Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ファイアウォール フィルターの概要(OCX シリーズ)

ファイアウォール フィルターは、インターフェイスを通過するパケットを受け入れるか破棄するかを定義するルールを提供します。パケットを受け入れる場合は、サービス クラス(CoS)マーキング(類似のタイプのトラフィックをグループ化し、各タイプのトラフィックを独自のサービス優先度を持つクラスとして処理)やトラフィック ポリシング(送受信するトラフィックの最大レートを制御)など、パケットに対して実行する追加のアクションを設定できます。ファイアウォール フィルターを設定して、パケットがレイヤー 3(ルーテッド)インターフェイスに入る前または終了する前に、パケットを受け入れるか破棄するかを決定します。

イングレス ファイアウォール フィルタはインターフェイスに入るパケットに適用され、エグレス ファイアウォール フィルタはインターフェイスから出るパケットに適用されます。

注:

ファイアウォール フィルターは、ACL( アクセス コントロール リスト )と呼ばれることもあります。

フィルターを適用できる場所

IPv4 または IPv6 レイヤー 3(ルーテッド)インターフェイスとループバック インターフェイスでは、イングレス方向とエグレス方向の両方にルーター ファイアウォール フィルタを適用できます。このインターフェイス は、スイッチ自体に送信されたトラフィックやスイッチによって生成されたトラフィックをフィルタリングします。

入力方向のループバック インターフェイスにフィルタを適用して、スイッチを不要なトラフィックから保護します。また、スイッチ自体から発信されるパケットに対して転送クラスと DSCP ビット値を設定できるように、出力方向のループバック インターフェイスにフィルターを適用することもできます。この機能により、CPU 生成パケットの分類を非常に細かく制御できます。たとえば、異なる DSCP 値と転送クラスを、異なるルーティング プロトコルによって生成されたトラフィックに割り当てて、それらのプロトコルのトラフィックを他のデバイスが差別化された方法で処理できるようにする場合があります。

注:

QFX5220 スイッチでは、イングレス方向のループバック インターフェイスにのみフィルターを適用できます。

注:

イングレス フィルタとエグレス フィルタを同じインターフェイスに適用すると、最初にイングレス フィルタが処理されます。

ファイアウォール フィルターを適用するには、以下の手順にしてください。

  1. ファイアウォール フィルターを設定します。

  2. ファイアウォール フィルタをレイヤー 3 インターフェイスに適用し、方向を指定します。方向を input 指定した場合、トラフィックはイングレスでフィルタリングされます。方向を output 指定すると、トラフィックはエグレスでフィルタリングされます。

注:

特定の方向のレイヤー 3 インターフェイスに適用できるファイアウォール フィルタは 1 つだけです。たとえば、特定 family inet のインターフェイスに対して、入力に 1 つ、出力用に 1 つのフィルタを適用できます。

OCX スイッチは、に示す接続ポイントのタイプごとにファイアウォール フィルター 条件の最大数を 表 1サポートしています。

表 1: サポートされるファイアウォール フィルター番号
フィルター タイプ フィルター最大数

イングレス

1536

出口

1024

ファイアウォール フィルター コンポーネント

ファイアウォール フィルタでは、最初にファミリー アドレス タイプ(inet IPv4 または inet6 IPv6 用)を定義し、フィルタリング基準と一致した場合に実行するアクションを指定する 1 つ以上の条件を定義します。

各用語は、次のコンポーネントで構成されています。

  • 照合条件 — パケットに含める必要がある値を一致と見なすために指定します。

  • アクション — パケットが照合条件に一致した場合の対処方法を指定します。フィルターは、一致するパケットを受け入れる、破棄する、または拒否してから、カウント、分類、ポリシングなどの追加のアクションを実行できます。条件に対してアクションが指定されていない場合、デフォルトでは一致するパケットを受け入れます。

ファイアウォール フィルター処理

フィルタに複数の条件がある場合、条件の順序は重要です。パケットが最初の項と一致する場合、スイッチはその条件によって定義されたアクションを実行し、他の条件は評価されません。パケットと最初の項の間に一致するものが見つからなかった場合、スイッチはパケットを次の項と比較します。パケットと 2 番目の項の間に一致が発生しない場合、システムは一致するものが見つかるまで、フィルター内の連続する各項とパケットを比較し続けます。パケットがフィルターのどの条件にも一致しない場合、スイッチはデフォルトでパケットを破棄します。