ファイアウォールフィルターの構成

• レイヤー2トラフィック (ポートまたは VLAN) をフィルタリングするには、ファミリethernet-switchingアドレスタイプを指定します。

• レイヤー 3 (ルーティングされた) トラフィックをフィルターするには、inetファミリのアドレスタイプ (inet6 IPv4 の場合) または (IPv6 の場合) を指定します。

• レイヤー2サーキットインターフェイスのトラフィックをフィルターするには、ファミリー cccのアドレスタイプを指定します。

フィルターと用語の名前には、文字、数字、ハイフン (-) を使用できます。また、最大64文字の長さを指定できます。各フィルター名は一意にする必要があります。フィルターには1つまたは複数の条件を含めることができ、各用語名はフィルター内で一意にする必要があります。

この設定では、フィルターは送信元ポート80を含むレイヤー2パケットと一致します。

この設定では、フィルターは、インターフェイス ge-0/0/6.0 を含む Vlan と一致します。

1つのfromステートメントの中で検索条件を指定できます。一致と見なされるためには、パケットは条件に合致していることが必要です。ステートメント from は必須ですが、そのステートメントを用語に含める場合、空にすることはできません。fromステートメントを省略すると、すべてのパケットが一致したと見なされます。

• フィルタの条件に一致するパケットを破棄するなど、フィルタアクションを指定するには、次のようにします。

  指定できるアクションは、 、 ) です acceptdiscardfloodrejectrouting-instancevlan 。

• たとえば、QFX5100/QFX5110/ QFX5120-32C/QFX5120-32C/QFX5200/QFX5210 で MAC アドレス に一致するパケットをフラッディングする場合、フィルタ アクションを指定するには、次のQFX5200/QFX5210。

  宛先リンクを一致条件として使用して、イングレス ポートベースのファイアウォール フィルターをフラッディングまたは MAC アドレスを設定できます。

  プロトコル	宛先メディア アクセス制御(DMAC)アドレス	ファイアウォールアクション
  Link Aggregation Control Protocol（LACP）	01:80:c2:00:00:02	フラッド/破棄/カウント
  Link Layer Discovery Protocol（LLDP）	01:80:c2:00:00:0E	フラッド/破棄/カウント
  EAPOL(Extensible Authentication Protocol over LAN)	01:80:c2:00:00:03	フラッド/破棄/カウント
  Spanning Tree Protocol（STP）	01:80:c2:00:00:00	フラッド/破棄/Coun
  VLAN スパニングツリープロトコル (VSTP)	01:00:0c:cc:cc:cd	フラッド/破棄/カウント
  Cisco Discovery Protocol(CDP)/VTP(VLAN Trunk Protocol)	01:00:0C:cc:cc:cc	破棄/カウント
  ISIS L1	01:80:c2:00:00:14	破棄/カウント
  ISIS L2	01:80:c2:00:00:15	破棄/カウント

  注:

  • CDP/VTP、ISIS L1/L2 プロトコル フラッド(デフォルトの動的フィルターを使用) したがって、これらのプロトコルに対して追加のフィルタを設定する必要はありません。

  • イングレス ポートベースのファイアウォール フィルターがポート レベルで適用されると、サービス プロバイダ スタイルの設定では物理インターフェイスに 1 つのフィルタのみ 適用できます。

  • トランク ポートで受信したタグ付けされていない BPDU のフラッディングを確保するために、ネイティブ VLAN を設定する必要があります。ネイティブVLANが設定されていない場合、タグ付けされていないDPDUがローカルFPC内のすべてのインターフェイスにフラッディングします。

  • IGMP スヌーピングまたは MLD(マルチキャスト リスナー検出)スヌーピングが有効になっている場合、フラッド機能は機能しません。

  • フラッド アクションが適用されたファイアウォール フィルタがインターフェイスに適用され、後でインターフェイスがダウンすると、そのインターフェイスで受信した BPDU が一致条件を満たすとフラッディングします。

• パケットを転送クラスにカウントして分類するなど、アクションの修飾子を指定するには、以下のようにします。

  thenステートメントでは、以下のアクション修飾子を指定できます。

  • analyzer analyzer-name—指定されたアナライザにポート トラフィックをミラーリングします。アナライザは、レベルで設定する必要 [ethernet-switching-options] があります。

  • count counter-name—このフィルター条件を通過するパケット数をカウントします。

    注:

    各フィルター条件に指定された条件に一致するパケット数を監視できるように、ファイアウォールフィルターの用語ごとにカウンターを構成することをお勧めします。

    注:

    QFX3500 および QFX3600 スイッチでは、フィルターは、巡回冗長検査 (CRC) エラーのために受信方向にドロップされたパケットを自動的にカウントします。

  • forwarding-class class—転送クラスにパケットを割り当てる。

  • log—デバイスにパケット ヘッダー情報をルーティング エンジン。

  • loss-priority priority—パケットをドロップする優先度を設定します。

  • policer policer-name:トラフィックにレート制限を適用します。

  • flood:パケットをフラッドします。

  • syslog—このパケットのアラートをログに記録します。

ステートメントを除外するか、アクションを指定しない場合、ステートメント内のすべての条件に一致するパケット thenfrom が受け入れされます。ただし、 then文の中で常にアクションを設定していることを確認してください。1つのアクションステートメントのみを含めることができますが、アクション修飾子の任意の組み合わせを使用できます。アクションまたはアクション修飾子を有効にするには、 fromステートメント内のすべての条件が一致している必要があります。

• VLAN に入るパケットのマッチングにフィルタを適用するには、次のようにします。

• VLAN からのパケットの一致にファイアウォールフィルターを適用するには、次のようにします。

• インターフェイスに入力するパケットをフィルタリングするには、次のようにします。

• インターフェイスを終了するパケットをフィルタリングするには、次のようにします。

  ファミリーアドレスタイプは、(inet IPv4 の場合) または (inet6 IPv6 の場合) のいずれかです。