ポートミラーリングファイアウォールフィルターの定義

インターネットプロセッサーII特定用途向け集積回路(ASIC)を搭載したルーターでは、分析のために、IPバージョン4(IPv4)またはIPバージョン6(IPv6)パケットのコピーをルーターから外部ホストアドレスまたはパケットアナライザに送信できます。これは 、ポートミラーリングと呼ばれます。

ポートミラーリングは、トラフィックサンプリングとは異なります。トラフィックサンプリングでは、IPv4ヘッダーに基づくサンプリングキーがルーティングエンジンに送信されます。そこで、キーをファイルに配置するか、キーに基づくcflowdパケットをcflowdサーバーに送信できます。ポートミラーリングでは、パケット全体がコピーされ、ネクストホップインターフェイスを介して送信されます。

サンプリングとポートミラーリングの同時使用を設定し、ポートミラーリングされたパケットに独立したサンプリングレートとランレングスを設定できます。ただし、サンプリングとポートミラーリングの両方にパケットが選択された場合、アクションは1つしか実行できず、ポートミラーリングが優先されます。例えば、インターフェイスに入力されるすべてのパケットをサンプリングするようにインターフェイスを設定し、フィルターが別のインターフェイスにポートミラーリングするパケットも選択した場合、ポートミラーリングのみが有効になります。明示的なフィルターポートミラーリング基準に一致しない他のすべてのパケットは、最終宛先に転送されるときにサンプリングされ続けます。

ファイアウォールフィルターは、ルーターを通過してネットワーク宛先に到達するトラフィックや、ルーティングエンジンに向かう過剰なトラフィックからルーターを保護する手段を提供します。ローカルパケットを制御するファイアウォールフィルターは、外部インシデントからルーターを保護することもできます。

ファイアウォールフィルターを設定して、以下を行うことができます。

• ルーティングエンジンを宛先とするトラフィックを、そのソース、プロトコル、アプリケーションに基づいて制限します。

• フラッド攻撃やサービス拒否(DoS)攻撃から保護するために、ルーティングエンジン宛てのパケットのトラフィックレートを制限します。

• ルーティングエンジン宛てのフラグメントパケットに関連する特別な状況に対処する。デバイスはすべてのパケットをファイアウォールフィルター(フラグメントを含む)に対して評価するため、パケットヘッダー情報を含まないフラグメントに対応するようにフィルターを設定する必要があります。それ以外の場合、フィルターはフラグメントパケットの最初のフラグメントを除くすべてのフラグメントを破棄します。

一般的なファイアウォールフィルターの設定(レイヤー3環境を含む)については、ルーティングポリシー、ファイアウォールフィルター、およびトラフィックポリサーユーザーガイドのステートレスファイアウォールフィルターの概要と標準ファイアウォールフィルターがパケットを評価する方法を参照してください。

ポートミラーリングアクションでファイアウォールフィルターを定義するには: