成をコミットすると、そのインターフェイスがフィルターをサポートしていないという syslog 警告メッセージがシステムによって書き込まれます。インターフェイスが一致したパケットを受信すると、パケット転送エンジンで実行されるプロセスは、指定したトンネルテンプレートの情報を使用して次の操作を実行します。

  1. トンネルテンプレートで指定されているように、トンネルキー値を使用して、または使用せずに、L2TP ヘッダーをアタッチします。

  2. IPv4 トランスポートプロトコルのヘッダーを接続します。

  3. 結果として得られた L2TP パケットをトンネルソースインターフェイスからトンネル宛先 (リモート PE ルーター) に転送します。指定されたトンネルテンプレートは、or tunnel-end-point[edit logical-systems logical-system-name firewall]ステートメント階層の[edit firewall]下にあるステートメントを使用して設定する必要があります。

  • family inet

exclude-accounting

L2TP LAC でトンネリングされた加入者に対して正確なアカウンティング統計に含まれるパケットを除外します。通常、DHCPv6 または ICMPv6 制御トラフィックの障害に対応してこれらのパケットを除外するフィルターで使用すると、アイドルタイムアウト検出メカニズムによって、これらのパケットをデータトラフィックとして検討しているため、タイムアウトが期限切れになりません。アイドルタイムアウトは、access profile セッションオプションclient-idle-timeoutclient-idle-timeout-ingress-only and ステートメントで設定されます。

この用語は、ファミリの正確なアカウンティングとサービス精度の高いアカウンティングのために、パケットが何回もカウントされるのを除外しています。パケットは引き続きセッションインターフェイス統計に含まれています。

この用語は、とinetinet6ファミリの両方で使用できますが、 inet6にのみ使用されます。

  • family inet

  • family inet6

logical-system logical-system-name

パケットを指定された論理システムにダイレクトします。

注:

このアクションは PTX シリーズパケットトランスポートルーターではサポートされていません。

  • family inet

  • family inet6

reject message-type

パケットを拒否し、ICMPv4 または ICMPv6 メッセージを返します。

  • [いいえmessage-type ] を指定しdestination unreachableた場合は、デフォルトでメッセージが表示されます。

  • tcp-resetmessage-type指定されたtcp-reset場合、パケットが TCP パケットである場合にのみ返されます。それ以外の場合 administratively-prohibited は、値 13 のメッセージが返されます。

  • 他のmessage-typeものが指定されている場合は、そのメッセージが返されます。

注:

拒否されたパケットは、or samplesyslogアクションを設定することによってサンプリングまたはログに記録できます。MX2K-MPC11E の場合、ICMP 拒否メッセージはエグレス フィルター、ポリシー、サービス クラス(CoS)設定を通過します。また、これらの統計情報に含まれます。メッセージにも同 destination unreachable じことを言います

以下message-typeのいずれかの値を指定できます。address-unreachablesource-host-isolatedtcp-reset,,,,,,,,,,,,,,,,,,,、または. administratively-prohibitedbad-host-tosbad-network-tosbeyond-scopefragmentation-neededhost-prohibitedhost-unknownhost-unreachablenetwork-prohibitednetwork-unknownnetwork-unreachableno-routeport-unreachableprecedence-cutoffprecedence-violationprotocol-unreachablesource-route-failed

PTX1000 ルーターでは、受信インターフェイスでのみ reject アクションがサポートされています。

  • family inet

  • family inet6

routing-instance instance-name

パケットを指定されたルーティングインスタンスにリダイレクトします。

  • family inet

  • family inet6

topology topology-name

パケットを指定されたトポロジにリダイレクトします。

注:

このアクションは PTX シリーズパケットトランスポートルーターではサポートされていません。

各ルーティング インスタンス(プライマリまたは仮想ルーター)は、すべての転送クラスが転送される、1 つのデフォルト トポロジをサポートしています。マルチトポロジルーティングでは、受信インターフェイス上にファイアウォールフィルターを設定して、特定の転送クラス (優先転送など) に一致させることができます。指定した転送クラスと一致するトラフィックが、そのトポロジのルーティングテーブルに追加されます。

  • family inet

  • family inet6