インターフェイス固有のファイアウォール フィルター インスタンスの概要
インターフェイス固有のファイアウォールフィルターのインスタンス化
T Series、M120、M320、およびMX シリーズルーターでは、Junos OSを有効にして、フィルターを適用するインターフェイスごとに ファイアウォールフィルター のインターフェイス固有のインスタンスを自動的に作成できます。ファイアウォールフィルターのインターフェイス固有のインスタンス化を有効にし、そのフィルターを複数のインターフェイスに適用した場合、フィルターの用語で設定された count
アクションや policer
アクションは、複数のインターフェイスのトラフィックの合計に関係なく、個々のインターフェイスから送受信されるトラフィックストリームに作用します。
フィルター構成に interface-specific
ステートメントを含めることで、ファイアウォール フィルターごとにこのオプションを有効にすることができます。
T Series、M120、M320、およびMXシリーズルーターでは、インターフェイスは複数のパケット転送コンポーネントに分配されます。
インターフェイス固有のファイアウォールフィルタリングは、M120およびM320ルーター以外のM Seriesルーターではサポートされていません。M120またはM320ルーター以外のM Seriesルーター上の複数のインターフェイスにファイアウォールフィルターを適用した場合、フィルターはそれらのインターフェイスから送受信されるトラフィックの合計に作用します。
インターフェイス固有のファイアウォール フィルタリングは、標準のステートレス ファイアウォール フィルターとサービス フィルターでサポートされています。インターフェイス固有のインスタンスは、シンプルフィルターではサポートされていません。
ファイアウォールフィルターをインターフェイス固有にも、インターフェイス共有にもすることはできません。
ファイアウォールフィルターインスタンスのインターフェイス固有の名前
Junos OSが 論理インターフェイス用にファイアウォールフィルターの別のインスタンスを作成すると、そのインスタンスはインターフェイス固有の名前に関連付けられます。システムが生成するファイアウォールフィルターインスタンスの名前は、設定されたフィルターの名前、ハイフン('-
')、完全なインターフェイス名、入力フィルターインスタンスの場合は「-i
」、出力フィルターインスタンスの場合は「-o
」で構成されます。
Input filter instance name—例えば、論理インターフェイス
at-1/1/1.0
の入力にインターフェイス固有のファイアウォールフィルターfilter_s_tcp
を適用すると、Junos OSは次のシステム生成の名前でインターフェイス固有のフィルター インスタンスをインスタンス化します。filter_s_tcp-at-1/1/1.0-i
Output filter instance name—例えば、インターフェイス固有のファイアウォールフィルター
filter_s_tcp
を論理インターフェイスso-2/2/2.2
の出力に適用すると、Junos OSは次のシステム生成名でインターフェイス固有のフィルター インスタンスをインスタンス化します。count_s_tcp-so-2/2/2.2-o
ステートレスファイアウォールフィルター名を指定するJunos OS 動作モードコマンド を入力すると、フィルターインスタンスのインターフェイス固有の名前を使用できます。
インターフェイス固有のインスタンスを有効にしてファイアウォールフィルターを設定する場合、フィルター名の長さを 52 バイト に制限することをお勧めします。これは、ファイアウォールフィルター名の長さが 64 バイト に制限されているためです。システム生成のフィルターインスタンス名がこの最大長を超えると、ポリシーフレームワークソフトウェアがそのインスタンス名を拒否することがあります。
インターフェイス固有のファイアウォール フィルター カウンター
インターフェイス固有のファイアウォールフィルターをインスタンス化すると、パケット転送エンジンは、ファイアウォールフィルターのカウンターをインターフェイスごとに個別に維持します。count counter-name
非終了アクションを指定することで、ファイアウォールフィルターの条件ごとにインターフェイス固有のカウンターを指定します。
インターフェイス固有のファイアウォール フィルター カウンターのシステム生成名は、設定されたカウンターの名前、ハイフン('-
')、完全なインターフェイス名、および入力フィルター インスタンスの場合は '-i
'、出力フィルター インスタンスの場合は '-o
' で構成されます。
Interface-specific input filter counter name—例えば、インターフェイス固有のファイアウォールフィルターにフィルターカウンター
count_tcp
を設定するとします。論理インターフェイスat-1/1/1.0
の入力にフィルターを適用すると、Junos OS は次のシステム生成カウンター名を作成します。count_tcp-at-1/1/1.0-i
Interface-specific output filter counter name—例えば、インターフェイス固有のファイアウォールフィルターにフィルターカウンター
count_udp
を設定するとします。論理インターフェイスso-2/2/2.2
の出力にフィルターを適用すると、Junos OS は次のシステム生成カウンター名を作成します。count_udp-so-2/2/2.2-o
インターフェイス固有のファイアウォール フィルター ポリサー
インターフェイス固有のファイアウォールフィルターをインスタンス化すると、ファイアウォールフィルターカウンターの個別のインスタンスが作成されるだけでなく、ポリサーアクションの個別のインスタンスも作成されます。ファイアウォールフィルター設定で指定されたアクションを通じて適用されるポリサーは、インターフェイスグループ内の各インターフェイスに個別に適用されます。policer policer-name
非終了アクションを指定することで、ファイアウォールフィルターの条件ごとにインターフェイス固有のポリサーを指定します。