サービスフィルターの設定ガイドライン

サービスフィルターを設定するためのステートメント階層

サービスフィルターを設定するには、[edit firewall family (inet | inet6)]階層レベルでservice-filter service-filter-nameステートメントを含めます。

service-filter service-filter-nameステートメントでサポートされている個々のステートメントについては、このトピックで別途説明し、サービスフィルターの設定と適用の例で説明しています。

サービスフィルタープロトコルファミリー

サービスフィルターを設定して、IPv4トラフィック(family inet)とIPv6トラフィック(family inet6)のみをフィルタリングすることができます。サービスフィルターでサポートされているプロトコルファミリーは他にありません。

サービスフィルター名

family inetまたはfamily inet6ステートメントの下に、サービスフィルターを作成および命名するためのservice-filter service-filter-nameステートメントを含めることができます。フィルター名には、文字、数字、ハイフン(-)を使用でき、最大64文字まで使用できます。名前にスペースを含めるには、名前全体を引用符(" ")で囲みます。

サービスフィルター条件

service-filter service-filter-nameステートメントの下に、フィルター条件を作成し、名前を付けるためのterm term-nameステートメントを含めることができます。

• ファイアウォールフィルターに少なくとも1つの条件を設定する必要があります。

• ファイアウォールフィルター内の各用語に一意の名前を指定する必要があります。用語名には、文字、数字、ハイフン(-)を含めることができ、最大64文字まで使用可能です。名前にスペースを含めるには、名前全体を引用符(" ")で囲みます。

• ファイアウォールフィルター設定内で用語を指定する順序は重要です。ファイアウォールフィルターの用語は、設定された順番に評価されます。デフォルトでは、新しい用語は常に既存のフィルターの最後に追加されます。 insert 設定モードコマンドを使用して、ファイアウォールフィルターの条件を並べ替えることができます。

サービスフィルター一致条件

サービスフィルター条件は、標準ステートレスファイアウォールフィルターでサポートされているIPv4およびIPv6一致条件のサブセットのみをサポートします。

一致条件(address、destination-address、またはsource-address一致条件)でIPv6アドレスを指定する場合は、RFC 4291、IPバージョン 6アドレッシングアーキテクチャに記載されているテキスト表現の構文を使用します。IPv6アドレスの詳細については、ルーティングデバイス用Junos OSルーティングプロトコルライブラリの「IPv6の概要」を参照してください。

サービスフィルター終了アクション

サービスフィルター条件を設定する場合、以下のフィルター終了アクションのいずれかを指定する必要があります。

• service

• skip

注:

これらのアクションは、サービスフィルターに固有のものです。

サービスフィルター条件は、標準ステートレスファイアウォールフィルターでサポートされているIPv4およびIPv6非終了アクションのサブセットのみをサポートします。

• count counter-name

• log

• port-mirror

• sample

サービスフィルターは、 次の アクションをサポートしていません。