Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ステートレスファイアウォールフィルタアプリケーションポイント

ファイアウォールフィルターを定義したら、それをアプリケーションポイントに適用する必要があります。これらのアプリケーションポイントには、論理インターフェイス、物理インターフェイス、ルーティングインターフェイス、ルーティングインスタンスが含まれています。

ほとんどの場合、ファイアウォールフィルタは、入力フィルターまたは出力フィルタとして、またはその両方を同時に適用できます。入力フィルターは、指定されたインターフェイスで受信されるパケットに対してアクションを実行しますが、出力フィルターは、指定されたインターフェイスを介して送信されるパケットに対してアクションを実行します。

通常、単一の論理インターフェイス、受信トラフィック、発信トラフィック、またはその両方に対して、複数の条件を持つ1つのフィルターを適用します。ただし、1つまたは複数の条件を持つ複数のファイアウォールフィルタを連結して、それらをインターフェイスに適用することが必要になる場合があります。入力リストを使用して、インターフェイス上の着信トラフィックに複数のファイアウォールフィルターを適用します。出力リストを使用して、インターフェイス上のアウトバウンドトラフィックに複数のファイアウォールフィルターを適用します。入力リストまたは出力リストには、最大 16 のフィルタを含めできます。

設定できるフィルターとカウンターの数に制限はありませんが、実用的な考慮事項がいくつかあります。多くのカウンターにはより多くの条件が必要です。また、多数の条件によって、コミット操作中の処理に時間がかかることがあります。ただし、4,000 を超える条件とカウンターを持つフィルタは、正常に実装されています。

表 1ファイアウォールフィルターを適用できる各ポイントについて説明します。各アプリケーションポイントについて、そのポイントでサポートされているファイアウォールフィルターのタイプ、ルーター (またはスイッチ) 階層レベル、フィルタを適用可能な場合、プラットフォーム固有の制限事項を表に示します。

表 1: ステートレスファイアウォールフィルターの構成とアプリケーションの概要

フィルタタイプ

アプリケーションポイント

制限

ステートレスファイアウォールフィルター

ステートメントを含 filter filter-name めて設定する 階層 [edit firewall] レベル:

filter filter-name;
注:

familyステートメントが含まれていない場合、ファイアウォールフィルタは IPv4 トラフィックをデフォルトで処理します。

論理インタフェース

[edit interfaces interface-name unit unit-number family inet]階層レベルでinput filter-name or output filter-nameステートメントを含めることで適用します。

filter {
    input filter-name;
    output filter-name;
}
注:

暗黙inetのプロトコルファミリを使用して構成されたフィルターは、入力フィルターリストまたは出力フィルタリストに含めることはできません。

注:

T4000 タイプ5の FPCs では、レイヤー2のアプリケーションポイント (論理インターフェイスレベル) に適用されているフィルターは、DSCP、DSCP V6、 inet-precedence、などのレイヤー3分類子によって設定されたパケットの転送クラスと一致しmpls-expません。

以下のルーターでサポートされています。

  • T Series ルーター

  • M320 ルーター

  • M7i CFEB(CFEB-e)を使用したルーターの拡張

  • 拡張 CFEB-e を使用したルーターの M10i

また、以下の拡張ルーターのモジュラー ポート コンセントレータ(MPC)MX シリーズされます。

  • 10ギガビットイーサネット MPC

  • 60-ギガビットイーサネットキュー MPC

  • 60-ギガビットイーサネット拡張キュー MPC

  • 100-ギガビットイーサネット MPC

  • EX シリーズスイッチでもサポートされています。

ステートレスファイアウォールフィルター

[edit firewall family family-name]階層レベルで設定するには、次のステートメントを含めます。

filter filter-name;

以下family-nameのいずれかのプロトコルファミリーを使用できます。

  • any

  • bridge

  • ethernet-switching

  • ccc

  • inet

  • inet6

  • mpls

  • vpls

論理インタフェース上のプロトコルファミリー

は、、 [edit interfaces interface-name unit unit-number family family-name] 、またはoutput-listステートメントを含むinputinput-listoutput階層レベルで適用されます。

filter {
    input filter-name;
    input-list [ filter-names ];
    output filter-name;
    output-list [ filter-names ];
}

このプロトコル ファミリー bridge は、一部のルーター MX シリーズサポートされています。

ステートレスファイアウォールフィルター

ルーティングエンジンループバックインターフェイス

 

サービスフィルタ

[edit firewall family (inet | inet6)]階層レベルで設定するには、次のステートメントを含めます。

service-filter service-filter-name;

ファミリー inetまたinet6は論理インタフェース上

[edit interfaces interface-name unit unit-number family (inet | inet6)]階層レベルで適用するには、 service-setステートメントを使用して、サービスフィルターを入力フィルターまたは出力フィルタとしてサービスセットに適用します。

service {
    input {
        service-set service-set-name service-filter filter-name;
        
    }
    output {
        service-set service-set-name service-filter filter-name;
        
    }
} 

[edit services]階層レベルでサービスセットを設定するには、次のステートメントを含めます。

 service-set service-set-name;

アダプティブサービス (AS) およびマルチサービス (MS) PICs でのみサポートされています。

Postservice filter

[edit firewall family (inet | inet6)]階層レベルで設定するには、次のステートメントを含めます。

service-filter service-filter-name;

ファミリー inetまたinet6は論理インタフェース上

[edit interfaces interface-name unit unit-number family (inet | inet6)]階層レベルで適用するには、 post-service-filterサービスフィルターを入力フィルターとして適用する文をインクルードします。

service {
    input {
        post-service-filter filter-name;
    }
}

ポストサービスフィルターは、サービスの処理後にサービスインターフェイスに戻るトラフィックに適用されます。このフィルターは、サービスセットが設定されている場合にのみ適用されます。

簡易フィルター

[edit firewall family inet]階層レベルで設定するには、次のステートメントを含めます。

simple-filter filter-name

論理inetインタフェース上のファミリー

[edit interfaces interface-name unit unit-number family inet]階層レベルで適用するには、次のステートメントを含めます。

simple-filter simple-filter-name;

簡易フィルターは入力フィルターとしてのみ適用できます。

以下のプラットフォームでのみサポートされています。

  • イーサネット、イーサネット、ルーター上のIQ2(M120 イーサネットM320 IQ2)T Seriesします。

  • 拡張キューイング 高密度ポート コンセントレータ(EQ DPC)をMX シリーズ(およびスイッチ)EX シリーズします。

リバースパケット転送 (RPF) チェックフィルター

[edit firewall family (inet | inet6)]階層レベルで設定するには、次のステートメントを含めます。

filter filter-name; 

ファミリー inetまたinet6は論理インタフェース上

[edit interfaces interface-name unit unit-number family (inet | inet6)]階層レベルで適用するには、次のステートメントを含めます。

rpf-check fail-filter filter-name

ステートレスファイアウォールフィルターを RPF check filter として適用します。

 rpf-check {
    fail-filter filter-name;
    mode loose;
}

MX シリーズルーターおよび EX シリーズスイッチでのみサポートされています。