例：IP オプションパケット数をカウントするためのフィルタの設定
次の例は、ステートレスファイアウォールフィルタを使用して、個々の IP オプションパケットをカウントする方法を示しています。
要件
この例では、mPC(10ギガビット イーサネット モジュラー ポート コンセントレータ)、60ギガビット イーサネットMPC、60ギガビット キューイング イーサネットMPC、またはMX シリーズルーター上の60ギガビット イーサネット拡張キューイングMPC上のインターフェイスを使用しています。countこのインターフェイスを使用するとlog syslog 、IPv4 ファイアウォールフィルター (標準またはサービスフィルター) を適用して、特定の値に一致するパケットに対して、そのユーザーが指定 ip-optionしdiscardたものを使用することなく、アクションを終了しています。
この例を設定する前に、デバイス初期化以外に特別な設定を行う必要はありません。
概要
この例では、ステートレスファイアウォールフィルターを使用して IP オプションパケットをカウントしますが、トラフィックをブロックすることはありません。また、フィルターによって、ソースルーティングが緩やかになったり、厳密になったりしたパケットがログに記録されます。
IP オプション ヘッダー フィールドは、IPv4 ヘッダーのオプション フィールドのみです。And ip-optionsip-options-except match 条件は、標準のステートレスファイアウォールフィルターとサービスフィルターでのみサポートされます。
M と T シリーズのルーターでは、ファイアウォールip-optionsフィルターは、1つのオプションタイプとインターフェイスごとにパケットをカウントできません。このshow pfe statistics ip optionsコマンドを使用して、パケット転送エンジン (pfe ip-options ) 単位で統計情報を確認することは、制限された回避策です。サンプル出力にpfe 統計 ip を表示するを参照してください。
構成
次の例では、構成階層のさまざまなレベルを移動する必要があります。詳細については、 を参照してください。詳細CLIを参照 設定モードでの CLI エディターの使用 してください。
この例を構成するには、以下のタスクを実行します。
CLI クイック構成
この例を簡単に構成するには、以下の構成コマンドをテキストファイルにコピーし、改行を削除してから、コマンドを[edit]階層レベルで CLI に貼り付けます。
set firewall family inet filter ip_options_filter term match_strict_source from ip-options strict-source-route set firewall family inet filter ip_options_filter term match_strict_source then count strict_source_route set firewall family inet filter ip_options_filter term match_strict_source then log set firewall family inet filter ip_options_filter term match_strict_source then accept set firewall family inet filter ip_options_filter term match_loose_source from ip-options loose-source-route set firewall family inet filter ip_options_filter term match_loose_source then count loose_source_route set firewall family inet filter ip_options_filter term match_loose_source then log set firewall family inet filter ip_options_filter term match_loose_source then accept set firewall family inet filter ip_options_filter term match_record from ip-options record-route set firewall family inet filter ip_options_filter term match_record then count record_route set firewall family inet filter ip_options_filter term match_record then accept set firewall family inet filter ip_options_filter term match_timestamp from ip-options timestamp set firewall family inet filter ip_options_filter term match_timestamp then count timestamp set firewall family inet filter ip_options_filter term match_timestamp then accept set firewall family inet filter ip_options_filter term match_router_alert from ip-options router-alert set firewall family inet filter ip_options_filter term match_router_alert then count router_alert set firewall family inet filter ip_options_filter term match_router_alert then accept set firewall family inet filter ip_options_filter term match_all then accept set interfaces ge-0/0/1 unit 0 family inet address 10.1.2.3/30 set interfaces ge-0/0/1 unit 0 family inet filter input ip_options_filter
ステートレスファイアウォールフィルターを構成します。
順を追った手順
ステートレスファイアウォールフィルター ip_option_filterを構成するには、次のようにします。
ステートレスファイアウォールフィルター
ip_option_filterを作成します。[edit] user@host# edit firewall family inet filter ip_options_filter
strict_source_routeIP オプションヘッダーフィールドを使用して、パケットのカウント、ログ、および受け付けを行うための最初の条件を構成します。[edit firewall family inet filter ip_option_filter] user@host# set term match_strict_source from ip-options strict_source_route user@host# set term match_strict_source then count strict_source_route user@host# set term match_strict_source then log user@host# set term match_strict_source then accept
loose-source-routeIP オプションヘッダーフィールドを使用して、パケットのカウント、ログ、および受け付けを行うための次の条件を構成します。[edit firewall family inet filter ip_option_filter] user@host# set term match_loose_source from ip-options loose-source-route user@host# set term match_loose_source then count loose_source_route user@host# set term match_loose_source then log user@host# set term match_loose_source then accept
record-routeIP オプションヘッダーフィールドを使用してパケットをカウントして受け入れるように、次の用語を構成します。[edit firewall family inet filter ip_option_filter] user@host# set term match_record from ip-options record-route user@host# set term match_record then count record_route user@host# set term match_record then accept
timestampIP オプションヘッダーフィールドを使用してパケットをカウントして受け入れるように、次の用語を構成します。[edit firewall family inet filter ip_option_filter] user@host# set term match_timestamp from ip-options timestamp user@host# set term match_timestamp then count timestamp user@host# set term match_timestamp then accept
router-alertIP オプションヘッダーフィールドを使用してパケットをカウントして受け入れるように、次の用語を構成します。[edit firewall family inet filter ip_option_filter] user@host# set term match_router_alert from ip-options router-alert user@host# set term match_router_alert then count router_alert user@host# set term match_router_alert then accept
カウンターを増加させずにパケットを受け入れられるようにする最後の用語を作成します。
[edit firewall family inet filter ip_option_filter] user@host# set term match_all then accept
ステートレスファイアウォールフィルターを論理インターフェイスに適用します。
順を追った手順
ステートレスファイアウォールフィルターを論理インターフェイスに適用するには、次のようにします。
ステートレスファイアウォールフィルターの適用先となる論理インタフェースを設定します。
[edit] user@host# edit interfaces ge-0/0/1 unit 0 family inet
論理インタフェースのインタフェースアドレスを設定します。
[edit interfaces ge-0/0/1 unit 0 family inet] user@host# set address 10.1.2.3/30
ステートレスファイアウォールフィルターを論理インターフェイスに適用します。
[edit interfaces ge-0/0/1 unit 0 family inet] user@host# set filter input ip_options_filter
受験者の構成を確認して確定します。
順を追った手順
候補の設定を確認してからコミットするには、以下のようにします。
show firewall構成モードのコマンドを入力して、ステートレスファイアウォールフィルターの構成を確認します。コマンドの出力に意図した構成が表示されない場合は、この例の手順を繰り返して設定を修正します。[edit] user@host# show firewall family inet { filter ip_options_filter { term match_strict_source { from { ip-options strict-source-route; } then { count strict_source_route; log; accept; } } term match_loose_source { from { ip-options loose-source-route; } then { count loose_source_route; log; accept; } } term match_record { from { ip-options record-route; } then { count record_route; accept; } } term match_timestamp { from { ip-options timestamp; } then { count timestamp; accept; } } term match_router_alert { from { ip-options router-alert; } then { count router_alert; accept; } } term match_all { then accept; } } }show interfaces設定モードのコマンドを入力して、インターフェイスの設定を確認します。コマンドの出力に意図した構成が表示されない場合は、この例の手順を繰り返して設定を修正します。[edit] user@host# show interfaces ge-0/0/1 { unit 0 { family inet { filter { input ip_option_filter; } address 10.1.2.3/30; } } }デバイスの設定が完了したら、受験者の設定を確定します。
[edit] user@host# commit
検証
構成が正常に機能していることを確認ファイアウォールの表示 filter ip_option_filterするには、運用モードコマンドを入力します。また、以下の形式のコマンドを使用して、ログと個々のカウンターを個別に表示することもできます。
show firewall counter strict_source_routeshow firewall counter loose_source_routeshow firewall counter record_routeshow firewall counter timestampshow firewall counter router_alertshow firewall log