例：インターフェイス固有のファイアウォール フィルター カウンターの設定
この例では、インターフェイス固有の標準ステートレス ファイアウォール フィルターを構成して適用する方法を示します。
要件
インターフェイス固有のステートレス ファイアウォール フィルターは、T Series、M120、M320、MX シリーズ ルーターでのみサポートされています。
この例を設定する前に、デバイス初期化以外の特別な設定を行う必要はありません。
概要
この例では、指定したプレフィックスに送信元または宛先アドレスがあり、IP プロトコル タイプ フィールドを特定の値に設定したパケットをカウントして受け入れる、インターフェイス固有のステートレス ファイアウォール フィルターを作成します。
トポロジー
10.0.0.0/12プレフィックスにIP送信元または宛先アドレスがあり、IP プロトコルタイプフィールドがtcp(または数値6 )に設定されているパケットをカウントして受け入れるように、インターフェイス固有のステートレスファイアウォールフィルターfilter_s_tcpを設定します。
ファイアウォール フィルター カウンターの名前は count_s_tcp です。
ファイアウォールフィルターは、複数の論理インターフェイスに適用します。
at-1/1/1.0インプットso-2/2/2.2アウトプット
これら 2 つのインターフェイスにフィルターを適用すると、フィルターの 2 つのインスタンスが生成されます。filter_s_tcp-at-1/1/1.0-i と filter_s_tcp-so-2/2/2.2-oそれぞれ。
設定
次の例では、設定階層のいくつかのレベルに移動する必要があります。CLIのナビゲーションについては、 設定モードでのCLIエディターの使用を参照してください。
この例を設定するには、以下のタスクを実行します。
- CLIクイック構成
- インターフェイス固有のファイアウォールフィルターを設定する
- インターフェイス固有のファイアウォールフィルターを複数のインターフェイスに適用する
- 候補の設定を確認する
- カウンターをクリアし、受験者の設定をコミットします
CLIクイック構成
この例をすばやく設定するには、次のコマンドをテキスト ファイルにコピーし、改行を削除してから、 [edit] 階層レベルの CLI にコマンドを貼り付けます。
set firewall family inet filter filter_s_tcp interface-specific set firewall family inet filter filter_s_tcp term 1 from address 10.0.0.0/12 set firewall family inet filter filter_s_tcp term 1 from protocol tcp set firewall family inet filter filter_s_tcp term 1 then count count_s_tcp set firewall family inet filter filter_s_tcp term 1 then accept set interfaces at-1/1/1 unit 0 family inet filter input filter_s_tcp set interfaces so-2/2/2 unit 2 family inet filter filter_s_tcp
インターフェイス固有のファイアウォールフィルターを設定する
ステップバイステップでの手順
インターフェイス固有のファイアウォールフィルターを設定するには:
IPv4ファイアウォールフィルター
filter_s_tcpを作成します。[edit] user@host# edit firewall family inet filter filter_s_tcp
フィルターのインターフェイス固有のインスタンスを有効にします。
[edit firewall family inet filter filter_s_tcp] user@host# set interface-specific
条件の一致条件を設定します。
[edit firewall family inet filter filter_s_tcp] user@host# set term 1 from address 10.0.0.0/12 user@host# set term 1 from protocol tcp
用語のアクションを設定します。
[edit firewall family inet filter filter_s_tcp] user@host# set term 1 then count count_s_tcp user@host# set term 1 then accept
インターフェイス固有のファイアウォールフィルターを複数のインターフェイスに適用する
ステップバイステップでの手順
フィルター filter_s_tcp を論理インターフェイス at-1/1/1.0 および so-2/2/2.2 に適用するには:
論理インターフェイス
at-1/1/1.0で受信したパケットにインターフェイス固有のフィルターを適用します。[edit] user@host# set interfaces at-1/1/1 unit 0 family inet filter input filter_s_tcp
論理インターフェイス
so-2/2/2.2から送信されたパケットにインターフェイス固有のフィルターを適用します。[edit] user@host# set interfaces so-2/2/2 unit 2 family inet filter filter_s_tcp
候補の設定を確認する
ステップバイステップでの手順
受験者の設定を確認するには:
show firewall設定モード コマンドを入力して、ステートレス ファイアウォール フィルターの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。[edit] user@host# show firewall family inet { filter filter_s_tcp { interface-specific; term 1 { from { address { 10.0.0.0/12; } protocol tcp; } then { count count_s_tcp; accept; } } } }show interfaces設定モード コマンドを入力して、インターフェイスの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。[edit] user@host# show interfaces at-1/1/1 { unit 0 family inet { filter { input filter_s_tcp; } } ] } so-2/2/2 { unit 2 family inet { filter { output filter_s_tcp; } } } }
カウンターをクリアし、受験者の設定をコミットします
ステップバイステップでの手順
カウンターをクリアして受験者の設定をコミットするには:
動作コマンド モードから、
clear firewall allコマンドを使用して、すべてのファイアウォール フィルターの統計情報をクリアします。この例で使用されているカウンターのみをクリアするには、インターフェイス固有のフィルター インスタンス名を含めます。
[edit] user@host> clear firewall filter filter_s_tcp-at-1/1/1.0-i user@host> clear firewall filter filter_s_tcp-so-2/2/2.2-o
候補の構成をコミットします。
[edit] user@host# commit
検証
設定が正常に機能していることを確認します。
フィルターが複数のインターフェイスのそれぞれに適用されていることの確認
目的
フィルターが複数のインターフェイスのそれぞれに適用されていることを確認します。
アクション
detailまたはextensive出力レベルで show interfaces コマンドを実行します。
フィルターが
at-1/1/1.0の入力に適用されていることを確認します。user@host> show interfaces at-1/1/1 detail Physical interface: at-1/1/1, Enabled, Physical link is Up Interface index: 300, SNMP ifIndex: 194, Generation: 183 ... Logical interface at-1/1/1.0 (Index 64) (SNMP ifIndex 204) (Generation 5) Flags: Point-To-Point SNMP-Traps 0x4000 Encapsulation: ATM-SNAP ... Protocol inet, MTU: 4470, Generation: 13, Route table: 0 Flags: Sendbcast-pkt-to-re Input Filters: filter_s_tcp-at-1/1/1.0-i,,,,,フィルターが
so-2/2/2.2の出力に適用されていることを確認します。user@host> show interfaces so-2/2/2 detail Physical interface: so-2/2/2, Enabled, Physical link is Up Interface index: 129, SNMP ifIndex: 502, Generation: 132 ... Logical interface so-2/2/2.2 (Index 70) (SNMP ifIndex 536) (Generation 135) Flags: Point-To-Point SNMP-Traps 0x4000 Encapsulation: PPP ... Protocol inet, MTU: 4470, Generation: 146, Route table: 0 Flags: Sendbcast-pkt-to-re Output Filters: filter_s_tcp-so-2/2/2.2-o,,,,,