MXシリーズルーターでファイアウォールフィルターを定義して、アクティブなフロー監視のトラフィックを選択する
アクティブフロー監視の最初のステップは、許容可能なトラフィックまたは隔離されたトラフィックの一致条件を設定することです。アクティブフロー監視の一般的な一致アクションには、 sample、 discard accounting、 port-mirror、 acceptがあります。設定するには、ファイアウォールフィルターの then ステートメントの一部として目的のアクションステートメントとカウンターを含め、フィルターをインターフェイスに適用します。
サンプリングでは、ルーターがトラフィックの一部を確認し、このサンプルに関するレポートをフロー監視サーバーに送信します。アカウンティングトラフィックの破棄はカウントおよび監視されますが、ルーターから転送されることはありません。ポートミラーリングされたトラフィックはコピーされ、別のインターフェイスに送信されます。受け入れられたトラフィックは、意図した宛先に転送されます。
これらの一致の組み合わせのほとんどは有効です。ただし、同じトラフィックで同時にポートミラーリングまたはサンプリングすることはできますが、同じパケットに対して複数のアクションを同時に実行することはできません。
[edit]
firewall {
family inet {
filter active_filter {
term quarantined_traffic {
from {
source-address {
10.36.1.2/32;
}
}
then {
count quarantined-counter;
sample;
discard accounting;
}
}
term copy_and_forward_the_rest {
then {
port-mirror;
accept;
}
}
}
}
}