例:複数のファイアウォールフィルターのリストの適用
この例では、複数のファイアウォールフィルターのリストを適用する方法を示しています。
要件
開始する前に、以下を確認してください。
-
ルーターまたはスイッチをインストールし、PIC、DPC、またはMPCをサポートし、ルーターまたはスイッチの初期設定を実行している。
-
トポロジーで設定された基本イーサネット。
-
IPバージョン 4(IPv4)プロトコル(
family inet)を実行するように論理インターフェイスを設定し、インターフェイスアドレスを使用して論理インターフェイスを構成しました。この例では、IP アドレス 172.16.1.2/30 で構成された論理インターフェイスge-1/3/0.0を使用します。注:念のために、この例の設定セクションでは、論理インターフェイス
ge-1/3/0.0のIPアドレスの設定について説明しています。 -
トラフィックがトポロジーを流れており、イングレスおよびエグレスIPv4トラフィックが論理インターフェイス
ge-1/3/0.0を通過していることを検証しました。 -
このルーターまたはスイッチの論理インターフェイス
ge-1/3/0.0に接続されているリモートホストにアクセスできることを確認します。
物理インターフェイスポリサー/フィルターは、リストフィルターではサポートされていません。
概要
この例では、3つのIPv4ファイアウォールフィルターを設定し、リストを使用して各フィルターを同じ論理インターフェイスに直接適用します。
トポロジー
この例では、論理インターフェイスge-1/3/0.0での入力 フィルターのリストとして、以下のファイアウォールフィルターを適用します。各フィルターには、IPv4パケットを評価し、TCPヘッダーのdestination portフィールドの値に基づいてパケットを受け入れる単一の条件が含まれています。
-
FTPポート 番号(
21)で一致するfilter_FTPフィルターします。 -
SSHポート 番号(
22)で一致するfilter_SSHフィルターします。 -
Telnet ポート 番号(
23)で一致するfilter_Telnetフィルターします。
インバウンドパケットが入力リストのどのフィルターにも一致しない場合、そのパケットは破棄されます。
Junos OS は、リスト内のフィルター名がリストに表示される順序でフィルターを使用します。この簡単な例では、すべてのフィルターが同じアクションを指定するため、順序は関係ありません。
どのフィルターも、単独で( input または output ステートメントを使用)、または他のフィルターと組み合わせて( input-list または output-list ステートメントを使用して)他のインターフェイスに適用できます。目的は、インターフェイス固有のフィルターリストで再使用できる複数の「最小限の」ファイアウォールフィルターを設定することです。
設定
次の例では、設定階層のさまざまなレベルに移動する必要があります。CLIのナビゲーションについては、 設定モードでのCLIエディターの使用を参照してください。
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをテキスト ファイルにコピーし、改行を削除してから、 [edit] 階層レベルのCLIにコマンドを貼り付けます。
set firewall family inet filter filter_FTP term 0 from protocol tcp set firewall family inet filter filter_FTP term 0 from destination-port 21 set firewall family inet filter filter_FTP term 0 then count pkts_FTP set firewall family inet filter filter_FTP term 0 then accept set firewall family inet filter filter_SSH term 0 from protocol tcp set firewall family inet filter filter_SSH term 0 from destination-port 22 set firewall family inet filter filter_SSH term 0 then count pkts_SSH set firewall family inet filter filter_SSH term 0 then accept set firewall family inet filter filter_Telnet term 0 from protocol tcp set firewall family inet filter filter_Telnet term 0 from destination-port 23 set firewall family inet filter filter_Telnet term 0 then count pkts_Telnet set firewall family inet filter filter_Telnet term 0 then accept set firewall family inet filter filter_discard term 1 then count pkts_discarded set firewall family inet filter filter_discard term 1 then discard set interfaces ge-1/3/0 unit 0 family inet address 172.16.1.2/30 set interfaces ge-1/3/0 unit 0 family inet filter input-list filter_FTP set interfaces ge-1/3/0 unit 0 family inet filter input-list filter_SSH set interfaces ge-1/3/0 unit 0 family inet filter input-list filter_Telnet set interfaces ge-1/3/0 unit 0 family inet filter input-list filter_discard
複数のIPv4ファイアウォールフィルターを設定する
ステップバイステップの手順
IPv4ファイアウォールフィルターを設定するには:
-
IPv4ファイアウォールフィルターを設定する階層レベルにCLIに移動します。
[edit] user@host# edit firewall family inet
-
最初のファイアウォールフィルターを設定して、ポート 21のパケットをカウントして受け入れます。
[edit firewall family inet] user@host# set filter filter_FTP term 0 from protocol tcp user@host# set filter filter_FTP term 0 from destination-port 21 user@host# set filter filter_FTP term 0 then count pkts_FTP user@host# set filter filter_FTP term 0 then accept
-
2 番目のファイアウォールフィルターを設定して、ポート 22 のパケットをカウントして受け入れます。
[edit firewall family inet] user@host# set filter filter_SSH term 0 from protocol tcp user@host# set filter filter_SSH term 0 from destination-port 22 user@host# set filter filter_SSH term 0 then count pkt_SSH user@host# set filter filter_SSH term 0 then accept
-
3 番目のファイアウォールフィルターを設定して、ポート 23 からのパケットをカウントして受信します。
[edit firewall family inet] user@host# set filter filter_Telnet term 0 from protocol tcp user@host# set filter filter_Telnet term 0 from destination-port 23 user@host# set filter filter_Telnet term 0 then count pkts_Telnet user@host# set filter filter_Telnet term 0 then accept
-
最後のファイアウォールフィルターを設定して、破棄されたパケットをカウントします。
[edit firewall family inet] user@host# set filter filter_discard term 1 then count pkts_discarded user@host# set filter filter_discard term 1 then discard
フィルターを入力リストと出力リストとして論理インターフェイスに適用します
ステップバイステップの手順
6 つの IPv4 ファイアウォールフィルターを入力フィルターのリストと出力フィルターのリストとして適用するには:
-
CLIを、IPv4ファイアウォールフィルターを論理インターフェイス
ge-1/3/0.0に適用する階層レベルに移動します。[edit] user@host# edit interfaces ge-1/3/0 unit 0 family inet
-
論理インターフェイスにIPv4プロトコルファミリーを設定します。
[edit interfaces ge-1/3/0 unit 0 family inet] user@host# set address 172.16.1.2/30
-
フィルターを入力フィルターのリストとして適用します。
[edit interfaces ge-1/3/0 unit 0 family inet] user@host# set filter input-list [ filter_FTP filter_SSH filter_Telnet filter_discard ]
受験者の設定を確認してコミットする
ステップバイステップの手順
受験者の設定を確認してコミットするには:
-
show firewall設定モードコマンドを入力して、ファイアウォールフィルターの設定を確認します。コマンド出力に意図した設定が表示されない場合は、この例の指示を繰り返して設定を修正します。[edit] user@host# show firewall family inet { filter filter_FTP { term 0 { from { protocol tcp; destination-port 21; } then { count pkts_FTP; accept; } } } filter filter_SSH { term 0 { from { protocol tcp; destination-port 22; } then { count pkts_SSH; accept; } } } filter filter_Telnet { term 0 { from { protocol tcp; destination-port 23; } then { count pkts_Telnet; accept; } } } filter filter_discard { term 1 { then { count pkts_discarded; discard; } } } } -
show interfacesconfiguration mode コマンドを入力して、インターフェイスの設定を確認します。コマンド出力に意図した設定が表示されない場合は、この例の指示を繰り返して設定を修正します。[edit] user@host# show interfaces ge-1/3/0 { unit 0 { family inet { filter { input-list [ filter_FTP filter_SSH filter_Telnet filter_discard ]; } address 172.16.1.2/30; } } } -
デバイスの設定が完了したら、受験者の設定をコミットします。
[edit] user@host# commit
検証
設定が正常に機能していることを確認します。
インバウンドパケットがFTP、SSH、またはTelnetポート宛の場合にのみ受け入れられることを確認する
目的
論理インターフェイスで 3 つのフィルターがすべてアクティブであることを確認します。
アクション
3つのフィルターに従って入力パケットが受け入れられることを確認するには:
-
このルーター(またはスイッチ)の論理インターフェイス
ge-1/3/0.0に接続されているリモートホストから、ヘッダーに宛先ポート番号 21のパケットを送信します。パケットが受け入れられるはずです。 -
このルーター(またはスイッチ)の論理インターフェイス
ge-1/3/0.0に接続されているリモートホストから、ヘッダーに宛先ポート番号 が22のパケットを送信します。パケットが受け入れられるはずです。 -
このルーター(またはスイッチ)の論理インターフェイス
ge-1/3/0.0に接続されているリモートホストから、ヘッダーに宛先ポート番号 が23のパケットを送信します。パケットが受け入れられるはずです。 -
このルーター(またはスイッチ)の論理インターフェイス
ge-1/3/0.0に接続されているリモートホストから、宛先ポート番号が21、22、または23 以外の パケットを送信します。パケットは破棄する必要があります。 -
ge-1/3/0.0入力に適用されるフィルター一覧のカウンター情報を表示するには、show firewall filter ge-1/3/0.0-inet-i動作モードコマンドを入力します。コマンド出力には、以下のカウンターに関連付けられたフィルター条件に一致するバイト数とパケット数が表示されます。-
pkts_FTP-ge-1/3/0.0-inet-i -
pkts_SSH-ge-1/3/0.0-inet-i -
pkts_Telnet-ge-1/3/0.0-inet-i -
pkts_discard-ge-1/3/0.0-inet-i
-