Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ファイアウォール フィルタの一致条件について

ファイアウォール フィルターの条件を定義する前に、条件の条件がどのように処理されるか、およびインターフェイス、数値、アドレス、ビットフィールド フィルターの一致条件を指定して、目的のフィルター結果を達成する方法を理解する必要があります。

フィルターの一致条件

fromファイアウォール フィルター条件のステートメントでは、ステートメント内のアクションに対してパケットが一致する必要がある条件をthen指定します。実装するアクションには、すべての条件が一致する必要があります。一致条件を指定する順序は重要ではありません。パケットは一致する条件のすべての条件を一致させる必要があるためです。

同じ条件に対して複数の値を指定した場合、それらの値のいずれか 1 つに対する照合がその条件と一致します。たとえば、ステートメントを使用して複数の IP ソース アドレスを指定した source-address 場合、これらの IP 送信元アドレスのいずれかを含むパケットが条件と一致します。場合によっては、次のように、使用可能な値を角括弧で囲むことで、同じ条件に複数の値を指定できます。

その他の場合は、以下のように複数のステートメントを入力する必要があります。

条件に一致条件を指定しない場合、その条件はすべてのパケットと一致します。

注:

従来の Junos OS ファイアウォール フィルターとは異なり、 except 条件ステートメントで条件を無効にすることはできません。

数値フィルターの一致条件

ポート番号やプロトコル番号など、数値で識別される数値フィルター照会条件を指定できます。数値フィルタの照合条件では、パケット内のフィールドに含める必要がある条件と 1 つの値を一致と見なすために指定します。

数値は、次のいずれかの方法で指定できます。

  • 単一の数値 — フィールドの値が数値と一致した場合に一致が発生します。たとえば、Telnet トラフィックを照合するには、次の手順に関する手順を行います。

  • 1 つの数値のテキスト シノニム — フィールドの値がシノニムに対応する番号と一致する場合に一致が発生します。たとえば、Telnet トラフィックを照合するには、次の手順に関する手順を行います。

  • フィルタ条件で同じ照合条件に対して複数の値を指定するには、それぞれの値を独自の照合ステートメントに入力します。たとえば、パケット内の送信元ポートの値が 22 または 23 の場合、一致は次の項で発生します。

インターフェイス フィルタの一致条件

パケットを受信または送信するインターフェイスと一致するように、インターフェイス フィルタの照合条件を指定できます。たとえば、VLAN にフィルターを適用する場合、VLAN に参加する一部のインターフェイスでフィルターを一致させ、VLAN 内の他のインターフェイスでは一致しない場合があります。インターフェイスの名前を指定する場合は、論理ユニットを含める必要があります。

この例では、最後の文字 (0) が論理ユニットを指定します。インターフェイス名の一部としてワイルドカード(*)を含めることができます。例えば、

論理ユニットの値またはワイルドカードを指定する必要があることに注意してください。

IP アドレス フィルターの照会条件

パケット内の IP 送信元または宛先アドレスまたはプレフィックスを照会するアドレス フィルター照会条件を指定できます。アドレスまたはプレフィックス タイプ、およびアドレスまたはプレフィックス自体を指定します。例えば、

プレフィックス長を省略すると、デフォルトは /32. 例えば、

フィルター条件に複数の IP アドレスまたはプレフィックスを指定するには、それぞれのアドレスまたはプレフィックスを独自の照会ステートメントに入力します。たとえば、パケットの送信元アドレスが次のいずれかのプレフィックスと一致する場合、一致は次の項で発生します。

MAC アドレス フィルターの一致条件

MAC アドレス フィルタの照会条件を指定して、送信元または宛先の MAC アドレスを照会できます。パケットに含める必要があるアドレス タイプと値を一致と見なすために指定します。

MAC アドレスは、次のいずれかの形式で 6 個の 16 進バイトとして指定できます。

使用する形式に関係なく、システムはアドレスを標準フォーマットに解決します。この場合、00:11:22:33:44:55。

フィルタ条件に複数のMACアドレスを指定するには、各MACアドレスを独自の照合ステートメントに入力します。たとえば、MAC 送信元アドレスの値が次のいずれかのアドレスと一致する場合、一致は次の項で行われます。

ビット フィールド フィルタの照合条件

ビット フィールド フィルタの照合条件を指定して、イーサネット フレームおよび IP、TCP、UDP、ICMP ヘッダーの特定のフィールド内の特定のビットを照合できます。通常、フィールドと、一致と見なされるパケットに設定する必要があるフィールド内のビットを指定します。

ほとんどの場合、キーワードを使用して、一致させるビットを指定できます。たとえば、TCP SYNパケットで照合するには、次のように、と入力 synできます。

SYN ビットが 8 ビット tcp フラグ フィールドの 3 番目に重要なビットであるため、入力することもできます 0x02

複数のビットフィールド値を照合するには、で説明 表 1されている論理演算子を使用します。演算子は、優先度が最も高いものから優先度が最も低い順に表示されます。操作は左から右に評価されます。

表 1: ファイアウォール フィルターのアクション

論理演算子

説明

!

否定

&

論理 AND

|

論理または

論理演算子を使用する場合は、値を引用符で囲み、スペースは含めないでください。たとえば、次のステートメントは、TCP ハンドシェイクの 2 番目のパケットと一致します。

一致を無効にするには、値の前に感嘆符を付けます。たとえば、次のステートメントは、TCP ハンドシェイクの最初のパケットのみを照合します。

テキストシノニムを使用して、一般的なビットフィールドの一致を指定できます。たとえば、次のステートメントは、TCP ハンドシェイクの最初のパケットとも一致します。