SUR CETTE PAGE
Exemple : Configuration et application d’un filtre simple
Cet exemple montre comment configurer un filtre simple.
Exigences
Cet exemple utilise l’un des composants matériels suivants :
Un concentracteur de port dense de file d’attente améliorée (EQ DPC) installé sur un routeur MX Series ou un commutateur EX Series
Avant de commencer, assurez-vous de disposer des éléments suivants :
Installez votre routeur (ou commutateur) et PIC ou DPC pris en charge et effectuez la configuration initiale du routeur (ou commutateur).
Configuré Ethernet de base dans la topologie et vérifié que le trafic circule dans la topologie et que le trafic IPv4 entrant circule dans l’interface
ge-0/0/1.0logique.
Vue d’ensemble
Ce filtre simple définit la priorité de perte sur faible pour le trafic TCP avec adresse 172.16.1.1source , définit la priorité de perte sur élevée pour le trafic HTTP (Web) avec des adresses sources comprises dans la plage 172.16.4.0/8, et définit la priorité de perte sur faible pour tout le trafic avec adresse 172.16.6.6de destination .
Topologie
Le filtre simple est appliqué comme filtre d’entrée (les paquets arrivants vérifient l’adresse 6.6.6.6de destination, pas les paquets de sortie en file d’attente) sur l’interface ge-0/0/1.0.
La configuration
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans la CLI, consultez Utilisation de l’éditeur CLI en mode Configuration.
Pour configurer cet exemple, effectuez les tâches suivantes :
- Configuration rapide de la CLI
- Configuration du filtre de pare-feu simple
- Application du filtre simple à l’entrée de l’interface logique
Configuration rapide de la CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes dans un fichier texte, supprimez les sauts de ligne, puis collez-les dans la CLI au niveau de la [edit] hiérarchie.
set firewall family inet simple-filter sf_classify_1 term 1 from source-address 172.16.1.1/32 set firewall family inet simple-filter sf_classify_1 term 1 from protocol tcp set firewall family inet simple-filter sf_classify_1 term 1 then loss-priority low set firewall family inet simple-filter sf_classify_1 term 2 from source-address 172.16.4.0/8 set firewall family inet simple-filter sf_classify_1 term 2 from protocol tcp set firewall family inet simple-filter sf_classify_1 term 2 from source-port http set firewall family inet simple-filter sf_classify_1 term 2 then loss-priority high set firewall family inet simple-filter sf_classify_1 term 3 from destination-address 6.6.6.6/32 set firewall family inet simple-filter sf_classify_1 term 3 then loss-priority low set firewall family inet simple-filter sf_classify_1 term 3 then forwarding-class best-effort set interfaces ge-0/0/1 unit 0 family inet simple-filter input sf_classify_1 set interfaces ge-0/0/1 unit 0 family inet address 10.1.2.3/30
Configuration du filtre de pare-feu simple
Procédure étape par étape
Pour configurer le filtre simple :
Créez le filtre
sf_classify_1simple .[edit] user@host# edit firewall family inet simple-filter sf_classify_1
Configurez la classification du trafic TCP en fonction de l’adresse IP source.
[edit firewall family inet simple-filter sf_classify_1] user@host# set term 1 from source-address 172.16.1.1/32 user@host# set term 1 from protocol tcp user@host# set term 1 then loss-priority low
Configurez la classification du trafic HTTP en fonction de l’adresse IP source.
[edit firewall family inet simple-filter sf_classify_1] user@host# set term 2 from source-address 172.16.4.0/8 user@host# set term 2 from protocol tcp user@host# set term 2 from source-port http user@host# set term 2 then loss-priority high
Configurez la classification des autres trafics en fonction de l’adresse IP de destination.
[edit firewall family inet simple-filter sf_classify_1] user@host# set term 3 from destination-address 6.6.6.6/32 user@host# set term 3 then loss-priority low user@host# set term 3 then forwarding-class best-effort
Résultats
Confirmez la configuration du filtre simple en entrant la commande du show firewall mode de configuration. Si la sortie de la commande n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.
[edit]
user@host# show firewall
family inet {
simple-filter sf_classify_1 {
term 1 {
from {
source-address {
172.16.1.1/32;
}
protocol {
tcp;
}
}
then loss-priority low;
}
term 2 {
from {
source-address {
172.16.4.0/8;
}
source-port {
http;
}
protocol {
tcp;
}
}
then loss-priority high;
}
term 3 {
from {
destination-address {
6.6.6.6/32;
}
}
then {
loss-priority low;
forwarding-class best-effort;
}
}
}
}
Application du filtre simple à l’entrée de l’interface logique
Procédure étape par étape
Pour appliquer le filtre simple à l’entrée de l’interface logique :
Configurez l’interface logique à laquelle vous allez appliquer le filtre simple.
[edit] user@host# edit interfaces ge-0/0/1 unit 0 family inet
Configurez l’adresse de l’interface logique.
[edit interfaces ge-0/0/1 unit 0 family inet] user@host# set address 10.1.2.3/30
Appliquez le filtre simple à l’entrée de l’interface logique.
[edit interfaces ge-0/0/1 unit 0 family inet] user@host# set simple-filter input sf_classify_1
Résultats
Confirmez la configuration de l’interface en entrant la commande du mode de show interfaces configuration. Si la sortie de la commande n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.
[edit]
user@host# show interfaces
ge-0/0/1 {
unit 0 {
family inet {
simple-filter {
input sf_classify_1;
}
address 10.1.2.3/30;
}
}
}
Lorsque vous avez terminé de configurer l’appareil, validez votre configuration candidate.
Vérification
Vérifiez que la configuration fonctionne correctement.
- Affichage de l’appariement des correspondances et des noms des classes de transfert aux numéros de file d’attente
- Affichage des compteurs de files d’attente CoS pour l’interface
- Affichage des détails du compteur de files d’attente CoS pour l’interface physique
Affichage de l’appariement des correspondances et des noms des classes de transfert aux numéros de file d’attente
Objet
Affichez le mappage des noms de classe de transfert aux numéros de file d’attente.
Mesures à prendre
Entrez la commande du show class-of-service forwarding-class mode opérationnel.
[edit] user@host> show class-of-service forwarding-class
Pour plus d’informations sur la sortie de la commande, reportez-vous à la section «show class-of-service forwarding-class » dans l’Explorateur CLI.
Affichage des compteurs de files d’attente CoS pour l’interface
Objet
Vérifiez que les compteurs de files d’attente de classe de service (CoS) de l’interface reflètent le filtre simple appliqué à l’interface logique.
Mesures à prendre
Entrez la show interfaces commande de l’interface physique sur laquelle le filtre simple est appliqué, et spécifiez detail ou extensive niveau de sortie.
[edit] user@host> show interfaces ge-0/0/1 detail
Dans la Physical interface section, sous Ingress queues, la Queue counters section affiche les compteurs de file d’attente entrante pour chaque classe de transfert.
Pour plus d’informations sur la sortie de la commande, consultez «show interfaces » dans l’Explorateur CLI.
Affichage des détails du compteur de files d’attente CoS pour l’interface physique
Objet
Vérifiez que les détails du compteur de files d’attente CoS pour l’interface physique reflètent le filtre simple appliqué à l’interface logique.
Mesures à prendre
Entrez la show interfaces queue commande de l’interface physique sur laquelle le filtre simple est appliqué et spécifiez l’option ingress .
[edit] user@host> show interfaces queue ge-0/0/1 ingress
Pour plus d’informations sur la sortie de la commande, reportez-vous à la section «show interfaces queue » dans l’Explorateur CLI.