ファイアウォールフィルターとプロファイル
ACX7000ファミリのルーターのファイアウォールフィルターとプロファイルについてご覧ください。ACX7000ルーターファミリーには、ACX7020、ACX7024、ACX7024X、ACX7100、ACX7332、ACX7348、およびACX7509ルーターが含まれます。
ACX7000ファミリーのルーターは、イングレスIPv6ファイアウォールフィルター用に事前定義された2つのプロファイル(profile-one と profile-two)をサポートしています。各プロファイルは、IPv6ファイアウォールフィルター一致条件のサブセットをサポートします。プロファイルは、さまざまなプロファイルカテゴリに関連付けられています。 profile-one または profile-two は、結合されたプロファイルカテゴリに適用することも、各プロファイルカテゴリに個別に適用することもできます。以下に示すプロファイルカテゴリは、方向とインターフェイスタイプに基づいてファイアウォールフィルターを区別します。
-
ingress-inet6-user-acl—レイヤー3ルーテッドインターフェイスまたはルーティングインスタンスのingressで適用されるファイアウォールフィルター用。 -
ingress-inet6-lo0-acl—ループバックインターフェイスのイングレスで適用されるファイアウォールフィルター用。 -
egress-inet6-user-acl—レイヤー3ルーティングインターフェイス上のエグレスで適用されるファイアウォールフィルター用。
イングレスおよびエグレスIPv6ファイアウォールフィルターの一致条件
ファイアウォールフィルター一致条件のサポートは、次の表に示すようにプロファイルによって異なります。この表には、両方のプロファイルでサポートされている一致条件は記載されていません。
| ファイアウォールフィルターの一致条件 |
プロファイル2 |
プロファイル1 |
|---|---|---|
|
|
はい |
はい |
|
|
はい |
はい |
|
|
はい |
はい |
|
|
いいえ |
はい |
|
|
いいえ |
はい |
|
|
いいえ |
はい |
|
|
はい |
いいえ |
|
|
はい |
いいえ |
|
|
はい |
いいえ |
|
|
はい |
いいえ |
|
|
はい |
いいえ |
| ファイアウォールフィルターの一致条件 |
プロファイル2 |
プロファイル1 |
|---|---|---|
|
|
はい |
はい |
|
|
はい |
はい |
|
|
はい |
はい |
|
|
いいえ |
はい |
|
|
いいえ |
はい |
|
|
いいえ |
はい |
|
|
はい |
いいえ |
|
|
はい |
いいえ |
|
|
はい |
いいえ |
|
|
はい |
いいえ |
|
|
はい |
いいえ |
| バインドポイント |
プロファイル2(イングレス) |
プロファイル2(イングレスループバック) |
プロファイル1(イングレス) |
プロファイル1(イングレスループバック) |
|---|---|---|---|---|
| 転送テーブルフィルター(FTF) |
はい |
NA |
いいえ |
NA |
| BGPフロー仕様フィルター |
はい |
NA |
いいえ |
NA |
| デフォルト以外のルーティングインスタンス(lo0.1、lo0.2、およびその他の論理ユニット) |
NA |
はい |
NA |
いいえ |
詳細については、 ACXシリーズルーター(Junos OS Evolved)のファイアウォールフィルタープロファイルの概要を参照してください。
ファイアウォールフィルターの定義と適用
ACX7000ファミリールーターのファイアウォールフィルターは、IPv4、IPv6、またはブリッジファミリーなどのトラフィックタイプに固有の一致条件に基づいて、パケットフィルタリングとアクションを制御します。
ファイアウォールフィルターは、[edit firewall family family-name]階層レベルで設定します。ここで、 family-name は inet (IPv4)、 inet6 (IPv6)、 ethernet-switching (レイヤー2)、または ccc (回線クロスコネクト)などの他のプロトコルファミリーです。
ファイアウォールフィルターの定義
from(一致条件)およびthen(アクション)ステートメントを含む条件でファイアウォールフィルターを定義します。
set firewall family inet filter filter-name term term-name from source-address 192.168.1.0/24 set firewall family inet filter filter-name term term-name then accept set firewall family inet filter filter-name term term-name then discard set firewall family inet filter filter-name term default-term then accept
一致条件には、送信元または宛先のIPアドレス、ポート、MACアドレス、プレフィックスリストなどが含まれます。例えば、ブリッジファミリーの一致条件には、destination-mac-address、destination-port、source-prefix-listなどがあります。アクションには、受け入れ、破棄、カウント(カウンター)、サンプル(監視用)、または適用ポリサーが含まれます。
詳細については、 ACXシリーズルーター(Junos OS Evolved)のファイアウォールフィルター一致条件とアクションを参照してください。
ファイアウォールフィルターの適用
[edit interfaces interface-name unit logical-unit family family-name] 階層レベルでファイアウォールフィルターを適用します。
set interfaces et-0/0/0 unit 0 family inet filter inputfilter-nameset interfaces et-0/0/0 unit 0 family inet filter outputfilter-name
VLAN の場合、[edit vlans vlan-name filter input filter-name] 階層レベルの VLAN にファイアウォールフィルターを適用します。
ファイアウォールフィルタープロファイルの適用
ACX7000ファミリーのルーターは、lo0インターフェイスに対して事前定義されたIPv6イングレスプロファイル(profile-oneおよびprofile-two)をサポートしており、一致条件を制限します。ファイアウォールフィルタープロファイルを適用するための設定例を次に示します。
set system packet-forwarding-options firewall-profile ingress lo0-inet6 profile-one
ファイアウォールフィルターの詳細については、 ルーティングポリシー、ファイアウォールフィルター、およびトラフィックポリサーユーザーガイドを参照してください。