Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

インターフェイス固有のファイアウォールフィルタインスタンスの概要

インターフェイス固有のファイアウォールフィルターのインスタンス化

T Series、M120、M320、MX シリーズルーターでは、フィルタを適用する各インターフェイスに対して、Junos OSがファイアウォール フィルターのインターフェイス固有インスタンスを自動的に作成できます。 ファイアウォールフィルターのインターフェイス固有のインスタンス化を有効にし、そのフィルターを複数のインターフェイスにcount適用しpolicerた場合、フィルター条件で構成されたアクションやアクションは、各ユーザーに出入りするトラフィックストリームに作用します。、複数のインターフェイス上のトラフィックの合計に関係なく、インターフェイスがあります。

フィルター構成にステートメントをinterface-specific含めることで、このオプションをファイアウォールフィルターごとに有効にできます。

注:

マルチT Series、M120、M320、MX シリーズでは、インターフェイスが複数のパケット転送コンポーネント間で分散されます。

インターフェイス固有のファイアウォール フィルタリングは、デバイス ルーターやM Seriesルーター以外のM120ではM320サポートされています。ファイアウォール フィルタを M120 または M320 ルーター以外の M Series ルーター上の複数のインターフェイスに適用した場合、フィルタはそれらのインターフェイスで入退出するトラフィックの合計に対して動作します。

インターフェイス固有のファイアウォールフィルタリングは、標準のステートレスファイアウォールフィルターとサービスフィルターでサポートされています。シンプルなフィルタでは、インターフェイス固有のインスタンスはサポートされていません。

注:

ファイアウォールフィルターは、インターフェイスに固有で、インターフェイスを共有することはできません。

ファイアウォールフィルタインスタンスのためのインターフェイス固有の名前

Junos OSインターフェイスにファイアウォール フィルターの別のインスタンスを作成すると、インスタンスはインターフェイス固有の名前に関連付けされます。ファイアウォール フィルター インスタンスのシステム生成名は、設定済みのフィルターの名前の後にハイフン(' ')、インターフェイスのフル名、出力フィルター インスタンスの入力フィルター インスタンスの「」、または出力フィルター インスタンスの 「」で構成されています。 --i-o

  • Input filter instance nameたとえば、論理インターフェイスの入力にインターフェイス固有のファイアウォール フィルタを適用すると、Junos OS は次のシステムによって生成された名前を持つインターフェイス固有のフィルタ インスタンスをインスタンス化 filter_s_tcpat-1/1/1.0 します。

  • Output filter instance nameたとえば、論理インターフェイスの出力にインターフェイス固有のファイアウォール フィルタを適用すると、Junos OS は次のシステム生成名を使用してインターフェイス固有のフィルタ インスタンスをインスタンス化 filter_s_tcpso-2/2/2.2 します。

ステートレス ファイアウォール フィルタ名を指定する Junos OS 動作 モード コマンドを入力する際に、フィルター インスタンスのインターフェイス固有名を使用できます。

ヒント:

インターフェイス固有のインスタンスを有効にしたファイアウォール フィルターを設定する場合、フィルター名の長さは 52 バイトに 制限することをお勧めします。ファイアウォール フィルタの名前の長さは 64 バイト に制限されているためです。システムによって生成されたフィルタインスタンス名が、この最大長を超えた場合、ポリシーフレームワークソフトウェアはインスタンス名を拒否することがあります。

インターフェイス固有のファイアウォールフィルタカウンター

インターフェイス固有のファイアウォールフィルターのインスタンス化により、パケット転送エンジンは、各インターフェイスに対して個別にファイアウォールフィルターのカウンターを保持します。インターフェイス固有のカウンターを指定するには、ファイアウォールフィルタcount counter-name条件ごとに、終端以外のアクションを指定します。

インターフェイス固有のファイアウォール フィルタ カウンターのシステム生成名は、設定されたカウンターの後にハイフン(' ')、インターフェイスのフル名、出力フィルター インスタンスの入力フィルター インスタンスの「」、または出力フィルター インスタンスの 「」で構成されます。 --i-o

  • Interface-specific input filter counter name— たとえば、インターフェイス固有のファイアウォール フィルタにフィルタ カウンター count_tcp を設定したとします。論理インターフェイスの入力にフィルターを適用すると、Junos OSのシステム生成カウンター名 at-1/1/1.0 が作成されます。

  • Interface-specific output filter counter name— たとえば、インターフェイス固有のファイアウォール フィルタにフィルタ カウンター count_udp を設定したとします。フィルタが論理インターフェイスの出力に適用された場合、Junos OSは次のシステム生成カウンター名 so-2/2/2.2 を作成します。

インターフェイス固有のファイアウォールフィルタポリサー

インターフェイス固有のファイアウォールフィルターのインスタンス化によって、ファイアウォールフィルタカウンターの個別のインスタンスが作成されるだけでなく、すべてのポリサーのアクションの個別のインスタンスが作成されます。ファイアウォールフィルタ構成で指定されているアクションによって適用されたすべてのポリサーは、インターフェイスグループの各インターフェイスに個別に適用されます。インターフェイス固有のポリサーを指定するには、ファイアウォールフィルタpolicer policer-name条件ごとに、終端以外のアクションを指定します。