Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページで
 

例:LAC 加入者用に DHCPv6 および ICMPv6 制御トラフィックを除外するためのフィルターの構成

ここでは、DHCPv6 および ICMPv6 制御パケットを、LAC のトンネル加入者のアイドルタイムアウト検知の対象から除外する標準のステートレスファイアウォールフィルターを構成する方法について説明します。

要件

この例を設定する前に、デバイス初期化以外に特別な設定を行う必要はありません。

概要

LAC の加入者アクセスは、アイドルタイムアウト期間を設定することによって制限されます。加入者セッションが確立した後で加入者がアイドル状態を維持できる期間の最大値を指定します。LAC は、加入者のアップストリームおよびダウンストリーム データ トラフィックを監視して、サブスクライバが非アクティブかどうかを判断します。セッションアカウンティング統計に基づいています。データトラフィックがどちらかの方向で検知されている限り、加入者はアイドル状態とは見なされません。アイドル状態の継続中にトラフィックが検出されなかった場合、加入者は RADIUS 開始された切断または CLI が開始したログアウトと同様に、正常にログアウトします。

しかし、L2TP 加入者に対してトンネルが確立された後、LAC のトンネルを通過するすべてのパケットはデータパケットとして扱われるようになっています。その結果、セッションのアカウンティング統計が不正確になり、DHCPv6 と ICMPv6 制御パケットが送信されている限り、加入者はアイドル状態とは見なされなくなります。

Junos OS リリース 17.2 R1 から開始して、これらの制御パケットに一致inet6する条件を持つファミリーのファイアウォールフィルタを定義できます。これらの制御パケットexclude-accountingを除外するには、フィルタ条件に「終端アクションを使用する」を含めます。

構成

CLI クイック構成

この例を簡単に構成するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致する必要がある詳細情報を変更してから、コマンド[edit]を階層レベルで CLI にコピー & ペーストします。

フィルターを構成

順を追った手順

次の例では、構成階層のさまざまなレベルを移動する必要があります。Cli のナビゲートの詳細については、『Cli ユーザーガイド』の「 Cli エディターを設定モードで使用する」を参照してください。

フィルタを設定するには、次のようにします。

  1. 加入者セッションのアイドルタイムアウトを設定します。.

  2. アイドルタイムアウトの指定は受信トラフィックにのみ適用されます。

  3. アカウンティング統計情報から DHCPv6 制御パケットを除外するファイアウォールフィルタ条件を定義します。

    1. UDP (17) に設定された最初の [次のヘッダー] フィールドを使用して、パケットに一致を指定します。

    2. 送信元ポートが546または 547 (DHCPv6) のパケットに一致するように指定します。

    3. DHCP 宛先ポートが546または 547 (DHCPv6) のパケットに一致するように指定します。

    4. 一致した DHCPv6 パケットをカウントします。

    5. アカウンティング統計情報から、一致した DHCPv6 パケットを除外します。

  4. アカウンティング統計情報から ICMPv6 制御パケットを除外するファイアウォールフィルタ条件を定義します。

    1. 最初の [次のヘッダーフィールド] が ICMPv6 (58) に設定されたパケットの一致を指定します。

    2. ICMPv6 メッセージタイプを使用してパケットに一致を指定します。

    3. 一致する ICMPv6 パケットをカウントします。

    4. アカウンティング統計情報から、一致した ICMPv6 パケットを除外します。

  5. その他すべてのパケットを受け入れるためのデフォルトフィルター条件を定義します。

  6. この動的プロファイルを設定して、 inet6ファミリーの入力インターフェイスと出力インタフェースにフィルタを適用します。

  7. 加入者管理の正確なアカウンティングを有効にします。

結果

設定モードから、、、およびshow accessshow firewallshow dynamic-profilesコマンドを入力して設定を確認します。出力に意図した構成が表示されない場合は、この例の手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定commitモードから入力します。