予想されるトラフィックを許可するフィルターの設定

DHCPトラフィックなどの予想されるトラフィックの通過を許可するには、 ファイアウォールフィルター を明示的に設定する必要があります。それ以外の場合、フィルターがインターフェイスに適用されたときに、予期されるトラフィックが拒否されます。この要件は、クラシック フィルターと高速更新フィルターの両方に適用されます。

次の例は、DHCPトラフィックの受け入れに使用できる高速更新フィルターを示しています。実際に使用するフィルターは、ネットワーク内で予想されるトラフィックによって異なります。

この例では、 allow-dhcp という用語は、すべての送信元アドレスからのすべてのDHCPトラフィックを受け入れます。この条件には、フィルターが最初に適用された場合にのみ条件が適用されるように指定する only-at-create オプションも含まれています。条件 sub-allow-dhcp には、すべての加入者固有のDHCPトラフィックを許可するJunos OS定義済み変数 $junos-subscriber-ip-addressが含まれます。

match-orderステートメント設定は、高速更新フィルターの一致順序の設定で推奨されているように、最も具体的な条件から最も不特定の条件まで条件をリストします。このフィルターはイングレスDHCPトラフィックを許可するように設計されているため、source-address条件が最初にリストされます。