Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

フィルターベース転送の概要

ファイアウォールフィルターを使用して、特定のパケットをブロックすることができます。また、特定のパケットを転送する方法にも使用できます。

パケットを分類するか、ルーティングインスタンスに送信するフィルター

IPv4 または IPv6 トラフィックのみの場合は、ステートレスファイアウォールフィルターを転送クラスとルーティングインスタンスとともに使用して、パケットがネットワーク内で移動する方法を制御できます。これはフィルタベースの転送(fbf) と呼ばれます。

送信元アドレスに基づいて着信パケットに一致するフィルタリング条件を定義し、その後、一致するパケットを指定された転送クラスに分類することができます。このタイプのフィルタリングは、特定タイプのトラフィックを許可したり、負荷分散を改善したりするように設定できます。パケットを転送クラスに分類するためのステートレスファイアウォールフィルターを構成するには、終端以外のアクション forwarding-class class-nameを使用して条件を設定します。

また、指定されたルーティングインスタンスに一致するパケットをリダイレクトするフィルタリング条件を定義することもできます。このタイプのフィルタリングは、ファイアウォールまたはその他のセキュリティデバイスを介して特定タイプのトラフィックをルーティングし、トラフィックがパス上で続行される前に設定することができます。トラフィックをルーティングインスタンスにダイレクトするためのステートレスファイアウォールフィルターを構成するには、終端アクション routing-instance routing-instance-name <topology topology-name>付きの条件を構成して、一致するパケットを転送するルーティングインスタンスを指定します。

注:

ユニキャストリバースパスフォワーディング (uRPF) チェックは FBF アクションと互換性があります。uRPF チェックは、静的および動的インターフェイスに対して FBF アクションが有効になる前に、ソースアドレスチェックのために処理されます。これは、IPv4 シリーズと IPv6 シリーズの両方に適用されます。

マスタールーティングインスタンスにトラフィックを転送するにはrouting-instance default 、次に示すように、ファイアウォール構成で参照します。

注:

参考資料routing-instance masterではありません。これは機能しません。

ルーターまたはスイッチ内でパケットを分類して転送するための入力フィルタリング

送信元アドレスに基づいてパケットを分類するようにフィルターを設定し、受信インターフェイス上でフィルターを構成することによって、ルーターまたはスイッチ内でパケットの転送パスを指定することができます。

たとえば、アプリケーションにこのフィルタを使用すると、共通のアクセス レイヤー(レイヤー 2 スイッチなど)を持ち、複数のインターネット サービス プロバイダ(ISP)に接続されている 2 つのクライアントからトラフィックを区別できます。フィルタが適用されると、ルーターまたはスイッチは2つのトラフィックストリームを区別し、それぞれを適切なネットワークに誘導することができます。クライアントが使用しているメディアタイプに応じて、フィルターは送信元 IP アドレスを使用して、トラフィックをトンネル経由で対応するネットワークに転送できます。IP プロトコルタイプまたは IP 優先ビットに基づいて、パケットを分類するようにフィルターを設定することもできます。

他のルーティングテーブルにパケットを転送するための出力フィルタリング

また、出力インターフェイスでフィルターを構成することで、output フィルターに基づいてパケットを転送することもできます。ポートミラーリングでは、ポートのミラー化されたパケットを、パケットヘッダー内のパターンに基づいて複数の監視 pics と収集面に分配するのに役立ちます。ポートミラーリング送信インターフェイス上の FBF を構成する必要があります。

送信インタフェースで FBF フィルターが設定されているときに、出力フィルタに転送されるパケットは、少なくとも1つのルートルックアップを通過しています。パケットが FBF フィルターによって送信インターフェイスで分類された後、その後のルートルックアップのために別のルーティングテーブルにリダイレクトされます。

フィルタベースの転送を適用する際の制限事項

フィルターベースの転送を使用して設定されたインターフェイスは、SCU(送信元クラスの使用量)フィルタ照合、または送信元クラスおよび宛先クラスの使用量(SCU/DCU)アカウンティングをサポートしていない。