Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

インターフェイス固有のファイアウォール フィルター インスタンスの概要

インターフェイス固有のファイアウォールフィルターのインスタンス化

T Series、M120、M320、およびMX シリーズルーターでは、Junos OSを有効にして、フィルターを適用するインターフェイスごとに ファイアウォールフィルター のインターフェイス固有のインスタンスを自動的に作成できます。ファイアウォールフィルターのインターフェイス固有のインスタンス化を有効にし、そのフィルターを複数のインターフェイスに適用した場合、フィルターの用語で設定された count アクションや policer アクションは、複数のインターフェイスのトラフィックの合計に関係なく、個々のインターフェイスから送受信されるトラフィックストリームに作用します。

フィルター構成に interface-specific ステートメントを含めることで、ファイアウォール フィルターごとにこのオプションを有効にすることができます。

注:

T Series、M120、M320、およびMXシリーズルーターでは、インターフェイスは複数のパケット転送コンポーネントに分配されます。

インターフェイス固有のファイアウォールフィルタリングは、M120およびM320ルーター以外のM Seriesルーターではサポートされていません。M120またはM320ルーター以外のM Seriesルーター上の複数のインターフェイスにファイアウォールフィルターを適用した場合、フィルターはそれらのインターフェイスから送受信されるトラフィックの合計に作用します。

インターフェイス固有のファイアウォール フィルタリングは、標準のステートレス ファイアウォール フィルターとサービス フィルターでサポートされています。インターフェイス固有のインスタンスは、シンプルフィルターではサポートされていません。

注:

ファイアウォールフィルターをインターフェイス固有にも、インターフェイス共有にもすることはできません。

ファイアウォールフィルターインスタンスのインターフェイス固有の名前

Junos OSが 論理インターフェイス用にファイアウォールフィルターの別のインスタンスを作成すると、そのインスタンスはインターフェイス固有の名前に関連付けられます。システムが生成するファイアウォールフィルターインスタンスの名前は、設定されたフィルターの名前、ハイフン('-')、完全なインターフェイス名、入力フィルターインスタンスの場合は「-i」、出力フィルターインスタンスの場合は「-o」で構成されます。

  • Input filter instance name—例えば、論理インターフェイスat-1/1/1.0の入力にインターフェイス固有のファイアウォールフィルターfilter_s_tcpを適用すると、Junos OSは次のシステム生成の名前でインターフェイス固有のフィルター インスタンスをインスタンス化します。

  • Output filter instance name—例えば、インターフェイス固有のファイアウォールフィルター filter_s_tcp を論理インターフェイス so-2/2/2.2の出力に適用すると、Junos OSは次のシステム生成名でインターフェイス固有のフィルター インスタンスをインスタンス化します。

ステートレスファイアウォールフィルター名を指定するJunos OS 動作モードコマンド を入力すると、フィルターインスタンスのインターフェイス固有の名前を使用できます。

ヒント:

インターフェイス固有のインスタンスを有効にしてファイアウォールフィルターを設定する場合、フィルター名の長さを 52 バイト に制限することをお勧めします。これは、ファイアウォールフィルター名の長さが 64 バイト に制限されているためです。システム生成のフィルターインスタンス名がこの最大長を超えると、ポリシーフレームワークソフトウェアがそのインスタンス名を拒否することがあります。

インターフェイス固有のファイアウォール フィルター カウンター

インターフェイス固有のファイアウォールフィルターをインスタンス化すると、パケット転送エンジンは、ファイアウォールフィルターのカウンターをインターフェイスごとに個別に維持します。count counter-name非終了アクションを指定することで、ファイアウォールフィルターの条件ごとにインターフェイス固有のカウンターを指定します。

インターフェイス固有のファイアウォール フィルター カウンターのシステム生成名は、設定されたカウンターの名前、ハイフン('-')、完全なインターフェイス名、および入力フィルター インスタンスの場合は '-i'、出力フィルター インスタンスの場合は '-o' で構成されます。

  • Interface-specific input filter counter name—例えば、インターフェイス固有のファイアウォールフィルターにフィルターカウンター count_tcp を設定するとします。論理インターフェイス at-1/1/1.0の入力にフィルターを適用すると、Junos OS は次のシステム生成カウンター名を作成します。

  • Interface-specific output filter counter name—例えば、インターフェイス固有のファイアウォールフィルターにフィルターカウンター count_udp を設定するとします。論理インターフェイス so-2/2/2.2の出力にフィルターを適用すると、Junos OS は次のシステム生成カウンター名を作成します。

インターフェイス固有のファイアウォール フィルター ポリサー

インターフェイス固有のファイアウォールフィルターをインスタンス化すると、ファイアウォールフィルターカウンターの個別のインスタンスが作成されるだけでなく、ポリサーアクションの個別のインスタンスも作成されます。ファイアウォールフィルター設定で指定されたアクションを通じて適用されるポリサーは、インターフェイスグループ内の各インターフェイスに個別に適用されます。policer policer-name非終了アクションを指定することで、ファイアウォールフィルターの条件ごとにインターフェイス固有のポリサーを指定します。