ファイアウォールフィルターの設定に関するガイドライン

ファイアウォールフィルターを設定するためのステートメント階層

標準ファイアウォールフィルターを設定するには、以下のステートメントを含めることができます。IPv4 標準ファイアウォールフィルターの場合、 ステートメント はオプションです。family inet IPv6 標準ファイアウォールフィルターの場合、この ステートメントは必須です。family inet6

ファイアウォールの設定は、以下の階層レベルのいずれかに含めることができます。

• [edit]

• [edit logical-systems logical-system-name]

注:

ステートレス ファイアウォール フィルタリングの場合、トンネル宛先へのネクストホップ インターフェイスであるインターフェイスの入力トラフィックに適用されるファイアウォール フィルターを介した出力トンネル トラフィックを許可する必要があります。ファイアウォールフィルターは、トンネルを経由してルーター(またはスイッチ)から出るパケットにのみ影響します。

注:

ACX7100 プラットフォームでは、VPLS ファイアウォール フィルターは ではなく、 の下に設定されます。familyethernet-switchingfamilyVPLS 管理フィルタは family または で設定され、構文は次の形式です。inetinet6

ファイアウォール フィルター プロトコル ファミリー

ファイアウォールフィルターの設定は、特定のプロトコルファミリーに固有です。ステートメントの下に、トラフィックをフィルタリングするプロトコルファミリーを指定する次のいずれかのステートメントを含めます。firewall

• family any- プロトコル非依存トラフィックをフィルタリングします。

• family inet:IPv4(インターネット プロトコル バージョン 4)トラフィックをフィルタリングします。

• family inet6- インターネット プロトコル バージョン 6(IPv6)トラフィックをフィルタリングします。

• family mpls- MPLS トラフィックをフィルタリングします。

• family vpls- VPLS(仮想プライベートLANサービス)トラフィックをフィルタリングします。

• family ccc- レイヤー 2 CCC(回線相互接続)トラフィックをフィルタリングします。

• family bridge—MXシリーズ3Dユニバーサルエッジルーターのみのレイヤー2ブリッジングトラフィックをフィルタリングします。

• family ethernet-switching- レイヤー 2(イーサネット)トラフィックをフィルタリングします。

ステートメント は、IPv4 以外のプロトコルファミリーを指定する場合にのみ必要です。family family-name IPv4ファイアウォールフィルターを設定するには、 と 階層レベルが同等であるため、 ステートメントを含めずに 階層レベルでフィルターを設定できます。[edit firewall]family inet[edit firewall][edit firewall family inet]

注:

ブリッジ ファミリー フィルターの場合、一致条件は IPv4 でのみサポートされ、IPv6 ではサポートされていません。ip-protocol これは、MX 3D MPCラインカードなど、Junos Trioチップセットをサポートするラインカードに適用されます。

ファイアウォールフィルターの名前とオプション

ステートメントの下には、ファイアウォールフィルターを作成して名前を付けるステートメントを含めることができます。family family-namefilter filter-name フィルター名には、文字、数字、およびハイフン(-)を含めることができ、最大 64 文字まで使用可能です。名前にスペースを含めるには、名前全体を引用符(" ")で囲みます。

階層レベルでは 、以下のステートメントはオプションです。[edit firewall family family-name filter filter-name]

• accounting-profile

• instance-shared (MPCS(Modular Port Concentrators)を搭載したMXシリーズルーターのみ)

• interface-specific

• physical-interface-filter

ファイアウォールフィルターの用語

ステートメントの下には、フィルター用語を作成したり、名前を付けたりするステートメントを含めることができます。filter filter-nameterm term-name

• ファイアウォールフィルターには、少なくとも 1 つの条件を設定する必要があります。

• ファイアウォールフィルター内の各用語に固有の名前を指定する必要があります。条件名には、文字、数字、およびハイフン(-)を含めることができ、最大 64 文字まで使用可能です。名前にスペースを含めるには、名前全体を引用符(" ")で囲みます。

• ファイアウォールフィルター設定内で用語を指定する順序は重要です。ファイアウォールフィルターの用語は、設定された順序で評価されます。既定では、新しい用語は常に既存のフィルターの最後に追加されます。コンフィグレーション モード コマンドを使用して、 ファイアウォール フィルターの条件の順序を変更することができます。insert

階層レベルでは、 ステートメントは または ステートメントと同じ用語では無効です。[edit firewall family family-name filter filter-name term term-name]filter filter-namefromthen この階層レベルに含まれる場合、 ステートメントはファイアウォールフィルターを入れ 子 にするために使用されます。filter filter-name

ファイアウォールフィルター一致条件

ファイアウォールフィルターの一致条件は、フィルタリングされるトラフィックのタイプに固有です。

MPLSタグ付きのIPv4またはIPv6トラフィックを除き、 ステートメントで 用語の一致条件を指定します。from MPLSタグ付きIPv4トラフィックの場合、 ステートメントで条件のIPv4アドレス固有の一致条件を指定し、 ステートメントで条件のIPv4ポート固有の一致条件を指定します。ip-version ipv4protocol (tcp | udp)

MPLSタグ付きIPv6トラフィックの場合、 ステートメントで条件のIPv6アドレス固有の一致条件を指定し、 ステートメントで条件のIPv6ポート固有の一致条件を指定します。ip-version ipv6protocol (tcp | udp)

表 1 ファイアウォール フィルターを設定できるトラフィックの種類について説明します。

表 1: プロトコルファミリー別のファイアウォールフィルター一致条件

トラフィック タイプ	一致条件を指定する階層レベル
プロトコル非依存	[edit firewall family any filter filter-name term term-name] 一致条件の完全なリストについては、 プロトコル非依存型トラフィックのファイアウォールフィルター一致条件を参照してください。プロトコル非依存型トラフィックのファイアウォールフィルター一致条件
IPv4	[edit firewall family inet filter filter-name term term-name] 一致条件の完全なリストについては、 IPv4トラフィックのファイアウォールフィルター一致条件を参照してください。IPv4トラフィックのファイアウォールフィルター一致条件
IPv6	[edit firewall family inet6 filter filter-name term term-name] 一致条件の完全なリストについては、 IPv6トラフィックのファイアウォールフィルター一致条件を参照してください。IPv6トラフィックのファイアウォールフィルター一致条件
MPLS	[edit firewall family mpls filter filter-name term term-name] 一致条件の完全なリストについては、 MPLS トラフィックのファイアウォールフィルター一致条件を参照してください。MPLSトラフィックのファイアウォールフィルター一致条件
MPLS フローの IPv4 アドレス	[edit firewall family mpls filter filter-name term term-name ip-version ipv4 ] 一致条件の完全なリストについては、 MPLS タグ付き IPv4 または IPv6 トラフィックのファイアウォールフィルター一致条件を参照してください。MPLSタグ付きIPv4またはIPv6トラフィックのファイアウォールフィルター一致条件
MPLS フローの IPv4 ポート	[edit firewall family mpls filter filter-name term term-name ip-version ipv4 protocol (tcp | udp)] 一致条件の完全なリストについては、 MPLS タグ付き IPv4 または IPv6 トラフィックのファイアウォールフィルター一致条件を参照してください。MPLSタグ付きIPv4またはIPv6トラフィックのファイアウォールフィルター一致条件
MPLS フローの IPv6 アドレス	[edit firewall family mpls filter filter-name term term-name ip-version ipv6 ] 一致条件の完全なリストについては、 MPLS タグ付き IPv4 または IPv6 トラフィックのファイアウォールフィルター一致条件を参照してください。MPLSタグ付きIPv4またはIPv6トラフィックのファイアウォールフィルター一致条件
MPLS フローの IPv6 ポート	[edit firewall family mpls filter filter-name term term-name ip-version ipv6 protocol (tcp | udp)] 一致条件の完全なリストについては、 MPLS タグ付き IPv4 または IPv6 トラフィックのファイアウォールフィルター一致条件を参照してください。MPLSタグ付きIPv4またはIPv6トラフィックのファイアウォールフィルター一致条件
VPLS	[edit firewall family vpls filter filter-name term term-name] 一致条件の完全なリストについては、 VPLSトラフィックのファイアウォールフィルター一致条件を参照してください。VPLSトラフィックのファイアウォールフィルター一致条件
レイヤー 2 CCC	[edit firewall family ccc filter filter-name term term-name] 一致条件の完全なリストについては、 レイヤー2 CCCトラフィックのファイアウォールフィルター一致条件を参照してください。レイヤー2 CCCトラフィックのファイアウォールフィルター一致条件
レイヤー 2 ブリッジング (MXシリーズルーターおよびEXシリーズスイッチのみ)	[edit firewall family bridge filter filter-name term term-name] [edit firewall family ethernet-switching filter filter-name term term-name] (EXシリーズスイッチのみ) 一致条件の完全なリストについては、 レイヤー2ブリッジングトラフィックのファイアウォールフィルター一致条件を参照してください。レイヤー2ブリッジングトラフィックのファイアウォールフィルター一致条件

一致条件( 、 、 または 一致条件)でIPv6アドレスを指定する場合は、RFC 4291、 IPバージョン6アドレッシングアーキテクチャに記述されたテキスト表現の構文を使用してください。addressdestination-addresssource-address IPv6 アドレスの詳細については、「IPv6 の概要 」および 「サポートされている IPv6 標準」を参照してください。https://www.juniper.net/documentation/en_US/junos/topics/concept/routing-protocols-ipv6-overview.htmlhttps://www.juniper.net/documentation/en_US/junos/topics/reference/standards/ipv6.html

ファイアウォールフィルターアクション

ファイアウォールフィルター条件のステートメントで、条件に一致するパケットに対して実行するアクションを指定できます。then

表 2 は、ファイアウォールフィルターの条件で指定できるアクションの種類をまとめたものです。

表 2: ファイアウォールフィルターアクションのカテゴリー

アクションの種類	説明	コメント
終了	特定のパケットに対するファイアウォール フィルターのすべての評価を停止します。ルーター(またはスイッチ)は指定されたアクションを実行し、パケットの検査に追加の用語は使用されません。 ファイアウォールフィルターの条件に指定できる 終了アクション は1つだけです。フィルター条件内で複数の終了アクションを指定しようとすると、最新の終了アクションが既存の終了アクションに置き換わります。ただし、1 つの用語に 1 つ以上の非終了アクションを指定して、1 つの 終了 アクションを指定することができます。例えば、項内では、 と を指定できます。acceptcountsyslog 終了アクションを含む用語の数に関係なく、システムが用語内の終了アクションを処理すると、ファイアウォールフィルター全体の処理が停止します。	ファイアウォールフィルターの終了アクションをご覧ください。ファイアウォールフィルター終了アクション
非終端	パケットに対して他の機能(カウンターのインクリメント、パケットヘッダーに関する情報のロギング、パケットデータのサンプリング、システムログ機能を使用したリモートホストへの情報の送信など)を実行しますが、追加の用語はパケットの検査に使用されます。	すべての非終了アクションには、暗黙的な accept アクションが含まれます。この受け入れアクションは、同じ条件で他の終了アクションが設定されていない場合に実行されます。 ファイアウォールフィルター非終了アクションを参照してください。ファイアウォールフィルター非終了アクション
フロー制御	標準ファイアウォールフィルターの場合のみ、アクションは ルーター(またはスイッチ)にパケットに対して設定されたアクションを実行するように指示し、フィルターを終了するのではなく、フィルター内の次の条件を使用してパケットを評価します。next term アクションが含まれている場合、一致するパケットがファイアウォールフィルターの次の条件に対して評価されます。next term それ以外の場合、一致するパケットはファイアウォールフィルター内の後続の条件に対して評価されません。 たとえば、非終了アクションを持つ用語を設定すると、用語のアクションが暗黙的な から暗黙的な に変更されます。countdiscardaccept このアクションにより 、ファイアウォールフィルターの評価が継続されます。next term	同じフィルター条件内の終了アクションでアクションを設定することはできません。next term ただし、同じフィルター条件内の別の非終了アクションで次の用語アクションを設定できます。 標準のファイアウォールフィルター構成ごとに、最大 1024 個のアクションがサポートされます。next term この制限を超える標準ファイアウォールフィルターを設定した場合、候補の設定はコミットエラーになります。 注: Junos OS Evolved では、 はアクションの最終項として表示することはnext termできません。設定した一致条件なしで next term がアクションとして指定されるフィルター項はサポートされていません。