Configuración de filtros de firewall

• Para filtrar el tráfico de capa 2 (puerto o VLAN), especifique el tipo ethernet-switchingde dirección de la familia.

• Para filtrar el tráfico de capa 3 (enrutado), especifique el tipo de dirección de familia (inet para IPv4) o (inet6 para IPv6).

• Para filtrar el tráfico de interfaz de circuito de capa 2, especifique el tipo cccde dirección de familia .

El filtro y los nombres de términos pueden contener letras, números y guiones (-) y pueden tener hasta 64 caracteres de longitud. Cada nombre de filtro debe ser único. Un filtro puede contener uno o varios términos, y cada nombre de término debe ser único dentro de un filtro.

En esta configuración, el filtro coincide con los paquetes de capa 2 que contienen el puerto de origen 80.

En esta configuración, el filtro coincide con las VLAN que contienen la interfaz ge-0/0/6.0.

Puede especificar una o varias condiciones de coincidencia en una sola from instrucción. Para que se produzca una coincidencia, el paquete debe coincidir con todas las condiciones del término. La from instrucción es opcional, pero si se incluye en un término, no se puede vaciar. Si omite la from instrucción, se considera que todos los paquetes coinciden.

• Para especificar una acción de filtro, por ejemplo, para descartar paquetes que coincidan con las condiciones del término de filtro:

  Solo puede especificar una acción por término (accept, discard, flood, reject, routing-instanceo vlan).

• Para especificar una acción de filtro, por ejemplo, para inundar paquetes que coincidan con la dirección MAC en QFX5100/QFX5110/ QFX5120-32C/QFX5200/QFX5210:

  Puede configurar los filtros de firewall basados en puertos de entrada para inundar o descartar las siguientes BPDU mediante el uso de la dirección MAC de destino como condición de coincidencia.

  Protocolos	Dirección de control de acceso de medios de destino (DMAC)	Acción de firewall
  Protocolo de control de agregación de vínculos (LACP)	01:80:c2:00:00:02	Inundación/Descarte/Recuento
  Protocolo de descubrimiento de capa de vínculo (LLDP)	01:80:c2:00:00:0E	Inundación/Descarte/Recuento
  Protocolo de autenticación extensible sobre LAN (EAPOL)	01:80:c2:00:00:03	Inundación/Descarte/Recuento
  Protocolo de árbol de expansión (STP)	01:80:c2:00:00:00	Inundación/Descarte/Coun
  Protocolo de árbol de expansión de VLAN (VSTP)	01:00:0c:cc:cc:cd	Inundación/Descarte/Recuento
  Protocolo Cisco Discovery (CDP)/Protocolo de troncalización VLAN (VTP)	01:00:0C:cc:cc:cc	Descartar/Contar
  ISIS L1	01:80:c2:00:00:14	Descartar/Contar
  ISIS L2	01:80:c2:00:00:15	Descartar/Contar

  Nota:

  • Los protocolos CDP/VTP, ISIS L1/L2 se inundan mediante el filtro dinámico predeterminado. Por lo tanto, no es necesario configurar filtros adicionales para estos protocolos.

  • Dado que los filtros de firewall de entrada basados en puertos se aplican a nivel de puerto, solo se puede aplicar un filtro para una interfaz física en la configuración del estilo del proveedor de servicios.

  • La VLAN nativa debe configurarse para garantizar la inundación de las BPDU sin etiqueta recibidas en el puerto de troncalización. Si la VLAN nativa no está configurada, las BPDU sin etiqueta se inundarán en todas las interfaces de la FPC local.

  • Cuando se habilita la detección de escucha de multidifusión (MLD) de IGMP, la funcionalidad de inundación no funciona.

  • Cuando se aplica el filtro de firewall con acción de inundación en una interfaz y, posteriormente, si la interfaz falla, las BPDU recibidas en esa interfaz se inundarán si cumplen las condiciones de coincidencia.

• Para especificar modificadores de acciones, por ejemplo, para contar y clasificar paquetes en una clase de reenvío:

  Puede especificar cualquiera de los modificadores de acción siguientes en una then instrucción:

  • analyzer analyzer-name— Espese el tráfico de puerto en un analizador especificado, que debe configurar en el [ethernet-switching-options] nivel.

  • count counter-name— Cuenta el número de paquetes que pasan este término de filtro.

    Nota:

    Recomendamos que configure un contador para cada término en un filtro de firewall, de modo que pueda supervisar la cantidad de paquetes que coincidan con las condiciones especificadas en cada término de filtro.

    Nota:

    En los conmutadores QFX3500 y QFX3600, los filtros cuentan automáticamente los paquetes que se han caído en la dirección de entrada debido a errores de comprobación cíclica de redundancia (CRC).

  • forwarding-class class— Asigne paquetes a una clase de reenvío.

  • log— Registre la información del encabezado del paquete en el motor de enrutamiento.

  • loss-priority priority: establece la prioridad de soltar un paquete.

  • policer policer-name: aplica una limitación de velocidad al tráfico.

  • flood: inunda los paquetes.

  • syslog— Registre una alerta para este paquete.

Si omite la then instrucción o no especifica una acción, se aceptarán los paquetes que coincidan con todas las condiciones de la from instrucción. Pero asegúrese de configurar siempre una acción en la then instrucción. Solo puede incluir una instrucción action, pero puede usar cualquier combinación de modificadores de acción. Para que una acción o modificador de acción su efecto, todas las condiciones de la from instrucción deben coincidir.

• Para aplicar un filtro que coincida con los paquetes que entran en la VLAN:

• Para aplicar un filtro de firewall para que coincida con los paquetes que salen de la VLAN:

• Para filtrar los paquetes que entran en la interfaz:

• Para filtrar los paquetes que salen de la interfaz:

  El tipo de dirección de familia puede ser (inet para IPv4) o (inet6 para IPv6).