Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

標準ファイアウォールフィルターを適用するためのガイドライン

ファイアウォールフィルターの適用の概要

標準ファイアウォールフィルターは、ルーターのループバックインターフェイスまたはルーターの物理/論理インターフェイスに適用できます。ファイアウォールフィルターを単一のインターフェイスまたはルーター上の複数のインターフェイスに適用できます。表 1フィルタを適用するポイントに基づいて、ファイアウォールフィルタの動作についてまとめています。

表 1: 添付ファイルをフィルター処理することによるファイアウォールフィルター動作

接続ポイントのフィルタリング

フィルター動作

ループバック インターフェイス

ルーターのループバック インターフェイスは、 、ポートへのインターフェイスルーティング エンジン lo0 データ パケットを転送しません。ファイアウォールフィルターをループバックインターフェイスに適用すると、このフィルターは、ルーティングエンジンによって受信または送信されたローカルパケットを評価します。

注:
  • ACX5048 および ACX5096 ルーターは、ループバックインターフェースフィルター用のルーティングエンジンによって送信されたパケットの評価をサポートしていません。

物理インターフェイスまたは論理インターフェイス

ルーター上の物理インターフェイス、または論理インターフェイス (インターフェイスで定義されたアグリゲート型イーサネットバンドルのメンバー) にフィルターを適用すると、そのインターフェイスを通過するすべてのデータパケットを評価します。

複数のインターフェイス

同じファイアウォールフィルターを1回以上使用できます。

M Series ルーター(M120 ルーターと M320 ルーターを除く)では、ファイアウォール フィルタを複数のインターフェイスに適用すると、それらのインターフェイスで入退出するトラフィックの合計にフィルタが適用されます。

マルチT Series、M120、M320、MX シリーズでは、インターフェイスが複数のパケット転送コンポーネント間で分散されます。これらのルーターでは、ファイアウォールフィルターとサービスフィルターを構成できます。この場合、複数のインターフェイスにトラフィックを合計した場合でも、各インターフェイスに出入りする個々のトラフィックストリームに対して個別に操作が実行されます。

詳細については、インターフェイス固有のファイアウォールフィルタインスタンスの概要を参照してください。

プロトコルに依存しない、プロトコル固有のファイアウォール フィルターを接続した単一のインターフェイス

次のハードウェアでのみホストされているインターフェイスの場合は、プロトコル非family any依存型 () のファイアウォールフィルターとfamily inetプロトコルfamily inet6固有 (またはファイアウォールフィルター) を同時にアタッチできます。まず、プロトコルに依存しないファイアウォールが実行されます。

  • ACX シリーズ ユニバーサル メトロ ルーター

  • M7i および M10i マルチサービスエッジルーターの柔軟な PIC コンセントレーター (FPCs)

  • MX シリーズ5G ユニバーサルルーティングプラットフォームのモジュラー型インターフェイスカード (Mic) およびモジュラーポートコンセントレーター (MPCs)

  • コアルーターの T Series

注:

以下のハードウェアでホストされているインターフェイスは、プロトコルに依存しないファイアウォール フィルターをサポートしています。

  • M120 ルーター内のフォワーディングエンジンボード (FEBs)

  • M320 ルーターで強化された III 台の FPCs

  • MX シリーズルーターの FPC2 および FPC3 モジュール

  • MX シリーズルーターにおける高密度ポートコンセントレーター (Dpc)

  • PTX シリーズ パケット トランスポート ルーター

ファイアウォールフィルター適用のためのステートメント階層

標準ファイアウォールフィルターを論理インターフェイスに適用するにfilter[edit]は、または[edit logical-systems logical-system-name]階層レベルのいずれかで定義された論理インターフェイスのステートメントを構成します。filter明細書には、以下の1つ以上のステートメントを含めることができます。group group-numberinput-list filter-nameinput filter-name、、 output filter-name、またoutput-list filter-nameはです。ステートメントをfilterアタッチする階層レベルは、設定するフィルタタイプとデバイスタイプによって異なります。

MX シリーズルーターでのプロトコルに依存しないファイアウォールフィルター

MX シリーズルーターの論理インターフェイスにプロトコル非依存型ファイアウォールフィルターを適用するには、 filter論理ユニットの下でステートメントを直接構成します。

論理インターフェイスのその他すべてのファイアウォールフィルター

MX シリーズ ルーターでプロトコル独立フィルタ以外のすべてのケースで標準ファイアウォールフィルタを論理インターフェイスに適用するには、プロトコル ファミリーの下で ステートメントを filter 設定します。

ファイアウォールフィルター適用の制限事項

論理インタフェース当たりの入力および出力フィルター数

Input filters:同じフィルタを複数回使用することもできますが、1 つの入力フィルターまたは 1 つの入力フィルター リストのみをインターフェイスに適用できます。

  • インターフェイスで受信するパケットを評価するために使用される単一のファイアウォールフィルターをinput filter-name指定するにfilterは、スタンザにステートメントを含めます。

  • インターフェイスで受信したパケットを評価するために使用されるファイアウォールフィルターの順序付きリストinput-list [ filter-names ]を指定するfilterには、スタンザにステートメントを含めます。フィルター入力リストには最大 16 のファイアウォール フィルターを指定できます。

Output filters:同じフィルタを複数回使用することもできますが、1 つの出力フィルタまたは 1 つの出力フィルタ リストのみをインターフェイスに適用できます。

  • インターフェイスで送信されるパケットを評価するために使用する単一のファイアウォールフィルターをoutput filter-name指定するにfilterは、スタンザにステートメントを含めます。

  • インターフェイスで送信されるパケットを評価するために使用されるファイアウォールフィルターの順序付きリストoutput-list [ filter-names ]を指定するfilterには、スタンザにステートメントを含めます。フィルター出力リストには、最大 16 のファイアウォール フィルタを指定できます。

リスト内の MPLS およびレイヤー2の CCC ファイアウォールフィルター

And input-list filter-namesmplsプロトコルoutput-list filter-namesファミリーのcccファイアウォールフィルターの and ステートメントは、以下のものを除くすべてのインターフェイスでサポートされています。

  • 管理インターフェイスと内部イーサネットインターフェイスfxp ( em0または)

  • ループバックインターフェース (lo0)

  • USB モデムインターフェイス (umd)

MX シリーズルーターおよび EX シリーズスイッチでのレイヤー 2 CCC ファイアウォールフィルター

MX シリーズおよび EX シリーズ スイッチでのみ、レイヤー 2 CCC ステートレス ファイアウォール フィルタ(階層レベルで設定されたファイアウォール フィルタ)を出力フィルターとして適用することはできません。 [edit firewall filter family ccc] スイッチMX シリーズスイッチではEX シリーズステートメントに設定されたファイアウォール フィルタは入力 family ccc フィルターとしてのみ適用できます。

PTX シリーズパケットトランスポートルーターでの IPv6 ファイアウォールフィルター

PTX10001 20C ルーターでは、IPv6 ファイアウォールフィルターを適用できません。

  • トンネルインターフェイス

  • IRB インターフェイス

  • 送信インターフェイス

  • インターフェイス固有のフィルタは、 [edit firewall family inet6 filter filter-name]階層レベルで設定されます。

  • トラフィック・ポリサー

  • Junos Telemetry Interface