ファイアウォールフィルターの一致条件とアクション(QFXおよびEXシリーズスイッチ)
ファイアウォールフィルターの一致条件とアクション(EX4400、EX4600、EX4650、QFX5100、QFX5110、QFX5120、QFX5200、QFX5210、QFX5700)
ファイアウォールフィルターの各条件は、 一致条件 と アクションで構成されています。一致条件は、一致と見なされるためにパケットに含める必要があるフィールドと値です。一致ステートメントでは、単一または複数の一致条件を定義できます。また、一致しないステートメントを含めることもできます。この場合、条件はすべてのパケットに一致します。
パケットがフィルターに一致すると、スイッチは条件で指定されたアクションを実行します。さらに、アクション修飾子を指定して、パケットのカウント、ミラーリング、レート制限、分類を行うことができます。条件に一致条件が指定されていない場合、スイッチはデフォルトでパケットを受け入れます。
表 1 は、ファイアウォールフィルターを設定する際に指定できる一致条件について説明します。数値範囲とビットフィールド一致条件の中には、テキスト シノニムを指定できるものもあります。一致条件のすべての同義語の一覧を表示するには、ステートメントの適切な場所にを入力
?
します。表 2 は、条件で指定できるアクションを示しています。
表 3 は、パケットのカウント、ミラーリング、レート制限、分類に使用できるアクション修飾子を示しています。
特定のスイッチの一致条件には、以下の制限が適用されます。
(QFX5100、QFX5110、QFX5200)IPv6インターフェイスでフィルターベースの転送を使用する場合、これらの一致条件のみが(イングレス方向)でサポートされます。 |
(QFX5110)階層の下で オプションを |
(QFX5100、QFX5110、QFX5120、QFX5130-32CD、QFX5220、QFX5700)EVPN-VXLAN環境では、以下の一致条件のみがサポートされます。 |
(QFX5100、QFX5110、QFX5200)EVPN-VXLAN IRBインターフェイスのエグレス方向にファイアウォールフィルターを適用することはできません。 |
(QFX5700)ループバックインターフェイスのエグレス方向にファイアウォールフィルターを適用することはできません。 |
(QFX5100、QFX5110)ファイアウォールフィルターを使用してEVPN-VXLAN環境にMACフィルタリングを実装する場合、サポートされる一致条件については、 EVPN-VXLAN環境のMACフィルタリング、ストーム制御、ポートミラーリングサポート を参照してください。 |
(QFX5100、QFX5110)VXLANに適用するファイアウォールフィルターごとに、 を指定してレイヤー2(イーサネット)パケットをフィルタリングするか、IRB |
レイヤー 2 機能をサポートしていないスイッチでは、IPv4 および IPv6 インターフェイスに有効な一致条件のみを使用します。 |
(QFX5120、EX4650)Junos リリース 21.4R1 以降、QFX5120 および EX4650 の EVPN-VXLAN 環境では、以下の一致条件がサポートされています。 |
Junos OSリリース21.4R1以降、ソースポート範囲最適化および宛先ポート範囲最適化条件が 階層レベルで |
Junos リリース 22.4R1 以降、サポートされている EX4100、EX4400、EX4650、QFX5120 シリーズ スイッチで EVPN-VXLAN 環境の GBP タグに対して、以下の一致条件がサポートされています。 |
Junosリリース23.2R1以降、新しいIPV4およびIPv6 L4の一致がサポートされ、EX4100シリーズ、EX4400シリーズ、EX4650シリーズ、QFX5120-32C、QFX5120-48Yスイッチのポリシー適用がサポートされています。 |
一致条件 |
説明 |
方向とインターフェイス |
---|---|---|
|
ARPリクエストパケットまたはARP返信パケット。 |
エグレスインターフェイスとイングレスインターフェイス。 |
|
最終宛先ノードのアドレスであるIP宛先アドレスフィールド。 |
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス、および IPv6(inet6)インターフェイス。 |
|
パケットの宛先 MAC(メディア アクセス制御)アドレス。 |
イングレスポート、VLAN、IPv4(inet)インターフェイス。 エグレスポートとVLAN。 |
|
TCP または UDP 宛先ポート フィールド。通常、 一致ステートメントと合わせてこの一致を
|
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
利用可能なメモリをより効率的に使用しながら、TCP または UDP ポート範囲の範囲に一致します。この条件を使用すると、個々の宛先ポートを設定する場合よりも多くのファイアウォールフィルターを設定できます。(フィルターベースの転送ではサポートされていません。 |
イングレスポート、VLAN、IPv4(inet)インターフェイス。 |
|
IP 宛先プレフィックス リスト フィールド。頻繁に使用するプレフィックスリストエイリアスの下で、IPアドレスプレフィックスのリストを定義できます。このリストを |
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイスと IPv6(inet6)インターフェイス。 |
|
差別化されたサービス コード ポイント(DSCP) DiffServ プロトコルは、IP ヘッダーのサービスタイプ(ToS)バイトを使用します。このバイトの最上位 6 ビットが DSCP を形成します。 DSCP は、16 進、2 進、または 10 進形式で指定できます。 数値の代わりに、以下のテキスト シノニム(フィールド値も記載されています)のいずれかを指定します。
|
イングレスポート、VLAN、IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
パケットのイーサネット タイプ フィールド。EtherType 値は、どのプロトコルがイーサネット フレームで転送されているかを指定します。数値の代わりに、以下のテキスト シノニム(フィールド値も記載されています)のいずれかを指定します。
|
イングレスポートとVLAN。 エグレスポートとVLAN。 |
|
エグレスVLANファイアウォールフィルター条件の数を1024から2048に増やすには、このオプションを含めます。 |
エグレスVLAN IPv4(inet)インターフェイスとIPv6(inet6)インターフェイス。 |
|
MPLS EXP ビットで一致します。 |
イングレス MPLS インターフェイス。 エグレス MPLS インターフェイス。 |
|
IP フラグメント化フラグ。数値の代わりに、以下のテキスト シノニム(16 進値も記載されています)のいずれかを指定します。
|
イングレスポートとVLAN。 |
|
ここで説明するように、VXLAN 上のマイクロセグメンテーションで使用するために、宛先タグに一致します。例:VXLANのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション |
適用外 |
|
ここで説明するように、VXLAN 上のマイクロセグメンテーションで使用するために、送信元タグに一致します。例:VXLANのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション |
適用外 |
|
ICMP コード フィールドです。値の意味は関連
|
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
指定されたホップ制限またはホップ制限のセットに一致します。単一の値または 0~255 の値の範囲を指定します。 |
Ingressおよびegress IPv6(inet6)インターフェイス。 注:
QFX3500、QFX3600、QFX5100、QFX5120、QFX5110、QFX5200、QFX5210 スイッチの出口方向ではサポートされていません。 |
|
ここで説明するように、VXLAN 上のマイクロセグメンテーションで使用するために、IPv4 または IPv6 の送信元または宛先アドレスに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
Ingressおよびegress(システム全体)。 |
ip-version ipv4 destination-port DST_PORT |
で説明されているように、GBP ポリシー フィルター L4 一致で使用するために TCP/UDP 宛先ポートに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv4 source-port SRC_PORT |
で説明されているように、GBPポリシーフィルターL4一致で使用するために使用するTCP/UDP送信元ポートに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv4 ip-protocol PROTOCOL |
で説明されているように、GBP ポリシー フィルター L4 一致で使用する IP プロトコル タイプに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv4 is-fragment |
で説明されているように、GBP ポリシー フィルター L4 一致で使用するために、パケットがフラグメントの場合に一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv4 fragment-flag FLAGS |
で説明されているように、GBPポリシーフィルターL4の一致で使用するために、フラグメントフラグを(記号形式または16進形式で)一致させます。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv4 ttlValue |
10進数のIP TTL(Time-to-Live)フィールド。値は 1~255 です。で説明されているように、GBPポリシーフィルターL4一致で使用する場合:例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv4 tcp-flagsFLAGS |
1つ以上のTCPフラグを(記号形式または16進形式で)照合し、GBPポリシーL4一致で使用します(で説明)。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv4 tcp-initial |
接続の最初の TCP パケットに一致します。で説明されているように、GBP ポリシー L4 一致で使用する場合:例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv4 tcp-established |
で説明されているように、GBPポリシーL4一致で使用するために、確立されたTCP接続のパケットに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv6 source-port SRC_PORT |
で説明されているように、GBP ポリシー L4 一致で使用するために TCP/UDP 送信元ポートに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv6 destination-port DST_PORT |
で説明されているように、GBPポリシーフィルターL4一致で使用するために使用するTCP/UDP宛先ポートに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv6 next-header PROTOCOL |
で説明されているように、GBP ポリシー L4 一致で使用するために、次のヘッダー プロトコル タイプに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv6 tcp-flagsFLAGS |
で説明されているように、GBPポリシーL4一致で使用するためにTCPフラグに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv6 tcp-initial |
で説明されているように、確立された TCP 接続の最初のパケットに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
ip-version ipv6 tcp-established |
の説明に従って、確立された TCP 接続のパケットに一致します。例:VXLANにおけるグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション |
イングレスのみ。 |
|
ICMP メッセージ タイプ フィールドです。通常、 一致ステートメントと組み合わせてこの一致を IPv4: IPv6: 詳細については、 も |
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
論理ユニットを含む、パケットを受信するインターフェイス。インターフェイス名または論理ユニットの一部としてワイルドカード文字( 注:
パケットが送信されるインターフェイスは、一致条件として使用できません。 |
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイスと IPv6(inet6)インターフェイス。 |
|
パケットの最終宛先ノードアドレスである IPv4 アドレス。 |
イングレスポートとVLAN。 |
|
パケットの最終宛先ノードアドレスである IPv6 アドレス。 |
イングレスポートとVLAN。(この一致条件を持つフィルターを、そのポートを含むレイヤー 2 ポートと VLAN に同時に適用することはできません。 |
|
IP ヘッダーの オプション フィールドに何かを指定した場合に、一致を作成するように指定 |
イングレスポート、VLAN、IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
IP 優先度フィールド。数値フィールド値の代わりに、以下のテキスト シノニム(フィールド値も記載されています)のいずれかを指定します。 |
イングレスポート、VLAN、IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
IPプロトコルフィールド。 |
イングレスポート、VLAN、IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
パケットを送信する送信元ノードの IPv4 アドレス。 |
イングレスポートとVLAN。 |
|
パケットを送信する送信元ノードの IPv6 アドレス。 |
イングレスポートとVLAN。(この一致条件を持つフィルターを、そのポートを含むレイヤー 2 ポートと VLAN に同時に適用することはできません。 |
|
パケットの IP バージョン。この条件を使用して、レイヤー2ポートまたはVLANインターフェイスに到着するトラフィックのIPv4またはIPv6ヘッダーフィールドを一致させます。 |
イングレスポートとVLAN。 |
|
この条件を使用すると、IP ヘッダーで More Fragments フラグが有効になっている場合、またはフラグメント オフセットがゼロでない場合に一致します。 |
イングレスポート、VLAN、IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
非サブネットアクセスプロトコル(SNAP)イーサネットカプセル化タイプの論理リンク制御(LLC)レイヤーパケットで一致します。 |
イングレスポートとVLAN。 エグレスポートとVLAN。 |
|
MPLS ラベル ビットで一致します。 |
イングレス MPLS インターフェイス。 エグレス MPLS インターフェイス。 |
|
通常の VLAN の ID または外部(サービス)VLAN の ID(Q-in-Q VLAN の場合)を照合します。許容される値は 1~4095 です。 注:
QFX3600、QFX5100、QFX5110、QFX5120、QFX5200、QFX5210、QFX5220、EX4600、 EX4650、EX4400、EX4100、EX4300-MP スイッチではサポートされていません。一致条件を |
イングレスポートとVLAN。 エグレスポートとVLAN。 |
|
ここで説明するように、VXLAN 上のマイクロセグメンテーションで使用するために、送信元 MAC(メディア アクセス制御)アドレスに一致します。例:VXLANのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション |
Ingress/egress(システム全体) . |
|
IPv4 または IPv6 プロトコル値。数値の代わりに、以下のテキスト シノニム(数値も記載されています)のいずれかを指定します。
|
イングレスポート、VLAN、IPv6(inet6)インターフェイス。 エグレス IPv6(inet6)インターフェイス。 |
|
パケット長(バイト単位) 0~65535の値を入力する必要があります。 |
イングレスポート、VLAN、IPv4(inet)、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
IPv4 または IPv6 プロトコル値。数値の代わりに、以下のテキスト シノニム(数値も記載されています)のいずれかを指定します。
注:
QFX3500、QFX3600、QFX5100、QFX5110、QFX5200、QFX5210スイッチではサポートされていません。 |
イングレスポート、VLAN、IPv6(inet6)インターフェイス。 エグレス IPv6(inet6)インターフェイス。 |
|
ポート修飾子は、パケット転送エンジンに2つのエントリーをインストールします。1つは送信元ポート、もう1つは宛先ポートです。 |
イングレスポート、VLAN、IPv4(inet)、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
IPヘッダーのサービスタイプ(ToS)バイトのIP優先度ビット。(このバイトは、DiffServ DSCP にも使用できます)。数値の代わりに、以下のテキスト シノニム(数値も記載されています)のいずれかを指定します。
|
イングレスポート、VLAN、IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
IPv4 または IPv6 プロトコル値。数値の代わりに、以下のテキスト シノニム(数値も記載されています)のいずれかを指定します。
|
イングレスポート、VLAN、IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
プロキシーモバイルIPv4(PMIPv4)アクセス技術タイプ拡張の8ビット技術タイプフィールドで指定されたRAT(無線アクセス技術)タイプに一致します。テクノロジ タイプは、モバイル デバイスがアクセス ネットワークに接続されるアクセス技術を指定します。単一の値、値の範囲、または値のセットを指定します。テクノロジータイプは、0~255の数値またはシステムキーワードとして指定できます。
|
エグレスおよびイングレス IPv4(inet)インターフェイス。 |
|
パケット トラフィックをサンプルします。トラフィックサンプリングを有効にしている場合にのみ、このオプションを適用します。 |
エグレスおよびイングレス IPv4(inet)インターフェイス。 |
|
IP 送信元アドレス フィールドは、パケットを送信したノードのアドレスです。 |
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
パケットの MAC(送信元メディア アクセス制御)アドレス。 |
イングレスポートとVLAN。 エグレスポートとVLAN。 |
|
TCP または UDP 送信元ポート。通常、 一致ステートメントと合わせてこの一致を |
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
利用可能なメモリをより効率的に使用しながら、TCP または UDP ポート範囲の範囲に一致します。この条件を使用すると、個々の送信元ポートを設定する場合よりも多くのファイアウォールフィルターを設定できます。(フィルターベースの転送ではサポートされていません。 |
イングレスポート、VLAN、IPv4(inet)インターフェイス。 |
|
IP 送信元プレフィックス リスト。頻繁に使用するプレフィックスリストエイリアスの下で、IPアドレスプレフィックスのリストを定義できます。このリストを |
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
確立された TCP スリーウェイ ハンドシェイク接続(SYN、SYN-ACK、ACK)のパケットを照合します。一致しない唯一のパケットは、SYNビットのみが設定されているため、ハンドシェイクの最初のパケットです。このパケットでは、 一致条件として を指定 を指定 |
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
1 つ以上の TCP フラグ:
|
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
接続の最初の TCP パケットに一致します。TCP フラグが設定されており、TCP フラグ を指定 |
イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
パケットのサービスクラス(CoS)優先度を指定する8ビットフィールド。トラフィッククラス フィールドは、DSCP(DiffServ コード ポイント)値を指定するために使用されます。このフィールドは以前は IPv4 のサービスタイプ(ToS)フィールドとして使用されていましたが、このフィールドのセマンティクス(DSCP など)は IPv4 と同じです。 以下のテキスト シノニム(フィールド値も記載されています)のいずれかを指定できます。
|
イングレスポート、VLAN、IPv6(inet6)インターフェイス。 エグレス IPv6(inet6)インターフェイス。 |
|
10進数のIP TTL(Time-to-Live)フィールド。値は 1~255 です。 |
イングレス IPv4(inet)インターフェイス。 エグレス IPv4(inet)インターフェイス。 |
|
範囲 |
IngressおよびegressポートとVLAN。 |
|
Q-in-Q VLAN の内部(顧客)VLAN の ID を照合します。許容される値は 1~4095 です。 注:
QFX3600、QFX5100、QFX5110、QFX5120、QFX5200、QFX5210、EX4600、 EX4650、EX4400、EX4100、EX4300-MP スイッチでは、外部VLANのIDを一致させるために使用 QFX5220シリーズスイッチ、およびMXおよびACXシリーズルーターでは、外部VLANのIDと一致し、内側VLANのIDを |
IngressおよびegressポートとVLAN。 |
|
ここで説明するように、VXLAN 上のマイクロセグメンテーションで使用するために、VLAN 識別子に一致します。例:VXLANのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション |
Ingress/egress(システム全体) |
ステートメントを使用して then
、パケットがステートメント内のすべての条件に一致した場合に発生するアクションを from
定義します。 表 2は、条件で指定できるアクションを示しています。(ステートメントを then
含まない場合、システムはフィルターに一致するパケットを受け入れます。
対処 |
説明 |
---|---|
|
パケットを受け入れます。これは、条件に一致するパケットのデフォルトアクションです。 |
|
インターネット制御メッセージ プロトコル(ICMP)メッセージを送信せずに、通知なくパケットを破棄します。 |
|
パケットを破棄し、「宛先到達不能」ICMPv4 メッセージ(タイプ 3)を送信します。拒否されたパケットをログに記録するには、 アクション修飾子を 以下のいずれかのメッセージ・タイプを指定できます。 を指定 メッセージ タイプを指定しない場合、ICMP 通知「宛先到達不能」はデフォルト メッセージ「通信管理上フィルタリングされた」と共に送信されます。 注:
アクションは |
|
一致したパケットを仮想ルーティング インスタンスに転送します。 |
|
一致したパケットを特定の VLAN に転送します。 注:
アクションは 注:
このアクションは、OCXシリーズスイッチではサポートされていません。 |
また、 に 表 3 記載されているアクション修飾子を指定して、パケットのカウント、ミラーリング、レート制限、分類を行うことができます。
アクション変更機能 |
説明 |
---|---|
|
(非 ELS プラットフォーム)階層レベルで設定されたアナライザにトラフィックをミラーリング(パケットを イングレスポート、VLAN、およびIPv4(inet)ファイアウォールフィルターにのみポートミラーリングを指定できます。 |
|
条件に一致するパケット数をカウントします。 |
|
GRE パケットのカプセル化解除またはカプセル化解除された GRE パケットを指定されたルーティング インスタンスに転送する |
|
差別化されたサービス コード ポイント(DSCP) DiffServ プロトコルは、IP ヘッダーのサービスタイプ(ToS)バイトを使用します。このバイトの最上位 6 ビットが DSCP を形成します。 DSCP は、16 進、2 進、または 10 進形式で指定できます。 数値の代わりに、以下のテキスト シノニム(フィールド値も記載されています)のいずれかを指定します。
|
|
パケットを以下のデフォルト転送クラスのいずれか、またはユーザー定義の転送クラスに分類します。
注:
転送クラスを設定するには、損失の優先度も設定する必要があります。 |
(QFX5120およびEX4650のみ) |
ここで説明するように、VXLAN のマイクロセグメンテーションで使用するグループベースのポリシー ソース タグ(0.65535)を設定します。例:VXLANのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション |
(EX4100、EX4400、EX4650、QFX5120) |
ここで説明するように、VXLAN のマイクロセグメンテーションで使用するグループベースのポリシー ソース タグ(1.65535)を設定します。例:VXLANのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション 注: Junos OS リリース 22.4R1 以降に適用されます。
|
|
トラフィックをルックアップを実行せずに、指定されたインターフェイスにトラフィックを切り替えます。このアクションは、フィルターがイングレスに適用されている場合にのみ有効です。 |
|
ルーティング エンジンにパケットのヘッダー情報を記録します。この情報を表示するには、 動作モード コマンドを 注:
|
|
PLP(パケット損失の優先度)を設定します。 注:
注:
|
|
(レート制限を適用するために)ポリサーにパケットを送信します。 イングレスポート、VLAN、IPv4(inet)、IPv6(inet6)、およびMPLSフィルターにポリサーを指定できます。 注:
|
|
(ELS プラットフォーム)階層レベルでポートミラーリングインスタンス イングレスポート、VLAN、およびIPv4(inet)ファイアウォールフィルターにのみポートミラーリングを指定できます。 |
|
(ELS プラットフォーム)階層レベルで設定されたポートミラーリングインスタンスにトラフィックをミラーリングします イングレスポート、VLAN、およびIPv4(inet)ファイアウォールフィルターにのみポートミラーリングを指定できます。 注:
このアクション修飾子は、OCXシリーズスイッチではサポートされていません。 |
|
このパケットのアラートをログに記録します。 注:
|
|
3 カラー ポリサーにパケットを送信します(レート制限を適用するため)。 イングレス/エグレス ポート、VLAN、IPv4(inet)、IPv6(inet6)、MPLS フィルターに 3 色のポリサーを指定できます。 注:
|
関連項目
ファイアウォールフィルターの一致条件とアクション(QFX5220とQFX5130-32CD)
このトピックでは、QFX5220-CD、QFX5220-128C、およびQFX5130-32CDスイッチでサポートされているファイアウォールフィルターの一致条件、アクション、およびアクション修飾子について説明します。
ファイアウォールフィルターの各条件は、 一致条件 と アクションで構成されています。一致条件は、一致と見なされるためにパケットに含める必要があるフィールドと値です。一致ステートメントでは、単一または複数の一致条件を定義できます。また、一致しないステートメントを含めることもできます。この場合、条件はすべてのパケットに一致します。
パケットがフィルターに一致すると、スイッチは条件で指定されたアクションを実行します。一致条件を適用しない場合、スイッチはデフォルトでパケットを受け入れます。
表 4は、IPv4()とIPv6(
inet
inet6
)インターフェイスの一致条件を示しています。また、ポートと VLAN(ethernet-switching
)の一致条件も含まれています。表 5 は、条件で指定できるアクションとアクション修飾子を示しています。
一致条件の場合、数値範囲とビットフィールド一致条件の一部では、テキスト シノニムを指定できます。一致条件のすべての同義語の一覧を表示するには、ステートメントの適切な場所にを入力 ?
します。
一致条件 |
説明 |
方向とインターフェイス |
---|---|---|
|
ARPリクエストパケットまたはARP返信パケット。 |
Ingress/egressポートとVLAN |
|
最終宛先ノードのアドレスであるIP宛先アドレスフィールド。 |
Ingress/egress IPv4およびIPv6インターフェイス イングレス ポートと VLAN |
|
パケットの宛先 MAC アドレス。 |
Ingress/egressポートとVLAN |
|
TCP または UDP 宛先ポート フィールド。この一致は、IPv4トラフィックの 以下のウェルノウンポートとポート番号では、テキストシノニムを指定できます。
|
Ingress/egress IPv4インターフェイス イングレス IPv6 インターフェイス。 イングレス ポートと VLAN |
|
利用可能なメモリをより効率的に使用しながら、TCP または UDP ポート範囲の範囲に一致します。この条件を使用すると、個々の宛先ポートを設定する場合よりも多くのファイアウォールフィルターを設定できます。(フィルターベースの転送ではサポートされていません。 |
イングレス IPv4 インターフェイス |
|
IP 宛先プレフィックス リスト フィールド。頻繁に使用するプレフィックスリストエイリアスの下で、IPアドレスプレフィックスのリストを定義できます。このリストを |
Ingress/egress IPv4およびIPv6インターフェイス イングレスポートとVLAN。 |
|
差別化されたサービス コード ポイント(DSCP) DiffServ プロトコルは、IP ヘッダーのサービスタイプ(ToS)バイトを使用します。このバイトの最上位 6 ビットが DSCP を形成します。 DSCP は、16 進、2 進、または 10 進形式で指定できます。 数値の代わりに、リストされているテキスト シノニムとフィールドのいずれかを指定します。
|
Ingress/egress IPv4インターフェイス イングレス ポートと VLAN |
|
パケットのイーサネット タイプ フィールド。EtherType 値は、どのプロトコルがイーサネット フレームで転送されているかを指定します。数値の代わりに、以下のテキスト シノニムのいずれかを指定できます。フィールド値も一覧表示されます。
|
Ingress/egressポートとVLAN |
first-fragment |
パケットがフラグメント パケットの最初のフラグメントである場合に一致します。フラグメント パケットの最後のフラグメントである場合、パケットの一致を回避します。フラグメント パケットの最初のフラグメントのフラグメント オフセット値は 0 です。 この一致条件は、ビットフィールド一致条件フラグメント オフセット 0 一致条件のエイリアスです。 最初のフラグメントと最後のフラグメントの両方を一致させるためには、異なる一致条件を指定する 2 つの条件を使用できます。 |
イングレス IPv4 インターフェイス |
|
ICMP コード フィールドです。値の意味は関連
|
Ingress/egress IPv4インターフェイス イングレス IPv6 インターフェイス イングレス ポートと VLAN |
|
ICMP メッセージ タイプ フィールドです。この一致は、 一致ステートメントと共に指定する 数値の代わりに、以下のテキスト シノニム(フィールド値も記載されています)のいずれかを指定します。 IPv4: IPv6: 詳細については、 も |
Ingress/egress IPv4インターフェイス イングレス IPv6 インターフェイス イングレス ポートと VLAN |
|
論理ユニットを含む、パケットを受信するインターフェイス。インターフェイス名または論理ユニットの一部としてワイルドカード文字( 注:
パケットが送信されるインターフェイスは、一致条件として使用できません。 |
イングレス ポートと VLAN |
|
パケットの最終宛先ノードアドレスである IPv4 アドレス。 |
イングレス ポートと VLAN |
|
IP ヘッダーの オプション フィールドに何かを指定した場合に、一致を作成するように指定 |
イングレス IPv4 インターフェイス |
|
IPプロトコルフィールド。 |
イングレス ポートと VLAN |
|
IP 優先度フィールド。数値フィールド値の代わりに、以下のテキスト シノニム(フィールド値も記載されています)のいずれかを指定します。 |
イングレス ポートと VLAN |
|
パケットを送信する送信元ノードの IPv4 アドレス。 |
イングレス ポートと VLAN |
|
パケットの IP バージョン。この条件を使用して、レイヤー2ポートまたはVLANインターフェイスに到着するトラフィックのIPv4またはIPv6ヘッダーフィールドを一致させます。 |
イングレス ポートと VLAN |
is-fragment |
この条件を使用すると、IP ヘッダーで More Fragments フラグが有効になっている場合、またはフラグメント オフセットがゼロでない場合に一致します。 |
Ingress/egress IPv4インターフェイス(QX5220) イングレス IPv4 インターフェイス(QFX5130) |
learn-vlan-id number |
MAC 学習用の VLAN 識別子。 |
Ingress/egressポートおよびVLAN(QFX5220) イングレスポートとVLAN(QFX5130) |
learn-vlan-1p-priority value |
プロバイダ VLAN タグ内の IEEE 802.1p 学習済み VLAN 優先度ビット(802.1Q VLAN タグを持つ単一タグ フレーム内の唯一のタグ、または 802.1Q VLAN タグを持つデュアルタグ フレームの外側タグ)で一致します。0~7の単一の値または複数の値を指定します。 |
イングレス ポートと VLAN |
|
IPv4 または IPv6 プロトコル値。数値の代わりに、以下のテキスト シノニム(数値も記載されています)のいずれかを指定します。
|
Ingressおよびegress IPv6インターフェイス |
|
パケット長(バイト単位) 0~65535の値を入力する必要があります。 |
イングレス IPv4 および IPv6 インターフェイス |
|
IPヘッダーのサービスタイプ(ToS)バイトのIP優先度ビット。(このバイトは、DiffServ DSCP にも使用できます)。数値の代わりに、以下のテキスト シノニム(数値も記載されています)のいずれかを指定します。
|
Ingress/egress IPv4インターフェイス |
|
IPプロトコル値。数値の代わりに、以下のテキスト シノニム(数値も記載されています)のいずれかを指定します。
|
Ingressおよびegress IPv4インターフェイス。 イングレス IPv4 インターフェイスと VLAN |
|
IP 送信元アドレス フィールドは、パケットを送信したノードのアドレスです。 |
Ingress/egress IPv4インターフェイス イングレス IPv6 インターフェイス イングレス ポートと VLAN |
|
パケットの MAC(送信元メディア アクセス制御)アドレス。 |
Ingress/egress IPv4インターフェイスとVLAN |
|
TCP または UDP 送信元ポート。この一致は、IPv4トラフィックの 数値フィールドの代わりに、 の下 |
Ingress/egress IPv4インターフェイス イングレス IPv6 インターフェイス イングレス ポートと VLAN |
|
利用可能なメモリをより効率的に使用しながら、TCP または UDP ポート範囲の範囲に一致します。この条件を使用すると、個々の送信元ポートを設定する場合よりも多くのファイアウォールフィルターを設定できます。(フィルターベースの転送ではサポートされていません。 |
イングレス IPv4 インターフェイス |
|
IP 送信元プレフィックス リスト。頻繁に使用するプレフィックスリストエイリアスの下で、IPアドレスプレフィックスのリストを定義できます。このリストを |
Ingress/egress IPv4インターフェイス イングレス IPv6 インターフェイス イングレス ポートと VLAN |
tcp-established |
確立された TCP セッションの TCP パケット(接続の最初のパケット以外のパケット)に一致します。これは、 この一致条件は、プロトコルがTCPであることを暗示的に確認しません。これを確認するには、 一致条件を |
Ingress/egress IPv4インターフェイス(QFX5220) Ingress/egress IPv4インターフェイス(QFX5130) イングレス IPv6 インターフェイス(QFX5130) |
|
TCP フラグ(1 つの値のみがサポートされます)。
|
Ingress/egress IPv4インターフェイス イングレス IPv6 インターフェイス イングレス ポートと VLAN |
tcp-initial |
接続の最初の TCP パケットに一致します。TCP フラグが設定されており、TCP フラグ を指定 |
Ingress/egress IPv4インターフェイス(QFX5220) Ingress/egress IPv4インターフェイス、イングレスIPv6インターフェイス(QFX5130) |
|
パケットのサービスクラス(CoS)優先度を指定する8ビットフィールド。トラフィッククラス フィールドは、DSCP(DiffServ コード ポイント)値を指定するために使用されます。このフィールドは以前は IPv4 のサービスタイプ(ToS)フィールドとして使用されていましたが、このフィールドのセマンティクス(DSCP など)は IPv4 と同じです。 以下のテキスト シノニム(フィールド値も記載されています)のいずれかを指定できます。
|
Ingressおよびegress IPv6インターフェイス |
|
10進数のIP TTL(Time-to-Live)フィールド。値は 1~255 です。 |
Ingress/egress IPv4インターフェイス |
|
Q-in-Q VLAN の内部(顧客)VLAN の ID を照合します。許容される値は 1~4095 です。 |
イングレスポートとVLAN(QFX5130) |
|
範囲 |
イングレスポートとVLAN(QFX5130) |
ステートメントを使用して then
、パケットがステートメント内のすべての条件に一致した場合に発生するアクションを from
定義します。 表 5 は、条件で指定できるアクションを示します。(ステートメントを then
含まない場合、システムはフィルターに一致するパケットを受け入れます。
エグレス IPv4 インターフェイス、IPv6 インターフェイス、エグレス ポートの場合、受け入れ、破棄、およびカウントアクションのみを適用できます。エグレスVLANの場合、アクシジュニトアクションのみを適用できます。
対処 |
説明 |
---|---|
|
パケットを受け入れます。これは、条件に一致するパケットのデフォルトアクションです。 |
|
設定データを継承しないグループを指定します。複数のグループ名を指定できます。 |
|
条件に一致するパケット数をカウントします。 |
|
インターネット制御メッセージ プロトコル(ICMP)メッセージを送信せずに、通知なくパケットを破棄します。 |
|
パケットを以下のデフォルト転送クラスのいずれか、またはユーザー定義の転送クラスに分類します。
注:
転送クラスを設定するには、損失の優先度も設定する必要があります。 |
|
ルーティング エンジンにパケットのヘッダー情報を記録します。この情報を表示するには、 動作モード コマンドを |
|
PLP(パケット損失の優先度)を設定します。 注:
注:
|
|
(レート制限を適用するために)ポリサーにパケットを送信します。 注:
|
|
階層レベルでポートミラーリングインスタンス |
|
階層レベルで設定されたポートミラーリングインスタンスにトラフィックをミラーリングします イングレスポート、VLAN、およびIPv4(inet)ファイアウォールフィルターにのみポートミラーリングを指定できます。 |
|
パケットを破棄し、「宛先到達不能」ICMPv4 メッセージ(タイプ 3)を送信します。拒否されたパケットをログに記録するには、 アクション修飾子を 以下のいずれかのメッセージ・タイプを指定できます。 メッセージ タイプを指定しない場合、ICMP 通知「宛先到達不能」はデフォルト メッセージ「通信管理上フィルタリングされた」と共に送信されます。 注:
アクションは |
|
3 カラー ポリサーにパケットを送信します(レート制限を適用するため)。 注:
注:
|
|
一致したパケットを特定の VLAN に転送します。 注:
アクションは このアクションは、QFX5130スイッチではサポートされていません。 |