ファイアウォールフィルターの評価方法を理解する
ファイアウォールフィルターは1つ以上の用語で構成されており、ファイアウォールフィルター内の用語の順序は重要です。ファイアウォールフィルターを設定する前に、ジュニパーネットワークスのEXシリーズイーサネットスイッチがファイアウォールフィルター内の条件をどのように評価するか、およびパケットが条件に対してどのように評価されるかを理解しておく必要があります。
ファイアウォールフィルターが単一の条件で構成されている場合、フィルターは次のように評価されます。
-
パケットがすべての条件に一致する場合、
thenステートメントのアクションが実行されます。 -
パケットがすべての条件に一致し、
thenステートメントでアクションが指定されていない場合、 デフォルトのアクションaccept が実行されます。
ファイアウォールフィルターが複数の用語で構成されている場合、ファイアウォールフィルターは順次評価されます。
-
パケットは、最初の条件の
fromステートメントの条件に対して評価されます。 -
パケットが条件のすべての条件に一致する場合、
thenステートメントのアクションが実行され、評価は終了します。フィルター内の後続の項は評価されません。 -
パケットが条件のすべての条件に一致しない場合、パケットは2番目の条件の
fromステートメントの条件に対して評価されます。このプロセスは、パケットが後続の条件の 1 つの
fromステートメントの条件に一致するか、フィルターに条件がなくなるまで続きます。 -
パケットがフィルター内のすべての条件を一致せずに通過した場合、パケットは破棄されます。
図1 は、EXシリーズスイッチがファイアウォールフィルター内の条件を評価する方法を示しています。
用語に from ステートメントが含まれていない場合、パケットは一致していると見なされ、用語の then ステートメント内のアクションが実行されます。
条件に then ステートメントが含まれていない場合、またはアクションが then ステートメントで設定されておらず、パケットが条件の from ステートメントの条件に一致する場合、パケットは受け入れられます。
すべてのファイアウォールフィルターの末尾には、以下の明示的なフィルター条件に相当する暗黙的な deny ステートメントが含まれています。
term implicit-rule {
then discard;
}
したがって、パケットが条件に一致せずにフィルター内のすべての用語を通過した場合、パケットは破棄されます。条件のないファイアウォールフィルターを設定すると、そのフィルターを通過するすべてのパケットは破棄されます。