Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

配置防火墙过滤器

 

按照以下部分中的步骤操作,在交换机上配置和应用防火墙过滤器。

配置防火墙过滤器

要配置防火墙过滤器:

  1. 配置系列地址类型、过滤器名称、术语名称和至少一个匹配条件—例如,在包含特定源地址的数据包上匹配。
    [edit]

    user@switch# set 防火墙 产品 ethernet-switching 过滤器 ingress-port-filter 期限 term-one source-address 192.0.2.14
    • 要过滤2层流量(端口或 VLAN),请指定系列地址类型ethernet-switching

    • 要过滤3层(路由)信息流,请指定系列地址类型(inet对于 IPv4)或(inet6对于 IPv6)。

    • 要过滤2层电路接口流量,请指定系列地址类型ccc

    过滤器和术语名称可以包含字母、数字和连字符(-),长度最高可达64个字符。每个过滤器名称都必须是唯一的。过滤器可以包含一个或多个术语,并且每个术语名称在过滤器中必须是唯一的。

  2. 配置附加的匹配条件。例如:

    在此配置中,过滤器在包含源端口80的第2层数据包上匹配。

    [edit firewall family ethernet-switching filter ingress-port-filter term term-one from]

    user@switch# set source-port 80

    在此配置中,过滤器与包含接口 ge-0/0/6.0 的 Vlan 相匹配。

    [edit firewall family inet filter ingress-interface-match-condition term term-one from]

    user@switch#set interface ge-0/0/6.0.


    您可在单个from语句中指定一个或多个匹配条件。为实现匹配,数据包必须与术语中的所有条件匹配。该from语句是可选的,但如果您将其包含在某个术语中’,则不能为空。如果您省略该from语句,所有数据包都将被视为匹配。

  3. 如果要将防火墙过滤器应用于多个接口,并且能够查看每个接口特定的计数器,请配置以下interface-specific选项:
    [edit firewall family ethernet-switching filter ingress-port-filter]

    user@switch# set 接口特定
  4. 在每个防火墙过滤器术语中,指定数据包符合该术语中的所有条件时要采取的操作。您可以指定操作和操作修饰符:
    • 要指定过滤器操作,例如,丢弃符合过滤器术语条件的数据包:

      [edit firewall family ethernet-switching filter ingress-port-filter term term-one then]

      user@switch# set discard

      accept个术语只能指定一个操作(、 discardrejectrouting-instance、、或vlan)。

    • 要指定操作修饰符,例如要对数据包进行计数并将其分类到转发类:

      [edit firewall family ethernet-switching filter ingress-port-filter term term-one then]

      user@switch# set count counter-one

      user@switch# set forwarding-class expedited-forwarding

      user@switch# set loss-priority high

      您可以在then语句中指定以下任何操作修饰符:

      • analyzer analyzer-name—将端口流量镜像至指定的分析器,必须在[ethernet-switching-options] 级别进行配置。

      • count counter-name—计算传递此过滤器术语的数据包数量。

        注意

        建议为防火墙过滤器中的每个术语配置一个计数器,以便您可以监控与每个过滤器术语中指定的条件相匹配的数据包数量。

        注意

        在 QFX3500 和 QFX3600 交换机上,过滤器将自动计算由于循环冗余检查(CRC)错误而在入站方向上丢弃的数据包。

      • forwarding-class class—将数据包分配给转发类。

      • log—将数据包标头信息记录在路由引擎中。

      • loss-priority priority—设置丢弃数据包的优先级。

      • policer policer-name—对流量应用速率限制。

      • syslog—为此数据包记录警报。

    如果省略该then语句或’不指定操作,将接受与from语句中的所有条件相匹配的数据包。但是,请确保始终在then语句中配置一个操作。您只能包含一条 action 语句,但可以使用任何操作修饰符组合。要使操作或操作修饰符生效, from语句中的所有条件都必须匹配。

    注意

    适用implicit discard于对回传接口应用的防火墙过滤器的操作lo0

配置增强型出口防火墙过滤器(QFX5110 和 QFX5220 交换机)

由于硬件限制,QFX5110 和 QFX5220 最多只能支持1000个出口防火墙过滤器(eRACLs)。您可以将此编号增加到2000,方法是在缩放模式下配置交换机。在此模式下,交换机使用入口 TCAM space (IFP)来实现更高的规模。

要配置出口过滤器,请指定系列地址类型(inet用于 IPv4)或(inet6用于 IPv6)、过滤器名称和术语名称。将适用的扩展选项包括在交换机上,并指定匹配条件和要在发生相符时采取的措施。然后在接口的输出方向上应用过滤器。

配置、修改或删除扩展选项之后,必须提交配置,并且必须重新启动数据包转发引擎(PFE)。

要增加 QFX5110 上的出口过滤器数量,请在配置中egress-to-ingress包括该选项。您可以在任何术语下添加此选项。以下是示例配置:

要增加 QFX5220 上的出口过滤器数量,请在eracl-scaleegress-profile语句下面包含该选项。以下是示例配置:

注意

eracl-scale选项在全局模式下配置。启用时,将在缩放模式下自动重新安装现有出口过滤器。

启用缩放模式时,以下限制适用:

  • 您只能在出口方向上应用过滤器(流将会退出 VLAN)。

  • inet支持inet6和协议系列。

  • 不支持通用路由封装(GRE)接口。

  • 仅使用传出防火墙过滤器的扩展选项。

  • 您不能将具有相同匹配条件的过滤器应用于不同的出口 Vlan 或第3层接口。仅支持acceptdiscardcount的操作。

  • 匹配条件在入口防火墙过滤器 TCAM 中编程。这意味着任何附加到过滤器的计数器都会对任何传入 Vlan 的流量进行计数。

将防火墙过滤器应用于端口

要将防火墙过滤器应用于端口:

  1. 为防火墙过滤器提供有意义的描述性名称。此名称用于将过滤器应用于端口。
    [edit]

    user@switch# set interfaces ge-0/0/6 description "filter to limit tcp traffic at trunk port for employee-vlan"
  2. 将过滤器应用于接口,指定设备编号、系列地址类型(ethernet-switching)、过滤器的方向(用于输入端口的数据包)和过滤器名称:
    [edit]

    user@switch# set ge-0/0/6 unit 0 family ethernet-switching filter input ingress-port-filter
    注意

    您只能将一个过滤器应用到入向入口方向的端口。

将防火墙过滤器应用于 VLAN

注意

在 EVPN VXLAN 环境中,QFX5100、QFX5100 集群交换和 QFX5110 交换机不支持 VLAN 防火墙过滤器。

要将防火墙过滤器应用于 VLAN:

  1. 为防火墙过滤器提供有意义的描述性名称。此名称用于将过滤器应用于 VLAN。
    [edit]

    user@switch# set vlan employee-vlan vlan-id 20 description "filter to block rogue devices on employee-vlan"
  2. 应用防火墙过滤器以过滤进入或退出 VLAN 的数据包:

    • 要应用过滤器以匹配进入 VLAN 的数据包:

      [edit]

      user@switch# set vlan employee-vlan vlan-id 20 filter input ingress-vlan-rogue-block
    • 要应用防火墙过滤器以匹配正在退出 VLAN 的数据包:

      [edit]

      user@switch# set vlans employee-vlan vlan-id 20 filter output egress-vlan-filter
    注意

    您只能将一个过滤器应用于给定方向(入口或出口)的 VLAN。

将防火墙过滤器应用于第3层(路由)接口

您可以将防火墙过滤器应用于 IPv4 和 IPv6 接口、路由 VLAN 接口(RVI)和回传接口。这些都是第3层路由接口。

注意

(QFX5100和 QFX5110 交换机)在 EVPN VXLAN 环境中,您可以使用 IRB 接口为交换机提供3层连接。要配置 IRB 接口,请参阅示例:在 EVPN VXLAN 环境中配置 IRB 接口,以便为数据中心内的主机提供3层连接。然后,您可以按照以下步骤将防火墙过滤器应用于 IRB 接口(仅支持入口方向)。有关受支持的匹配条件的列表,请参阅防火墙过滤器匹配条件和操作

要将防火墙过滤器应用于第3层接口:

  1. 为防火墙过滤器提供有意义的描述性名称。此名称用于将过滤器应用于接口。
    [edit]

    user@switch# set interfaces ge-0/1/6 description "filter to count and monitor traffic on layer 3 interface"
  2. 应用防火墙过滤器。
    • 要过滤进入接口的数据包:

      [edit]

      user@switch# set interfaces ge-0/1/6 unit 0 family inet filter input ingress-router-filter
    • 要过滤正在退出接口的数据包:

      [edit]

      user@switch# set interfaces ge-0/1/6 unit 0 family inet filter output egress-router-filter

      系列地址类型可以是(inet对于 IPv4)或(inet6对于 IPv6)。

    注意

    您只能将一个过滤器应用于给定方向(入口或出口)的接口。

将防火墙过滤器应用于第2层 CCC (QFX10000 交换机)

您可以在 QFX10000 交换机上的第2层电路交叉连接(CCC)流量上应用带有计数和监管器操作的防火墙过滤器。这使您可以统计和监控[edit firewall family ccc]层次结构级别的监管器活动集。

在此示例中count ,是监管器操作。

在此示例中discard ,是监管器操作。