転送テーブルフィルターの設定
転送テーブルフィルターは、他のファイアウォールフィルターと同じように定義されていますが、適用する方法が異なります。転送テーブルフィルターをインターフェイスに適用する代わりに、それぞれがルーティングインスタンスと仮想プライベートネットワーク(VPN)に関連付けられている転送テーブルに適用します。
すべてのパケットは、転送テーブルに適用される入力転送テーブルフィルターの対象となります。転送テーブルフィルターは、ルーターがどのパケットを受け入れるかを制御し、その転送テーブルのルックアップを実行することで、ルーターがインターフェイス上でどのパケットを転送するかを制御します。
ルーターはパケットを受信すると、パケットが送信されるVPNに関連付けられた転送テーブルを参照して、最終宛先への最適なルートを決定します。次に、ルーターは、適切なインターフェイスを介してパケットを宛先に転送します。
トンネルを介してルーターを出るトランジットパケットの場合、トンネルトラフィックの出力インターフェイスとして設定したインターフェイスでは、転送テーブルのフィルタリングはサポートされていません。
転送テーブルフィルターを使用すると、そのコンポーネントに基づいてデータパケットをフィルタリングし、フィルターに一致するパケットに対してアクションを実行できます。基本的に、ルーターがどのベアラーパケットを受け入れて転送するかを制御します。転送テーブルフィルターを設定するには、[edit]階層レベルでfirewallステートメントを含めます。
[edit]
firewall {
family family-name {
filter filter-name {
term term-name {
from {
match-conditions;
}
then {
action;
action-modifiers;
}
}
}
}
}
family-name は、ファミリーアドレスタイプとして、IPv4(inet)、IPv6(inet6)、レイヤー2トラフィック(ブリッジ)、またはMPLS(MPLS)です。
term-name は、一致条件とアクションが定義された名前付き構造です。
match-conditions は、ベアラパケットを比較する基準です。たとえば、送信元デバイスまたは宛先デバイスのIPアドレスなどです。一致条件には複数の条件を指定できます。
action パケットがすべての基準に一致した場合に何が起こるかを指定します。例えば、ゲートウェイGPRSサポートノード(GGSN)は、ベアラーパケットを受け入れ、転送テーブルでルックアップを実行し、パケットを宛先に転送します。パケットを廃棄する。パケットを破棄して拒否メッセージを返します。
action-modifiers は、すべての基準が一致する場合に、GGSN がパケットを受け入れるか破棄するかに加えて実行されるアクションです。例えば、パケットのカウントやパケットのログ記録などです。
転送テーブルを作成するには、[edit routing-instances instance-name]階層レベルでフォワーディングオプションとともにinstance-typeステートメントを含めます。
[edit]
routing-instances instance-name {
instance-type forwarding;
}
VPNルーティングおよび転送(VRF)テーブルに転送テーブルフィルターを適用するには、[edit routing-instance instance-name forwarding-options family family-name]階層レベルでフィルターステートメントとinputステートメントを含めます。
[edit routing-instances instance-name]
instance-type forwarding;
forwarding-options {
family family-name {
filter {
input filter-name;
}
}
}
転送テーブルフィルターを転送テーブルに適用するには、[edit forwarding-options family family-name]階層レベルでフィルターステートメントとinputステートメントを含めます。
[edit forwarding-options family family-name]
filter {
input filter-name;
}
特定のルーティングインスタンスに関連付けられていないデフォルト転送テーブルinet.0に転送テーブルフィルターを適用するには、[edit forwarding-options family inet]階層レベルにフィルターステートメントとinputステートメントを含めます。
[edit forwarding-options family inet]
filter {
input filter-name;
}