Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページで
 

例:IPv6 送信元または宛先 IP アドレスに基づくエグレス フィルターの設定

この例では、 inet6 インターフェイスから出るIPv6パケットを受け入れるようにファイアウォールフィルターを設定する方法を示しています。

要件

このトピックでは、Junos OSリリース19.1R1で導入されたEX4300およびQFX5100でサポートされている機能について説明します。この例を設定する前に、デバイス初期化以外の特別な設定を行う必要はありません。

概要

この例では、 inet6 インターフェイスのエグレス方向でIPv6の送信元と宛先パケットを受け入れる典型的なファイアウォールフィルターを作成します。ただし、エグレス方向でのフィルタリングをサポートするには、まず [srcip6-and-destip6] または [srcip6-only] オプションを使用してset system packet-forwarding-options eracl-ip6-matchを設定する必要があります。また、設定をコミットした後、パケット転送エンジン(PFE)を再起動する必要があります。

設定

次の例では、設定階層のいくつかのレベルに移動する必要があります。CLIのナビゲーションについては、 設定モードでのCLIエディターの使用を参照してください。

CLIクイック構成

この例をすばやく設定するには、次のコマンドをテキスト ファイルにコピーし、改行を削除してから、 [edit] 階層レベルの CLI にコマンドを貼り付けます。

IPv6 アドレス フィルタリングのシステムを有効にします。

ステップバイステップでの手順

inet6エグレスインターフェイスでIPv6フィルタリング用のファイアウォールフィルターを設定するには:

  1. IPv6 送信元、または IPv6 送信元と宛先 IP アドレスで照合するためのパケット転送オプションを有効にします。この例では、送信元と宛先の両方の IP アドレスの照合を有効にします。

  2. IPv6 ファイアウォールフィルターに使用するインターフェイスにすでにバインドされている既存のファイアウォールフィルターを確認し、必要に応じて削除します。

  3. 上記の変更をコミットし、PFEを停止・再起動して packet-forwarding-options を受け入れ、IPv6フィルターのPFEをクリアします。

    • EX4300の場合、以下を使用します。

    • EX4300オンライン シャーシの場合、以下を使用します。

    • QFX5100の場合は、システムを再起動します。

  4. tcp_filter という名前の IPv6 ファイアウォール フィルターを作成します。

  5. 必要なフィルターアクションをここで設定し、設定した範囲内でIPv6の送信元または宛先アドレスを持つパケットを照合します。

  6. 一致したパケットがカウントされ、PFEのバッファに記録され、受け入れられることを指定します。

ファイアウォールフィルターをエグレスインターフェイスに適用します

ステップバイステップでの手順

ファイアウォールフィルターをエグレスinet6インターフェイスに適用するには、次のように入力します。

  • user@host# set interfaces ge-0/0/0 unit 0 family inet6 filter output tcp_filter

受験者の設定を確認してコミットする

ステップバイステップでの手順

候補の設定を確認してコミットするには、次の手順に従います。

  1. show firewall 設定モード コマンドを入力して、ファイアウォール フィルターの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して設定を修正します。

  2. show interfaces 設定モード コマンドを入力して、インターフェイスの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。

  3. デバイスの設定が完了したら、候補の設定をコミットします。