ファイアウォール フィルターの一致条件とアクション(QFX10000 スイッチ)
ファイアウォール フィルタの各条件は 、一致条件 と アクションで構成されます。照合条件は、パケットが一致と見なすために含める必要があるフィールドと値です。match ステートメントでは、単一または複数の照合条件を定義できます。また、no match ステートメントを含めることもできます。この場合、条件はすべてのパケットと一致します。
パケットがフィルタと一致すると、スイッチは条件で指定されたアクションを実行します。さらに、パケットのカウント、ミラーリング、レート制限、分類を行うアクション修飾子を指定できます。条件に一致条件が指定されていない場合、スイッチはデフォルトでパケットを受け入れます。
このトピックでは、QFX10000 スイッチのファイアウォール フィルターで定義できるさまざまな照合条件、アクション、アクション修飾子について説明します。他の QFX スイッチに関する同様の情報については、 を参照してください ファイアウォール フィルターの一致条件とアクション(QFX および EX シリーズ スイッチ)。
表 1 は、ファイアウォール フィルタの設定時に指定できる照合条件について説明しています。数値範囲とビットフィールド照合条件の一部では、テキストシノニムを指定できます。照合条件のすべてのシノニムのリストを表示するには、ステートメントの適切な場所に入力
?
します。表 2 は、条件で指定できるアクションを示しています。
表 3 は、パケットのカウント、ミラーリング、レート制限、分類に使用できるアクション修飾子を示しています。
照合条件 |
説明 |
方向とインターフェイス |
---|---|---|
|
IP 宛先アドレス フィールドは、最終宛先ノードのアドレスです。 |
イングレスIPv4(inet)インターフェイスとIPv6(inet6)インターフェイス。 エグレスIPv4(inet)インターフェイス、およびIPv6(inet6)インターフェイス。 EVPN/VXLAN ファブリック用イングレス IRB インターフェイス(該当する場合) |
|
パケットの MAC(宛先メディア アクセス制御)アドレス。 |
イングレス ポートと VLAN。 エグレス ポートと VLAN。 |
|
TCP または UDP 宛先ポート フィールド。通常、この一致を match ステートメントと
|
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 EVPN/VXLANファブリック用イングレスIRBインターフェイス(該当する場合) |
|
IP 宛先プレフィックス リスト フィールド。頻繁に使用するプレフィックス リスト エイリアスの下で IP アドレス プレフィックスのリストを定義できます。このリストを |
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 |
|
DSCP(差別化サービス コード ポイント) DiffServ プロトコルは、IP ヘッダーでサービスタイプ(ToS)バイトを使用します。このバイトの最上位 6 ビットが DSCP を形成します。 DSCP は、16 進形式、バイナリ形式、または 10 進形式で指定できます。 数値の代わりに、次のいずれかのテキストシノニムを指定できます(フィールド値も表示されます)。
|
イングレス ポート、VLAN、IPv4(inet)インターフェイス。 エグレス ポート、VLAN、IPv4(inet)インターフェイス。 |
|
パケットのイーサネット タイプ フィールド。EtherType 値は、イーサネット フレームで転送されるプロトコルを指定します。数値の代わりに、次のいずれかのテキストシノニムを指定できます(フィールド値も表示されます)。
|
イングレス ポートと VLAN。 エグレス ポートと VLAN。 |
|
パケットを次のデフォルト転送クラスまたはユーザー定義転送クラスのいずれかに分類します。
|
エグレス IPv4(inet)および IPv6(inet6)インターフェイス。 |
|
IP フラグメント化フラグ。数値の代わりに、次のいずれかのテキストシノニムを指定できます(16 進値も表示されます)。
|
イングレス ポート、VLAN、IPv4(inet)インターフェイス。 |
|
指定されたホップ制限またはホップ制限のセットを照合します。単一の値または 0 から 255 までの値の範囲を指定します。 |
イングレスおよびエグレス IPv6(inet6)インターフェイス。 |
|
ICMP コード フィールド。値の意味は、関連
|
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス |
|
ICMP メッセージ タイプ フィールド。通常、この一致を match ステートメントと IPv4: IPv6: 詳細は、 を |
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 |
|
論理ユニットを含め、パケットを受信するインターフェイス。インターフェイス名または論理ユニットの一部としてワイルドカード文字( 注:
パケットが送信されるインターフェイスは、一致条件として使用できません。 |
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイスと IPv6(inet6)インターフェイス。 |
|
パケットの最終宛先ノード アドレスである IPv4 アドレス。 |
イングレス ポート、エグレス ポート、VLAN。 EVPN/VXLAN ファブリック用イングレス IRB インターフェイス(該当する場合) |
|
IP ヘッダーのオプション フィールドに何かが指定されている場合に一致を作成するように指定 |
イングレス ポート、VLAN、IPv4(inet)インターフェイス。 |
|
IP precedence フィールド。数値フィールド値の代わりに、以下のいずれかのテキストシノニムを指定できます(フィールド値も表示されます)。 |
イングレス ポートと VLAN。 エグレス ポートと VLAN。 |
|
IP プロトコル フィールド。 |
イングレス ポートと VLAN。 エグレス ポートと VLAN。 EVPN/VXLAN ファブリック用イングレス IRB インターフェイス(該当する場合) |
|
パケットを送信する送信元ノードの IPv4 アドレス。 |
イングレス ポートと VLAN。 エグレス ポートと VLAN。 EVPN/VXLAN ファブリック用イングレス IRB インターフェイス(該当する場合) |
|
パケットの IP バージョン。この条件を使用して、レイヤー 2 ポートまたは VLAN インターフェイスに到着するトラフィックの IPv4 または IPv6 ヘッダー フィールドを照合します。 |
イングレス ポートと VLAN。 エグレス ポートと VLAN。 |
|
この条件を使用すると、IP ヘッダーで [その他のフラグメント] フラグが有効になっている場合、またはフラグメント オフセットが 0 でない場合に一致が発生します。 |
イングレス ポート、VLAN、IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
指定された範囲の IEEE 802.1p VLAN 優先度ビットを |
イングレス ポートと VLAN。 エグレス ポートと VLAN。 |
|
通常の VLAN の ID または外部(サービス)VLAN の ID を照合します(Q-in-Q VLAN の場合)。フィルター メモリを最も効率的に使用し、可能なフィルターの数を最大化するには、内部(顧客)VLAN ID で一致させる場合に |
イングレス ポートと VLAN。 エグレス ポートと VLAN。 EVPN/VXLAN ファブリック用イングレス IRB インターフェイス(該当する場合) |
|
パケット 損失優先度(PLP)を設定します。 注:
|
エグレス IPv4(inet)および IPv6(inet6)インターフェイス。 |
|
IPv4 または IPv6 プロトコル値。数値の代わりに、次のいずれかのテキスト シノニムを指定できます(数値も表示されます)。
|
イングレス IPv6(inet6)インターフェイス。 エグレス IPv6(inet6)インターフェイス。 |
|
パケット長(バイト) 0~65535 の数値を入力する必要があります。 |
イングレス ポート、VLAN、IPv4(inet)、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
IP ヘッダーのサービス タイプ(ToS)バイトの IP 優先度ビット。(このバイトは DiffServ DSCP にも使用できます)。数値の代わりに、次のいずれかのテキスト シノニムを指定できます(数値も表示されます)。
|
イングレス IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
IPv4 または IPv6 プロトコル値。数値の代わりに、次のいずれかのテキスト シノニムを指定できます(数値も表示されます)。
|
イングレス IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
IP 送信元アドレス フィールドは、パケットを送信したノードのアドレスです。 |
イングレスIPv4(inet)インターフェイスとIPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイスと IPv6(inet6)インターフェイス。 EVPN/VXLAN ファブリック用イングレス IRB インターフェイス(該当する場合) |
|
パケットの MAC(送信元メディア アクセス制御)アドレス。 |
イングレス ポートと VLAN。 エグレス ポートと VLAN。 |
|
TCP または UDP 送信元ポート。通常、この一致を match ステートメントと |
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 EVPN/VXLAN ファブリック用イングレス IRB インターフェイス(該当する場合) |
|
IP 送信元プレフィックス リスト。頻繁に使用するプレフィックス リスト エイリアスの下で IP アドレス プレフィックスのリストを定義できます。このリストを |
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 |
|
確立された TCP 接続のパケットを照合します。この条件は、TCP 接続のセットアップに使用されるパケット以外のパケットと一致します。つまり、3 方向ハンドシェイク パケットは一致しません。 指定 |
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
1 つ以上の TCP フラグ:
|
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
接続の最初の TCP パケットを照合します。TCP フラグが設定されていて、TCP フラグ 指定 |
イングレス ポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
パケットのサービス クラス(CoS)優先度を指定する 8 ビット フィールド。トラフィッククラス フィールドを使用して、DiffServ コード ポイント(DSCP)値を指定します。このフィールドは、以前は IPv4 のサービス タイプ(ToS)フィールドとして使用されていましたが、このフィールドのセマンティクス(DSCP など)は IPv4 のセマンティクスと同じです。 次のいずれかのテキスト シノニムを指定できます(フィールド値も表示されます)。
|
イングレス IPv6(inet6)インターフェイス。 エグレス IPv6(inet6)インターフェイス。 |
|
10 進数の TTL(IP Time-to-Live)フィールド。値は 1~255 です。 |
イングレス IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 EVPN/VXLAN ファブリック用イングレス IRB インターフェイス(該当する場合) |
|
Q-in-Q VLAN の内部(顧客)VLAN の ID を照合します。フィルター メモリを最も効率的に使用し、可能なフィルターの数を最大化するには、外部(サービス)VLAN ID を一致させるために組 |
イングレス ポートと VLAN。 エグレス ポートと VLAN。 |
ステートメントを使用して then
、パケットがステートメント内のすべての条件と一致する場合に発生するアクションを from
定義します。 表 2 は、条件で指定できるアクションを示します。(ステートメントを then
含めなければ、システムはフィルターに一致するパケットを受け入れます。
対処 |
説明 |
---|---|
|
パケットを受け入れます。これは、条件に一致するパケットのデフォルトアクションです。 |
|
インターネット制御メッセージ プロトコル(ICMP)メッセージを送信せずに、通知なくパケットを破棄します。 |
|
パケットを破棄し、「宛先到達不能」ICMPv4 メッセージを送信します(タイプ 3)。拒否されたパケットをログに記録するには、アクション修飾子を設定します 以下のいずれかのメッセージ・タイプを指定できます。 を指定 メッセージ タイプを指定しない場合、ICMP 通知「宛先到達不能」はデフォルト メッセージ「管理上フィルタリングされた通信」と共に送信されます。 注:
アクション |
|
一致したパケットを仮想ルーティング インスタンスに転送します。(サポートされているインスタンスタイプは. |
|
照合されたパケットを特定の VLAN に転送します。 注:
アクション 注:
このアクションは OCX シリーズ スイッチではサポートされていません。 |
パケットのカウント、ミラーリング、レート制限、分類にリストされている 表 3 アクション修飾子も指定できます。
アクション修飾子 |
説明 |
---|---|
|
条件に一致するパケット数をカウントします。 |
|
パケットを次のデフォルト転送クラスまたはユーザー定義転送クラスのいずれかに分類します。
注:
転送クラスを設定するには、損失の優先度も設定する必要があります。 |
|
ルーティング エンジンでパケットのヘッダー情報をログに記録します。この情報を表示するには、動作モード コマンドを 注:
|
|
パケット 損失優先度(PLP)を設定します。 注:
注:
|
|
パケットをポリサーに送信します(レート制限を適用する目的で)。 イングレス/エグレス ポート、VLAN、IPv4(inet)、IPv6(inet6)ファイアウォール フィルターにポリサーを指定できます。 注:
|
|
(ELS プラットフォーム)階層レベルで 受信/送信ポート、VLAN、IPv4(inet)、IPv6(inet6)ファイアウォール フィルターにポート ミラーリングを指定できます。 |
|
(ELS プラットフォーム)階層レベルで設定されたポート ミラーリング インスタンスにトラフィックを 受信/送信ポート、VLAN、IPv4(inet)、IPv6(inet6)ファイアウォール フィルターにポート ミラーリングを指定できます。 注:
|
|
このパケットのアラートをログに記録します。 注:
|
|
パケットを 3 カラー ポリサーに送信します(レート制限を適用する目的で)。 イングレス/エグレス ポート、VLAN、IPv4(inet)、IPv6(inet6)フィルターに 3 色のポリサーを指定できます。 注:
|