Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
EN ESTA PÁGINA
 

Ejemplo: Configuración de un filtro para contar y muestrear paquetes aceptados

En este ejemplo se muestra cómo configurar un filtro de firewall sin estado estándar para contar y muestrear paquetes aceptados.

Requisitos

No se necesita ninguna configuración especial más allá de la inicialización del dispositivo antes de configurar este ejemplo.

Antes de comenzar, configure el muestreo de tráfico incluyendo la instrucción en el nivel de jerarquía.sampling[edit forwarding-options]

Descripción general

En este ejemplo, se utiliza un filtro de firewall sin estado estándar para contar y muestrear todos los paquetes recibidos en una interfaz lógica.

Nota:

Cuando se habilita el reenvío de ruta inversa (RPF) en una interfaz con un filtro de entrada para el registro y recuento del firewall, el filtro de firewall de entrada no registra los paquetes rechazados por RPF, aunque se cuentan los paquetes rechazados. Para registrar los paquetes rechazados, utilice un filtro de error de comprobación RPF.

Advertencia:

En los enrutadores de la serie MX con MPC3 o MPC4, si los filtros de firewall están configurados para contar paquetes del Protocolo de medición activa bidireccional (TWAMP), el recuento se duplica para todos los paquetes TWAMP. También puede haber un pequeño aumento en el tiempo de ida y vuelta (RTT) cuando el servidor TWAMP está alojado en MPC3 o MPC4. Esta advertencia no se aplica a enrutadores con tarjetas MPC1 o MPC2.

Nota:

En QFX5130 y QFX5700 cuando un paquete alcanza varios filtros de firewall que tienen una acción de contraataque, solo se incrementará el contador de grupo de prioridad más alta. Por ejemplo, supongamos que el paquete ha alcanzado un filtro IPACL (ACL de puerto) y un filtro IRACL (ACL enrutada), ambos con acción contraria. De acuerdo con la prioridad, IRACL tiene alta prioridad sobre IPACL. Por lo tanto, solo el contador IRACL se incrementará. Si no hay ningún impacto en IRACL, el contador IPACL se incrementará.

A continuación se muestra el orden de prioridad de las ACL configuradas por el usuario (de mayor a menor),

  • Circuito cerrado

  • IRACL

  • IPACL

  • IVACL

Configuración

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener información acerca de cómo navegar por la CLI, consulte .Usar el editor de CLI en el modo de configuración

Para configurar este ejemplo, realice las siguientes tareas:

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos de configuración en un archivo de texto, quite los saltos de línea y, a continuación, péguelos en la CLI en el nivel de jerarquía.[edit]

Configurar el filtro de firewall sin estado

Procedimiento paso a paso

Para configurar el filtro de firewall sin estado:sam

  1. Cree el filtro de firewall sin estado.sam

  2. Configure el término para contar y muestrear todos los paquetes.

Aplicar el filtro de firewall sin estado a una interfaz lógica

Procedimiento paso a paso

Para aplicar el filtro de firewall sin estado a una interfaz lógica:

  1. Configure la interfaz lógica a la que aplicará el filtro de firewall sin estado.

  2. Configure la dirección de interfaz para la interfaz lógica.

  3. Aplique el filtro de firewall sin estado a la interfaz lógica.

    Nota:

    Junos OS no muestra paquetes que se originan en el enrutador o conmutador. Si configura un filtro y lo aplica al lado de salida de una interfaz, solo se muestrearán los paquetes de tránsito que pasan por esa interfaz. Los paquetes que se envían desde el motor de enrutamiento al motor de reenvío de paquetes no se muestran.

Confirme y confirme su configuración candidata

Procedimiento paso a paso

Para confirmar y confirmar la configuración del candidato:

  1. Confirme la configuración del filtro de firewall sin estado introduciendo el comando de modo de configuración.show firewall Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregir la configuración.

  2. Confirme la configuración de la interfaz introduciendo el comando de modo de configuración.show interfaces Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregir la configuración.

  3. Si ha terminado de configurar el dispositivo, confirme la configuración candidata.

Verificación

Confirme que la configuración funcione correctamente.

Visualización del contador de paquetes

Propósito

Compruebe que el filtro de firewall está evaluando paquetes.

Acción

Visualización de la salida del registro del filtro de firewall

Propósito

Muestra la información del encabezado del paquete para todos los paquetes evaluados por el filtro de firewall.

Acción

Significado

Este archivo de salida contiene los siguientes campos:

  • Time: hora a la que se recibió el paquete (no se muestra en el valor predeterminado).

  • : nombre de un filtro que se ha configurado con la instrucción en el nivel jerárquico.Filterfilter[edit firewall] Un guión (-) o la abreviatura indican que el paquete fue manejado por el motor de reenvío de paquetes.pfe Un espacio (sin guión) indica que el motor de enrutamiento controló el paquete.

  • A—Acción de filtro:

    • A—Aceptar (o el próximo trimestre)

    • D—Descartar

    • R—Rechazar

  • Interface: interfaz en la que está configurado el filtro.

    Nota:

    Se recomienda encarecidamente que siempre configure explícitamente una acción en la instrucción.then

  • Pro: nombre o número del protocolo del paquete.

  • Source address: dirección IP de origen en el paquete.

  • Destination address: dirección IP de destino en el paquete.

Visualización de la salida del muestreo

Propósito

Verifique que la salida del muestreo contenga datos apropiados.

Acción

Temas relacionados