転送テーブル フィルタの設定
転送テーブル フィルターは他のファイアウォール フィルターと同じように定義されますが、異なる方法で適用します。
転送テーブル フィルターをインターフェイスに適用する代わりに、転送テーブルに適用します。各フィルターはルーティング インスタンスと VPN(仮想プライベート ネットワーク)に関連付けられます。
デフォルトでは、入出力フィルターを適用する代わりに、入力転送テーブル・フィルターのみを適用できます。
すべてのパケットは、転送テーブルに適用される入力転送テーブル フィルタで処理されます。転送テーブル フィルターは、ルーターが受け入れるパケットを制御し、転送テーブルのルックアップを実行して、ルーターがインターフェイス上で転送するパケットを制御します。
ルーターがパケットを受信すると、パケットが送信されるVPNに関連付けられている転送テーブルを調べることで、最終的な宛先への最適なルートを決定します。次にルーターは、パケットを適切なインターフェースを通じて宛先へ転送します。
トンネルを介してルーターを出るトランジットパケットの場合、転送テーブルフィルタリングは、トンネルトラフィックの出力インターフェイスとして設定したインターフェイスではサポートされていません。
転送テーブル フィルターでは、コンポーネントに基づいてデータ パケットをフィルタリングし、フィルターに一致するパケットに対してアクションを実行できます。ルーターが受け入れ、転送するベアラーパケットを基本的に制御します。転送テーブル フィルターを設定するには、 階層レベルで ステートメントを[edit]含めますfirewall。
[edit]
firewall {
family family-name {
filter filter-name {
term term-name {
from {
match-conditions;
}
then {
action;
action-modifiers;
}
}
}
}
}
family-name は、ファミリーアドレスタイプです。IPv4(inet)、IPv6(inet6)、レイヤー2トラフィック(bridge)、またはMPLS(mpls)。
term-name は、一致条件とアクションが定義される名前付き構造です。
match-conditions は、ベアラー パケットを比較する基準です。例えば、送信元デバイスや宛先デバイスのIPアドレスなどです。一致条件で複数の基準を指定できます。
action は、パケットがすべての基準に一致した場合の動作を指定します。例えば、ゲートウェイ GPRS サポート ノード(GGSN)がベアラー パケットを受け入れ、転送テーブルでルックアップを実行し、パケットを宛先に転送します。パケットを破棄する。パケットを破棄し、拒否メッセージを返します。
action-modifiers は、すべての基準が一致した場合に、GGSN がパケットを受け入れるか破棄するかに加えて実行されるアクションです。例えば、パケットをカウントしてパケットをログに記録するなどです。
転送テーブルを作成するには、 階層レベルで オプションをforwarding含む ステートメントを[edit routing-instances instance-name]含めますinstance-type。
[edit]
routing-instances instance-name {
instance-type forwarding;
}
転送テーブル フィルターを VPN ルーティングおよび転送(VRF)テーブルに適用するには、 階層レベルに および input ステートメントを[edit routing-instance instance-name forwarding-options family family-name]含filterめます。
[edit routing-instances instance-name]
instance-type forwarding;
forwarding-options {
family family-name {
filter {
input filter-name;
}
}
}
転送テーブル フィルターを転送テーブルに適用するには、 階層レベルで および input ステートメントを[edit forwarding-options family family-name]含filterめます。
[edit forwarding-options family family-name]
filter {
input filter-name;
}
特定のルーティングインスタンスに関連付けられていないデフォルトの転送テーブルに転送テーブルinet.0フィルターを適用するには、 階層レベルに および input ステートメントを[edit forwarding-options family inet]含filterめます。
[edit forwarding-options family inet]
filter {
input filter-name;
}