Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ファイアウォール フィルタ終端処理

ファイアウォール フィルターは、各プロトコル ファミリーの一連の終端処理をサポートします。フィルター終端処理は、特定のパケットのファイアウォール フィルターのすべての評価を停止します。ルーターは指定されたアクションを実行し、追加の条件は検査されません。

注:

同じフィルタ条件でnext term終了アクションを使用してアクションを設定することはできません。ただし、同じフィルタ条件で別のnext term終端処理以外のアクションを使用してアクションを設定することはできます。

Junos OS Evolvedでは、 next term アクションの最後の期間として表示できません。アクションとして指定されているが next term 、一致条件が設定されていないフィルタ条件はサポートされていません。

MPC を搭載した MX シリーズ ルーターでは、対応する SNMP MIB を歩いて、Trio のみの一致フィルターのフィルター カウンターを初期化する必要があります show snmp mib walk name ascii。このため、Junos は強制的にフィルター カウンターを学習し、フィルター統計が表示されていることを確認します。このガイダンスは、すべての拡張モード ファイアウォール フィルター、柔軟な条件を持つフィルター、および特定の終端処理を使用するフィルターに適用されます。詳細については、関連ドキュメントに記載されているこれらのトピックを参照してください。

表 1 は、ファイアウォール フィルター条件で指定できる終端処理について説明しています。

表 1: ファイアウォール フィルターのアクションの終了

終了アクション

説明

プロトコル

accept

パケットを受け入れます。

  • family any

  • family inet

  • family inet6

  • family mpls

  • family vpls

  • family ccc

  • family bridge

  • family ethernet-switching (EX シリーズ スイッチのみ)

decapsulate gre [ routing-instance instance-name ]

IPv4 トランスポート ネットワークのプロバイダ エッジ(PE)に設置された MX シリーズ ルーター上の顧客対応インターフェイスで、フィルターベースの GRE トンネルを介して転送される GRE(汎用ルーティング カプセル化)パケットのカプセル化解除を可能にします。

このアクションを GRE プロトコルのパケット ヘッダー照合を含む照合条件と組み合わせるフィルタ条件を設定できます。IPv4 フィルターの場合は、(またはprotocol 47) 照合条件をprotocol gre含めます。 ルーターの MIC(モジュラー インターフェイス カード)または MPC(モジュラー ポート コンセントレータ)上のイーサネット論理インターフェイスまたはアグリゲート イーサネット インターフェイスの入力にフィルタを接続します。 フィルターベースの GRE トンネリングをサポートしていないインターフェイスにカプセル化解除フィルターをアタッチする設定をコミットすると、インターフェイスがフィルターをサポートしていないという syslog 警告メッセージがシステムに書き込まれます。

インターフェイスが一致したパケットを受信すると、パケット転送エンジンで実行されるプロセスは、次の操作を実行します。

  • 外部 GRE ヘッダーを削除します。

  • 宛先ルックアップを実行して、内部ペイロード パケットを元の宛先に転送します。

デフォルトでは、パケット転送エンジンはデフォルトのルーティング インスタンスを使用してペイロード パケットを宛先ネットワークに転送します。ペイロードが MPLS の場合、パケット転送エンジンは MPLS ヘッダーのルート ラベルを使用して MPLS パス ルーティング テーブルのルート ルックアップを実行します。

オプションの decapsulate ルーティング インスタンス名でアクションを指定した場合、パケット転送エンジンはルーティング インスタンスに対してルート ルックアップを実行し、インスタンスを設定する必要があります。

注:

MX960ルーターでは、GRE、 decapsulate IP-in-IP、IPv6-in-IPトンネリングパケットのカプセル化を解除します。このアクションは階層レベルで設定します [edit firewall family inet filter filter-name term term-name]

詳細については、 および IPv4 ネットワーク全体のフィルターベース トンネリングのコンポーネントを参照してくださいIPv4 ネットワーク全体のフィルターベーストンネリングについて

  • family inet

decapsulate l2tp [ routing-instance instance-name ] [ forwarding-class class-name ] [ output-interface interface-name ] [ cookie l2tpv3-cookie ] [ sample ]

IPv4 トランスポート ネットワークのプロバイダ エッジ(PE)に設置された MX シリーズ ルーター上の顧客対応インターフェイスで、フィルターベースの L2TP トンネルを介して転送されるレイヤー 2 トンネリング プロトコル(L2TP)パケットのカプセル化解除を可能にします。

このアクションを、L2TP プロトコルのパケット ヘッダー一致を含む照合条件と組み合わせるフィルタ条件を設定できます。IPv4 トラフィックの場合、入力ファイアウォール フィルター $junos-input-filter と出力ファイアウォール フィルター $junos-output-filter がインターフェイスにアタッチされます。ルーターの MIC(モジュラー インターフェイス カード)または MPC(モジュラー ポート コンセントレータ)上のイーサネット論理インターフェイスまたはアグリゲート イーサネット インターフェイスの入力にフィルタを接続します。フィルターベースの L2TP トンネリングをサポートしていないインターフェイスにカプセル化解除フィルターをアタッチする設定をコミットすると、インターフェイスがフィルターをサポートしていないという syslog 警告メッセージがシステムに書き込まれます。

リモート トンネル エンドポイントは、ペイロードにイーサネット MAC アドレスを含む IP トンネル パケットを送信します。ペイロード パケットの宛先 MAC アドレスにルーターの MAC アドレスが含まれている場合、イーサネット パケットはネットワークに向かって送信方向に送信され、カスタマー ポートで受信されたかのように処理および転送されます。ペイロード パケットの送信元 MAC アドレスにルーターの MAC アドレスが含まれている場合、イーサネット パケットは顧客ポートに向かって送信方向に送信されます。トンネルに設定された Receive-Cookie が含まれていない場合、パケット インジェクションは発生しません。このような場合、受信したトンネル パケットは、誤った Cookie で到着したパケットをカウントして破棄するのと同じ方法でカウントおよび破棄されます。

アクションには、以下のパラメーターを decapsulate l2tp 指定できます。

  • routing-instance instance-name—デフォルトでは、パケット転送エンジンはデフォルトのルーティング インスタンスを使用してペイロード パケットを宛先ネットワークに転送します。ペイロードが MPLS の場合、パケット転送エンジンは MPLS ヘッダーのルート ラベルを使用して MPLS パス ルーティング テーブルのルート ルックアップを実行します。オプションの decapsulate ルーティング インスタンス名でアクションを指定した場合、パケット転送エンジンはルーティング インスタンスに対してルート ルックアップを実行し、インスタンスを設定する必要があります。

  • forwarding-class class-name—(オプション)l2TP パケットを指定された転送クラスに分類します。

  • output-interface interface-name—(オプション)L2TP トンネルの場合、パケットを複製して顧客またはネットワークに送信できるようにします(イーサネット ペイロードの MAC アドレスに基づく)。

  • cookie l2tpv3-cookie—(オプション)L2TP トンネルの場合は、重複したパケットの L2TP Cookie を指定します。トンネルに設定された Receive-Cookie が含まれていない場合、パケット インジェクションは発生しません。このような場合、受信したトンネル パケットは、誤った Cookie で到着したパケットをカウントして破棄するのと同じ方法でカウントおよび破棄されます。

  • sample—(オプション)パケットをサンプルします。Junos OS は、ルーターから送信されたパケットをサンプリングしません。フィルタを設定してインターフェイスの出力側に適用すると、そのインターフェイスを通過するトランジット パケットのみがサンプリングされます。ルーティング エンジンからパケット転送エンジンに送信されるパケットはサンプリングされません。

注:

階層レベルで[edit firewall family inet filter filter-name term term-name]設定したアクションはdecapsulate l2tp、IPv4 および IPv6 オプションを使用してトラフィックを処理しません。その結果、このようなオプションを持つトラフィックは、L2TP パケット機能のカプセル化解除によって破棄されます。

family inet

discard

インターネット制御メッセージ プロトコル(ICMP)メッセージを送信せずに、通知なくパケットを破棄します。破棄されたパケットは、ロギングとサンプリングに使用できます。

  • family any

  • family inet

  • family inet6

  • family mpls

  • family vpls

  • family ccc

  • family bridge

  • family ethernet-switching (EX シリーズ スイッチのみ)

encapsulate template-name

IPv4 トランスポート ネットワークのプロバイダ エッジ(PE)に設置された MX シリーズ ルーター上の顧客対応インターフェイスで、指定したトンネル テンプレートを使用して、フィルターベースの GRE(一般ルーティング カプセル化)トンネリングを有効にします。

このアクションを適切な照合条件と組み合わせるフィルタ条件を設定し、ルーターの MIC(モジュラー インターフェイス カード)または MPC(モジュラー ポート コンセントレータ)上のイーサネット論理インターフェイスまたはアグリゲート イーサネット インターフェイスの入力にフィルタをアタッチできます。 フィルターベースの GRE トンネリングをサポートしていないインターフェイスにカプセル化フィルターをアタッチする設定をコミットすると、インターフェイスがフィルターをサポートしていないという syslog 警告メッセージがシステムに書き込まれます。

インターフェイスが一致したパケットを受信すると、パケット転送エンジンで実行されるプロセスは、指定されたトンネル テンプレート内の情報を使用して、次の操作を実行します。

  1. GRE ヘッダーをアタッチします(トンネル テンプレートで指定されているとおり、トンネル キー値の有無にかかわらず)。

  2. IPv4 トランスポート プロトコルのヘッダーをアタッチします。

  3. 結果の GRE パケットをトンネル 送信元インターフェイスからトンネル宛先(リモート PE ルーター)に転送します。

指定されたトンネル テンプレートは、or [edit logical-systems logical-system-name firewall] 階層レベルのステートメントをtunnel-end-point使用して設定する[edit firewall]必要があります。詳細については、 を参照してください IPv4 ネットワーク全体のフィルターベーストンネリングについて

  • family inet

  • family inet6

  • family any

  • family mpls

encapsulate template-name (L2TP トンネル用)

IPv4 トランスポート ネットワークのプロバイダ エッジ(PE)に設置された MX シリーズ ルーター上の顧客対応インターフェイスで、指定したトンネル テンプレートを使用してフィルターベースの L2TP トンネリングを有効にします。このアクションを適切な照合条件と組み合わせるフィルタ条件を設定し、ルーターの MIC(モジュラー インターフェイス カード)または MPC(モジュラー ポート コンセントレータ)上のイーサネット論理インターフェイスまたはアグリゲート イーサネット インターフェイスの入力にフィルタをアタッチできます。フィルターベースの GRE トンネリングをサポートしていないインターフェイスにカプセル化フィルターをアタッチする設定をコミットすると、インターフェイスがフィルターをサポートしていないという syslog 警告メッセージがシステムに書き込まれます。インターフェイスが一致したパケットを受信すると、パケット転送エンジンで実行されるプロセスは、指定されたトンネル テンプレート内の情報を使用して、次の操作を実行します。

  1. L2TP ヘッダーをアタッチします(トンネル テンプレートで指定されているとおり、トンネル キー値の有無にかかわらず)。

  2. IPv4 トランスポート プロトコルのヘッダーをアタッチします。

  3. 結果として生じる L2TP パケットをトンネル 送信元インターフェイスからトンネル宛先(リモート PE ルーター)に転送します。指定されたトンネル テンプレートは、or [edit logical-systems logical-system-name firewall] ステートメント階層のステートメントをtunnel-end-point使用して設定する[edit firewall]必要があります。

  • family inet

exclude-accounting

L2TP LAC 上のトンネリングされた加入者の正確なアカウンティング統計に含まれていないパケットを除外します。通常、DHCPv6 または ICMPv6 制御トラフィックに一致するフィルターで使用これらのパケットを除外しなかった場合、これらのパケットをデータ トラフィックとして考慮するアイドル タイムアウト検知メカニズムが発生し、タイムアウトが期限切れになることはありません。(アイドル タイムアウトは、アクセス プロファイル セッション オプションの client-idle-timeout and client-idle-timeout-ingress-only ステートメントを使用して設定されます。

この用語は、家族の正確なアカウンティングとサービスの正確なアカウンティングの両方のカウントに含まれるパケットを除外します。パケットは引き続きセッション インターフェイス統計情報に含まれます。

この用語は、両方 inetinet6 ファミリで使用できますが inet6、.

  • family inet

  • family inet6

logical-system logical-system-name

パケットを指定された論理システムに誘導します。

注:

このアクションは、PTX シリーズ パケット トランスポート ルーターではサポートされていません。

  • family inet

  • family inet6

reject message-type

パケットを拒否し、ICMPv4 または ICMPv6 メッセージを返します。

  • no が message-type 指定されている場合、 destination unreachable メッセージはデフォルトで返されます。

  • として指定されているmessage-typetcp-reset場合tcp-resetは、パケットが TCP パケットの場合にのみ返されます。それ以外の administratively-prohibited 場合は、13 の値を持つメッセージが返されます。

  • その他 message-type のメッセージが指定されている場合は、そのメッセージが返されます。

注:

拒否されたパケットは、またはアクションを設定 sample した場合にサンプリングまたは syslog ログに記録できます。MX2K-MPC11E の場合、ICMP リジェクト メッセージはエグレス フィルター、ポリサー、サービス クラス(CoS)設定を通過します。また、これらの統計情報にも含まれています。メッセージについても同様です destination unreachable

message-type のいずれかの値を指定できます。address-unreachableadministratively-prohibitedbad-host-tosbad-network-tosbeyond-scopehost-prohibitedfragmentation-neededhost-unknownnetwork-unknownnetwork-prohibitednetwork-unreachableprecedence-violationport-unreachableno-routehost-unreachableprotocol-unreachablesource-host-isolatedprecedence-cutoffsource-route-failed、 または 。tcp-reset

PTX1000 ルーターでは、拒否アクションはイングレス インターフェイスでのみサポートされます。

  • family inet

  • family inet6

routing-instance instance-name

パケットを指定されたルーティング インスタンスに誘導します。

  • family inet

  • family inet6

topology topology-name

パケットを指定したトポロジに誘導します。

注:

このアクションは、PTX シリーズ パケット トランスポート ルーターではサポートされていません。

各ルーティング インスタンス(プライマリまたは仮想ルーター)は、すべての転送クラスが転送される 1 つのデフォルト トポロジをサポートします。マルチトポロジー ルーティングでは、特定のトポロジを使用して、転送を促進するなどの特定の転送クラスと一致するように、イングレス インターフェイスでファイアウォール フィルタを設定できます。指定された転送クラスと一致するトラフィックは、そのトポロジのルーティング テーブルに追加されます。

  • family inet

  • family inet6