예: 방화벽 필터 체인 사용
이 예는 방화벽 필터 체인의 사용을 보여줍니다. 방화벽 필터 filter1, filter2 및 filter3는 및 output-chain 구성 문을 사용하여 인터페이스 ge-0/1/1.0에 적용됩니다input-chain.
요구 사항
시작하기 전에:
-
MPC가 있고 Junos 릴리스 18.4R1 이상을 실행하는 MX 시리즈 라우터가 있어야 합니다.
이 기능을 위해 PTX10001-36MR, PTX10004, PTX10008 또는 PTX10016 라우터를 사용하는 경우 Junos OS Evolved 릴리스 21.4R1을 설치합니다.
라우터는 IP 버전 4(IPv4) 프로토콜(
family inet)에 대해 구성되어야 하며 인터페이스 주소로 논리적 인터페이스를 구성해야 합니다. 다른 모든 초기 라우터 구성은 디바이스 간의 기본 IPv4 연결이 확인된 상태로 완료되어야 합니다.구성하는 규칙이 보내는 테스트 트래픽과 일치할 수 있도록 보내는 트래픽은 방화벽 필터 규칙과 호환되어야 합니다.
개요
이 예에서는 수신 및 송신 모두에 대해 여러 방화벽 필터를 연결하여 지정된 인터페이스에 적용하고 순차적으로 평가할 수 있는 방법을 보여줍니다. 실행 순서는 왼쪽에서 오른쪽으로 체인과 동일한 순서로 발생합니다.
필터 체인(입력 목록 필터와 반대)을 사용하면 초기 필터를 사용하여 일반 분류(예: QoS)를 수행한 다음 하나 이상의 후속 필터를 사용하여 추가 개선(예: 보안)을 수행하는 등 여러 수준의 필터링을 허용할 수 있다는 이점이 있습니다.
입력 목록은 수락 또는 폐기 시 패킷 처리를 중지합니다. 후속 방화벽 필터는 평가되지 않는 반면, 방화벽 필터 체인에서 수락 또는 폐기 작업은 현재 방화벽 필터의 처리를 중지하지만 패킷은 방화벽 필터 체인의 후속 방화벽 필터(있는 경우)에 제공됩니다.
Junos OS Evolved 릴리스 21.4R1부터는 PTX10001-36MR, PTX10004, PTX10008, PTX10016 라우터에서 방화벽 필터 체인을 사용할 수 있습니다.
필터 체인을 다음과 같이 적용할 수 있습니다.
set interfaces interface-name unit unit family inet filter input-chain [filter1 filter2 filter3];
set interfaces interface-name unit unit family inet filter output-chain [filter1 filter2 filter3];
PTX Evo 플랫폼에서 이 기능에는 다음과 같은 제한 사항이 있습니다.
-
필터 체인의 첫 번째 필터만 인터페이스별로 구성할 수 있습니다. MX 시리즈 라우터에서는 필터 체인의 모든 필터를 인터페이스별로 구성할 수 있습니다.
-
동일한 필터를 일반 CLI 필터의 일부로 구성할 수 없으며 동일한 인터페이스별 바인드 포인트에서 체인 필터를 구성할 수 없습니다. 이러한 인터페이스별 바인드 포인트에서 기존 CLI 필터를 필터 체인으로 또는 그 반대로 교체하고 별도로 커밋하여 오류를 방지합니다.
-
동일한 바인드 포인트에서 "family ANY" 및 interface-policer와 함께 체인 필터를 구성할 수 없습니다.
-
루프백 인터페이스에서는 출력 체인 필터가 지원되지 않습니다.
-
루프백 인터페이스에서는 입력 CLI 일반 필터와 체인 필터를 모두 구성할 수 없습니다.
-
IRB 인터페이스의 경우, 일반 CLI 인터페이스별 필터와 필터 체인을 모두 구성할 수 없습니다.
-
레이어 2 SP 스타일 출력의 경우, 일반 CLI 인터페이스별 필터와 체인 필터를 모두 구성할 수 없습니다.
-
이와 같은
fast-lookup-filter필터는 CLI 체인 필터의 일부로 지원되지 않습니다. -
CLI 필터 체인은 Urpf-fail-filters에 대해 지원되지 않습니다.
-
MPLS 제품군에 대한 송신 필터는 단지 지원
fast-lookup-filter되고 체인 필터는 fast-lookup-filters를 지원하지 않으므로, 제품군 MPLS 송신 체인 필터를 구성하는 동안 관련 커밋 검사가 제공됩니다.
토폴로지
이 예에서는 여러 방화벽 필터를 구성한 다음 주어진 인터페이스에 연결하여 순서대로 적용합니다. 이 예에서는 입력 및 출력 체인 모두에 대해 IP 주소 172.16.1.1/30으로 구성된 것을 사용합니다 ge-0/1/1.0 . 패킷이 체인 목록의 필터와 일치하지 않으면 패킷이 삭제됩니다.
구성
다음 예에서는 구성 계층에서 다양한 수준을 탐색해야 합니다. CLI 탐색에 대한 정보는 구성 모드에서 CLI 편집기 사용을 참조하십시오.
CLI 빠른 구성
이 예를 빠르게 구성하려면, 다음 명령을 텍스트 파일로 복사하고, 모든 줄 바꿈을 제거하고, 계층 수준의 CLI [edit] 에 명령을 붙여 넣습니다. 여기서 사용되는 필터 이름은 filter1 등이며, 용어 이름은 t1_f1 (term1, filter1 사용) 등입니다.
set firewall family inet filter filter1 term t1_f1 from protocol tcp set firewall family inet filter filter1 term t1_f1 then count f1_t1_cnt set firewall family inet filter filter1 term t2_f1 from precedence 7 set firewall family inet filter filter1 term t2_f1 then count f1_t2_cnt set firewall family inet filter filter1 term t2_f1 then accept set firewall family inet filter filter2 term t1_f2 from dscp 0 set firewall family inet filter filter2 term t1_f2 then count f2_t1_cnt set firewall family inet filter filter2 term t2_f2 from source-port 1020 set firewall family inet filter filter2 term t2_f2 then count f2_t2_cnt set firewall family inet filter filter2 term t2_f2 then accept set firewall family inet filter filter3 term t1_f3 from destination-address 172.30.1.1/32 set firewall family inet filter filter3 term t1_f3 then count f3_t1_cnt set firewall family inet filter filter3 term t2_f3 from destination-port 5454 set firewall family inet filter filter3 term t2_f3 then count f3_t2_cnt set firewall family inet filter filter3 term t2_f3 then accept set interfaces ge-0/1/1 unit 0 family inet address 172.16.1.1/30 set interfaces ge-0/1/1 unit 0 family inet filter input-chain [ filter1 filter2 filter3 ] set interfaces ge-0/1/1 unit 0 family inet filter output-chain [ filter1 filter2 filter3 ]
IPv4 방화벽 필터 구성
여기서는 방화벽 필터를 구성합니다. 각각 다른 일치 조건과 카운트 작업을 가지고 있습니다. 처음 두 필터에는 종료되지 않는 작업이 count있는 여러 용어가 있으며, 이는 일치하는 패킷이 체인의 다음 필터로 전달된다는 것을 의미하며, 세 번째 필터에는 accept 작업이 있습니다. 지정된 조건과 일치하지 않는 패킷은 삭제됩니다.
단계별 절차
방화벽 필터 구성 방법:
IPv4 방화벽 필터를 구성하는 계층 수준으로 CLI를 탐색합니다.
[edit] user@host# edit firewall family inet
TCP 패킷 또는 우선 순위가 7인 패킷을 체인의 다음 필터로 전송하기 전에 카운트하도록 첫 번째 방화벽 필터를 구성합니다.
[edit firewall family inet] user@host# set filter filter1 term t1_f1 from protocol tcp user@host# set filter filter1 term t1_f1 then count f1_t1_cnt user@host# set filter filter1 term t2_f1 from precedence 7 user@host# set filter filter1 term t2_f1 then count f1_t2_cnt user@host# set filter filter1 term t2_f1 then accept
DSCP 패킷 또는 소스 포트가 1020인 패킷을 체인의 다음 필터로 전송하기 전에 카운트하도록 두 번째 방화벽 필터를 구성합니다.
[edit firewall family inet] user@host# set filter filter2 term t1_f2 from dscp 0 user@host# set filter filter2 term t1_f2 then count f2_t1_cnt user@host# set filter filter2 term t2_f2 from source-port 1020 user@host# set filter filter2 term t2_f2 then count f2_t2_cnt user@host# set filter filter2 term t2_f2 then accept
대상 주소가 172.30.1.1/32 또는 대상 포트가 5454인 패킷을 카운트하고 수락하도록 마지막 방화벽 필터를 구성합니다.
[edit firewall family inet] user@host# set filter filter3 term t1_f3 from destination-address 172.30.1.1/32 user@host# set filter filter3 term t1_f3 then count f3_t1_cnt user@host# set filter filter3 term t2_f3 from destination-port 5454 user@host# set filter filter3 term t2_f3 then count f3_t2_cnt user@host# set filter filter3 term t2_f3 then accept
입력 필터 체인 적용
여기서는 방화벽 필터를 주어진 인터페이스에 연결합니다. 실행 순서는 왼쪽에서 오른쪽으로 체인과 동일한 순서로 발생합니다.
단계별 절차
인터페이스에 IP 주소를 할당하려면 다음을 수행합니다.
필터에 사용 중인 인터페이스로
ge-0/1/1.0이동합니다.[edit] user@host# edit interfaces ge-0/1/1 unit 0 family inet
논리적 인터페이스에 IPv4 주소를 할당합니다.
[edit interfaces ge-0/1/1 unit 0 family inet] user@host# set address 172.16.1.1/30
필터를 입력 필터 목록으로 적용합니다.
[edit interfaces ge-0/1/1 unit 0 family inet] user@host# set filter input-chain [ filter1 filter2 filter3 ] user@host# set filter out-chain [ filter1 filter2 filter3 ]
후보 구성 확인 및 커밋
단계별 절차
후보 구성을 확인하고 커밋하려면 다음을 수행합니다.
구성 모드 명령을 입력
show firewall하여 방화벽 필터의 구성을 확인합니다. 명령 출력에 의도한 구성이 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정합니다.[edit firewall] user@host# show family inet { } filter filter1 { term t1_f1 { from { protocol tcp; } then count f1_t1_cnt; accept; } term t2_f1 { from { precedence 7; } then count f1_t2_cnt; accept; } } filter filter2 { term t1_f2 { from { dscp 0; } then count f2_t1_cnt; } term t2_f2 { from { source-port 1020; } then count f2_t2_cnt; } } filter filter3 { term t1_f3 { from { destination-address { 172.30.1.1/32; } } then { count f3_t1_cnt; } } term t2_f3 { from { destination-port 5454; } then { count f3_t2_cnt; accept; } } } } }구성 모드 명령을 입력
show interfaces하여 인터페이스의 구성을 확인합니다.[edit] user@host# show interfaces ge-0/1/1 { unit 0 { family inet { filter { input-chain [ filter1 filter2 filter3 ]; } address 172.16.1.1/30; } } }디바이스 구성을 완료하면 구성을 커밋합니다.
[edit] user@host# commit
검증
구성이 예상대로 작동하는지, 즉 일치하는 트래픽이 filter1, filter2 및 filter3 각각에 의해 평가되는지, 예상되는 작업(count 또는 accept)이 수행되었는지 확인합니다.
방화벽 필터를 통해 트래픽 전송
목적
한 디바이스에서 구성한 라우터로 트래픽을 전송하여 일치하는 패킷이 체인의 모든 관련 필터에 의해 평가되고 있는지 확인합니다.
작업
입력 패킷이 filter1, filter2, filter3에 의해 평가되는지 확인하려면
에 연결된
ge-0/1/1.0원격 호스트에서 우선 순위가 7인 패킷을 보냅니다. 패킷을 계산한 다음 filter2로 평가해야 합니다.에
ge-0/1/1.0연결된 원격 호스트에서 DSCP 값이 0인 패킷을 보냅니다. 패킷을 계산한 다음 filter3에 의해 평가되어야 합니다.연결된
ge-0/1/1.0원격 호스트에서 대상 주소가 172.30.1.1/32이고 대상 포트 번호가 5454인 패킷을 보냅니다. 패킷을 계산한 다음 수락해야 합니다.구성한 필터에 대한 카운터 정보를 표시하려면 운영 모드 명령을 입력합니다
show firewall filter filter-name. 명령 출력은 카운터와 연관된 필터 용어와 일치하는 바이트 및 패킷 수를 표시합니다.