例：フィルタを設定して TFTP アクセスをブロックする
要件
この例を設定する前に、デバイス初期化以外に特別な設定を行う必要はありません。
概要
デフォルトでは、サービス拒否 (DoS) 攻撃に対する脆弱性を減らすために、Junos OS はフィルター処理を行い、発信元アドレス0.0.0.0 および宛先アドレスが指定されている DHCP またはブートストラッププロトコル (BOOTP) パケットを破棄します。255.255.255.255. このデフォルトフィルターはユニキャスト RPF のチェックとして知られています。ただし、一部のベンダーの機器は、これらのパケットを自動的に受け入れる場合があります。
Topology
他のベンダーの機器との相互運用を可能にするには、これらのアドレスの両方をチェックするフィルターを設定し、これらのパケットを受け付けることで、デフォルトの RPF フィルターを上書きします。この例では、簡易ファイル転送プロトコル (TFTP) アクセスをブロックし、TFTP 接続を確立する試みをすべてログに記録します。
構成
次の例では、構成階層のさまざまなレベルを移動する必要があります。詳細については、 を参照してください。詳細CLI、 設定モードでの CLI エディターの使用 を参照してください。
この例を構成するには、以下のタスクを実行します。
CLI クイック構成
この例を簡単に構成するには、以下の構成コマンドをテキストファイルにコピーし、改行を削除してから、コマンドを[edit]階層レベルで CLI に貼り付けます。
set firewall family inet filter tftp_access_control term one from protocol udp set firewall family inet filter tftp_access_control term one from port tftp set firewall family inet filter tftp_access_control term one then log set firewall family inet filter tftp_access_control term one then discard set interfaces lo0 unit 0 family inet filter input tftp_access_control set interfaces lo0 unit 0 family inet address 127.0.0.1/32
ステートレスファイアウォールフィルターを構成します。
順を追った手順
TFTP アクセスを選択的にブロックするステートレスファイアウォールフィルターを構成するには、次のようにします。
ステートレスファイアウォールフィルター
tftp_access_controlを作成します。[edit] user@host# edit firewall family inet filter tftp_access_control
UDP ポート 69 で受信したパケットで一致を指定します。
[edit firewall family inet filter tftp_access_control] user@host# set term one from protocol udp user@host# set term one from port tftp
一致したパケットをパケット転送エンジン上のバッファーに記録してから破棄することを指定します。
[edit firewall family inet filter tftp_access_control] user@host# set term one then log user@host# set term one then discard
ループバックインターフェイスにファイアウォールフィルターを適用します。
順を追った手順
ループバックインターフェイスにファイアウォールフィルターを適用するには、次のようにします。
[edit] user@host# set interfaces lo0 unit 0 family inet filter input tftp_access_control user@host# set interfaces lo0 unit 0 family inet address 127.0.0.1/32
受験者の構成を確認して確定します。
順を追った手順
候補の設定を確認してからコミットするには、以下のようにします。
show firewall構成モードのコマンドを入力して、ステートレスファイアウォールフィルターの構成を確認します。コマンドの出力に意図した構成が表示されない場合は、この例の手順を繰り返して設定を修正します。[edit] user@host# show firewall family inet { filter tftp_access_control { term one { from { protocol udp; port tftp; } then { log; discard; } } } }show interfaces設定モードのコマンドを入力して、インターフェイスの設定を確認します。コマンドの出力に意図した構成が表示されない場合は、この例の手順を繰り返して設定を修正します。[edit] user@host# show interfaces lo0 { unit 0 { family inet { filter { input tftp_access_control; } address 127.0.0.1/32; } } }デバイスの設定が完了したら、受験者の設定を確定します。
[edit] user@host# commit