ファイアウォール フィルターの概要(QFX シリーズ)
ファイアウォールフィルターは、アクセスコントロールリスト(acl) と呼ばれることもあり、インターフェイスをはしているパケットを許可するか破棄するかを定義するルールを提供します。パケットが受け入れられた場合、パケットに対してより多くのアクション (CoS (サービスクラス) マーキング (類似するタイプのトラフィックをグループ化し、独自のサービス優先レベルを持つクラスとして各タイプのトラフィックを分類) とトラフィックのポリシーを設定できます (送信または受信したトラフィックの最大レートを制御する)。
ファイアウォールフィルターを構成して、ポート、VLAN、レイヤー 2 CCC、レイヤー 3 (ルーティング) インターフェイス、ルーティング VLAN インターフェイス (RVI)、MPLS インターフェイスを出入りする前に、パケットを受信または破棄する場所を決定できます。
インターフェイスまたは VLAN に入力するパケットに受信(入力) ファイアウォールフィルターが適用され、インターフェイスまたは vlan から出てきたパケットに送信(出力)ファイアウォールフィルターが適用されます。
フィルタを適用できる場所
ファイアウォールフィルターを構成した後、以下に適用できます。
ポート — レイヤー 2 トラフィックトランジット システム ポートにフィルターを適用します。
VLAN —VLAN に入るレイヤー 2 パケット、VLAN 内でブリッジされる、または VLAN を離れるレイヤー 2 パケットに対してフィルターとアクセス コントロールを提供します。
レイヤー 3(ルート)インターフェイス—IPv4 および IPv6 インターフェイス、RVI(Routed VLAN Interface)、ループバック インターフェイス上のトラフィックをフィルターします。ループバックインターフェイスは、スイッチ自体に送信されたトラフィック、またはスイッチによって生成される通信をフィルタリングします。
レイヤー 2 CCC インターフェイス:CCC(レイヤー 2 回線クロスコネクト)インターフェイスをフィルターします。
MPLS—インターフェイスMPLSフィルタします。
また、QFX および EX4600 のスタンドアロンスイッチで、管理インターフェイス (たとえば、me0) にファイアウォールフィルターを適用することもできます。フィルタは、特定のアプリケーションやシステムの管理インターフェイスQFX3000-G QFX3000-M使用できます。
ポート、VLAN、レイヤー 2 CCC インターフェイスには、特定の方向に対して1つのファイアウォールフィルターのみを適用できます。たとえば、interface ge-0/0/6.0 では、入口方向と出口方向のどちらか1つのフィルターを適用できます。
(QFX シリーズ)Junos OS リリース 13.2 X51-D15 では、送信方向でループバックインターフェースにフィルターを適用できます。
(QFX10000)Junos OS のリリース18.2 から開始して、レイヤー2サーキットインターフェイス上での
countアクションdiscardとして and として受信および送信ファイアウォールフィルターを適用できます。(QFX10002-36Q、QFX10002-72Q、QFX10002-60C、QFX10008、QFX10016、PTX10008、PTX10016)Junos OS リリース19.2 以降では、IPv4 および IPv6 インターフェイス
interface上forwarding-classで、loss-priorityand と match 条件を送信方向に適用できます。
ファイアウォールフィルターの構成
ファイアウォールフィルターを構成する場合は、ファミリアドレスタイプ (イーサネットスイッチング、inet (IPv4 の場合)、inet6 (IPv6)、サーキットクロスコネクト (CCC)、または MPLS)、フィルタリング基準 (条件付き)、一致が発生した場合のアクションを定義します。
各条件は、以下のもので構成されています。
一致条件 — パケットが一致とみなす必要がある値。IP、TCP、UDP、または ICMP ヘッダーのほとんどのフィールドの値を指定できます。インターフェイス名についても照合できます。
アクション — パケットが一致条件と一致した場合に実行されるアクション。条件に一致したパケットを受け入れたり、破棄または拒否したり、カウント、分類、ポリシー適用などの多くのアクションを実行したりするように、ファイアウォールフィルターを構成することができます。デフォルトのアクションは accept です。
ファイアウォールフィルターの処理方法
フィルターに複数の条件がある場合は、条件の順序が重要になります。パケットが最初の条件に一致した場合、その条件によって定義されたアクションを実行し、その他の条件は評価されません。スイッチがパケットと最初の用語の間に一致を見つけなかった場合、スイッチはパケットを次の用語と比較します。パケットと2つ目の条件が一致しない場合、システムは、一致が見つかるまで、フィルター内の連続する各用語とパケットを比較し続けます。条件に一致しない場合、デフォルトでは、スイッチはパケットを廃棄します。