例：TFTPアクセスをブロックするフィルターの設定
要件
この例を設定する前に、デバイス初期化以外の特別な設定を行う必要はありません。
概要
デフォルトでは、サービス拒否(DoS)攻撃に対する脆弱性を軽減するため、Junos OSは、送信元アドレスが0.0.0.0で宛先アドレスが255.255.255.255の動的ホスト構成プロトコル(DHCP)またはブートストラッププロトコル(BOOTP)パケットをフィルタリングして破棄します。このデフォルト フィルタは、ユニキャスト RPF チェックと呼ばれます。ただし、一部のベンダーの機器は、これらのパケットを自動的に受け入れます。
トポロジー
他のベンダーの機器と相互運用するために、これらのアドレスの両方をチェックし、これらのパケットを受け入れることでデフォルトのRPF-checkフィルタを上書きするフィルタを設定できます。この例では、TFTP(簡易ファイル転送プロトコル)アクセスをブロックし、TFTP 接続を確立しようとする試みをログに記録します。
設定
次の例では、設定階層のいくつかのレベルに移動する必要があります。CLIのナビゲーションについては、 設定モードでのCLIエディターの使用を参照してください。
この例を設定するには、以下のタスクを実行します。
CLIクイック構成
この例をすばやく設定するには、次の設定コマンドをテキスト ファイルにコピーし、改行を削除してから、 [edit] 階層レベルの CLI にコマンドを貼り付けます。
set firewall family inet filter tftp_access_control term one from protocol udp set firewall family inet filter tftp_access_control term one from port tftp set firewall family inet filter tftp_access_control term one then log set firewall family inet filter tftp_access_control term one then discard set interfaces lo0 unit 0 family inet filter input tftp_access_control set interfaces lo0 unit 0 family inet address 127.0.0.1/32
ステートレス ファイアウォール フィルターを構成する
ステップバイステップでの手順
TFTPアクセスを選択的にブロックするステートレスファイアウォールフィルターを設定するには:
ステートレス ファイアウォール フィルター
tftp_access_controlを作成します。[edit] user@host# edit firewall family inet filter tftp_access_control
UDPポート69で受信したパケットの一致を指定します。
[edit firewall family inet filter tftp_access_control] user@host# set term one from protocol udp user@host# set term one from port tftp
一致したパケットがパケット転送エンジンのバッファに記録され、その後破棄されることを指定します。
[edit firewall family inet filter tftp_access_control] user@host# set term one then log user@host# set term one then discard
ファイアウォールフィルターをループバックインターフェイスに適用します
ステップバイステップでの手順
ファイアウォールフィルターをループバックインターフェイスに適用するには:
[edit] user@host# set interfaces lo0 unit 0 family inet filter input tftp_access_control user@host# set interfaces lo0 unit 0 family inet address 127.0.0.1/32
受験者の設定を確認してコミットする
ステップバイステップでの手順
候補の設定を確認してコミットするには、次の手順に従います。
show firewall設定モード コマンドを入力して、ステートレス ファイアウォール フィルターの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。[edit] user@host# show firewall family inet { filter tftp_access_control { term one { from { protocol udp; port tftp; } then { log; discard; } } } }show interfaces設定モード コマンドを入力して、インターフェイスの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。[edit] user@host# show interfaces lo0 { unit 0 { family inet { filter { input tftp_access_control; } address 127.0.0.1/32; } } }デバイスの設定が完了したら、受験者の設定をコミットします。
[edit] user@host# commit