ステートレスファイアウォールフィルターコンポーネント |Junos OS |ジュニパーネットワークス

プロトコルファミリー

firewallステートメントでは、トラフィックをフィルタリングするプロトコルファミリーを指定できます。

表1は、ファイアウォールフィルタープロトコルファミリーを説明しています。

表1:ファイアウォールフィルタープロトコルファミリー
フィルタリングするトラフィックのタイプ	設定ステートメント	コメント
プロトコル非依存	`family any`	論理インターフェイス上に設定されたすべてのプロトコルファミリー。
Internet Protocol version 4(IPv4)	`family inet`	`family inet`ステートメントは、IPv4ではオプションです。
Internet Protocol version 6(IPv6)	`family inet6`
MPLS	`family mpls`
MPLSタグ付きIPv4	`family mpls`	IPアドレスとポート、最大5つのMPLSスタックラベルのマッチングをサポートします。
MPLSタグ付きIPv6	`family mpls`	IPアドレスとポート、最大5つのMPLSスタックラベルのマッチングをサポートします。
仮想プライベート LAN サービス (VPLS)	`family vpls`
レイヤー 2 回線クロスコネクション	`family ccc`
レイヤー 2 ブリッジング	`family bridge` および `family ethernet-switching`

フィルタータイプ

family family-name ステートメントでは、設定したいフィルターのタイプと名前を指定できます。

表2は、ファイアウォールフィルターのタイプを示しています。

表2:フィルタータイプ
フィルタータイプ	設定ステートメント	説明
標準ファイアウォールフィルター	`filter filter-name`	以下のトラフィックタイプをフィルタリングします。プロトコル非依存 IPv4 IPv6 MPLS MPLSタグ付きIPv4 MPLSタグ付きIPv6 VPLS レイヤー 2 CCC レイヤー2 ブリッジング
サービスフィルター	`service-filter service-filter-name`	サービス処理で受け入れられる前にイングレスまたはエグレスに適用するパケットフィルタリング、またはサービス処理完了後にサービストラフィックを返す前に適用されるパケットフィルタリングを定義します。以下のトラフィックタイプをフィルタリングします。 IPv4 IPv6
シンプルフィルタ	`simple-filter simple-filter-name`	イングレストラフィックにのみ適用されるパケットフィルタリングを定義します。以下のトラフィックタイプをフィルターします。 IPv4

用語

filter、service-filter、またはsimple-filterステートメントの下で、少なくとも1つのファイアウォールフィルター条件を設定する必要があります。用語は、一致条件とアクションが定義される名前付き構造です。ファイアウォールフィルター内では、各用語に一意の名前を設定する必要があります。

ヒント:

インターフェイス上のプロトコルファミリーごとに、各方向に適用できるフィルターは1つだけです。同じプロトコルファミリーに対して同じ方向に追加フィルターを適用しようとすると、最後のフィルターが前のフィルターを上書きします。ただし、同じプロトコルファミリーのフィルターを同じインターフェイスの入出力方向に適用することはできます。

すべてのステートレスファイアウォールフィルターには1つ以上の条件が含まれ、各条件は2つのコンポーネント(一致条件とアクション)で構成されます。一致条件は、一致と見なされるためにパケットに含める必要がある値またはフィールドを定義します。パケットが一致した場合、対応するアクションが実行されます。デフォルトでは、ファイアウォールフィルターに一致しないパケットは破棄されます。

インターフェイスの受信トラフィックにファイアウォールフィルターが適用されていないインターフェイスにパケットが到着した場合、パケットはデフォルトで受け入れられます。

注:

条件の数が多いファイアウォールフィルターは、設定コミット時間とルーティングエンジンのパフォーマンスの両方に悪影響を与える可能性があります。

さらに、別のフィルターの期間内にステートレスファイアウォールフィルターを設定することができます。この方法では、すべてのフィルター定義を変更することなく、複数のフィルターに共通の用語を追加できます。1 つのフィルターに目的の一般的な用語を設定し、このフィルターを他のフィルターの用語として設定できます。したがって、これらの一般的な用語を変更するには、複数のフィルターではなく、共通の用語を含むフィルターを1つだけ変更する必要があります。

一致条件

ファイアウォールフィルター条件には、ファイアウォールフィルター条件に一致すると見なされるためにパケットに含める必要があるフィールドまたは値を指定するために、 一致条件と呼ばれるパケットフィルタリング基準を少なくとも1つ含める必要があります。一致するためには、パケットが条件のすべての条件に一致する必要があります。パケットがファイアウォールフィルターの条件に一致する場合、ルーター(またはスイッチ)はパケットに対して設定されたアクションを実行します。

ファイアウォールフィルター条件に複数の一致条件が含まれている場合、パケットはファイアウォールフィルター条件に一致すると見なされるには、 すべての 一致条件を満たす必要があります。

単一の一致条件に、値の範囲など複数の値が設定されている場合、ファイアウォールフィルター条件に一致すると見なされるには、パケットは値の 1つだけに一致する必要があります。

ファイアウォールフィルターの条件で指定できる一致条件の範囲は、ファイアウォールフィルターが設定されているプロトコルファミリーによって異なります。IP送信元アドレスフィールド、IP宛先アドレスフィールド、TCPまたはUDP送信元ポートフィールド、IPプロトコルフィールド、ICMP(Internet Control Message Protocol)パケットタイプ、IPオプション、TCPフラグ、着信論理または物理インターフェイス、発信論理または物理インターフェイスなど、さまざまな一致条件を定義できます。これらは、事前に定義された、または固定された一致条件です。

ファイアウォールフィルター条件の from ステートメントでは、後続の then ステートメントでアクションを実行するためにパケットが持つ必要がある特性を指定します。特性は 一致条件と呼ばれます。アクションを実行するには、パケットが from ステートメントのすべての条件に一致する必要があります。これは、 from ステートメントの条件の順序が重要ではないことも意味します。

個々の一致条件で値のリスト(複数の送信元アドレスと宛先アドレスなど)や数値の範囲を指定できる場合、いずれかの値がパケットと一致すると一致が発生します。

フィルター条件が一致条件を指定しない場合、条件はすべてのパケットを受け入れ、条件の then ステートメントで指定されたアクションはオプションです。

注:

一部の数値範囲とビットフィールド一致条件では、テキスト同義語を指定できます。同義語の完全なリストについては:

J-Webインターフェイスを使用している場合は、適切なリストから同義語を選択します。
CLIを使用する場合は、fromステートメントの後に疑問符(?)を入力します。

アクション

ファイアウォールフィルター条件で指定されたアクションは、条件で指定された条件に一致するパケットに対して実行するアクションを定義します。

単一条件内に設定されたアクションは、設定された条件に一致するトラフィックに対してすべて実行されます。

ベストプラクティス:

ファイアウォールフィルターの条件ごとに1つ以上のアクションを明示的に設定することを強くお勧めします。条件が他のアクションまたは追加のアクションを指定しない限り、条件のすべての条件に一致するパケットは自動的に受け入れられます。

ファイアウォールフィルターアクションは、以下のカテゴリに分類されます。

フィルター終了アクション
非終了アクション
フロー制御アクション

フィルター終了アクション

フィルター終了アクションは、特定のパケットに対するファイアウォールフィルターのすべての評価を停止します。ルーター(またはスイッチ)は指定されたアクションを実行し、追加の項は検討されません。

非終了アクション

非終了アクションは、カウンターのインクリメント、パケットヘッダーに関する情報のログ記録、パケットデータのサンプリング、システムログ機能を使用したリモートホストへの情報の送信など、パケットに対して他の機能を実行するために使用されます。

count、log、syslogなどの非終了アクションが存在し、accept、discard、rejectなどの明示的な終了アクションがない場合、デフォルトの終了アクションはacceptになります。ファイアウォールフィルターアクションを終了させない場合は、非終了アクションの後にnext termアクションを使用します。

注:

Junos OS Evolvedでは、 next term アクションの最終項として表示することはできません。 next term がアクションとして指定されているが、一致条件が設定されていないフィルター項はサポートされていません。

この例では、用語 1 には終了アクション accept 暗黙的なデフォルトがあるため、用語 2 は評価されません。

この例では、用語1に明示的な next term フロー制御アクションがあるため、用語2が評価されます。

フロー制御アクション

標準のステートレスファイアウォールフィルターの場合のみ、アクション next term により、ルーター(またはスイッチ)は、フィルターを終了するのではなく、パケットに対して設定されたアクションを実行し、フィルター内で次の条件を評価できます。

標準ステートレスファイアウォールフィルター設定ごとに、最大1024の next term アクションがサポートされます。この制限を超える標準フィルターを設定すると、候補の設定はコミットエラーになります。

プラットフォーム固有の動作

機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。

プラットフォーム固有の動作を確認するには、以下の表を使用して下さい。

プラットフォーム	違い
MXシリーズルーター	`family bridge` は、MXシリーズルーター用です。フィルタータイプ - サービスフィルター、および設定ステートメントの場合、 `service-filter service-filter-name` は、MXシリーズルーター上のマルチサービス(MS)DPCで設定された論理インターフェイスでサポートされています。フィルタータイプ - シンプルフィルター、および設定ステートメントでは、MXシリーズルーターにインストールされている拡張キューイング高密度ポートコンセントレータ(EQ DPC)で `simple-filter simple-filter-name` がサポートされています。 MPCまたはMICを搭載したMXシリーズ3Dユニバーサルエッジルーターでは、IPv4、IPv6、レイヤー2ブリッジ、CCC、VPLSプロトコルファミリーの柔軟な一致条件を構築することができます。これらの柔軟な一致条件により、ユーザーはパケット内の開始位置、バイトオフセット、一致長、およびその他のパラメーターを指定できます。プロトコルファミリーごとに異なる一致条件のセットがサポートされており、一部の一致条件は特定のルーティングデバイスでのみサポートされています。例えば、VPLSトラフィックの多くの一致条件は、MXシリーズ3Dユニバーサルエッジルーターでのみサポートされています。
EXシリーズスイッチ	`family ethernet-switching` EXシリーズスイッチ用です。フィルタータイプ - サービスフィルター、および設定ステートメントの場合、 `service-filter service-filter-name` は、EXシリーズルーターのマルチサービス(MS)DPCで設定された論理インターフェイスでサポートされています。フィルタータイプ - シンプルフィルター、および設定ステートメントの場合、 `simple-filter simple-filter-name` は、EXシリーズスイッチにインストールされているEQ DPC(拡張キューイング高密度ポートコンセントレータ)でサポートされています。

プラットフォーム

違い

MXシリーズルーター

family bridge は、MXシリーズルーター用です。
フィルタータイプ - サービスフィルター、および設定ステートメントの場合、 service-filter service-filter-name は、MXシリーズルーター上のマルチサービス(MS)DPCで設定された論理インターフェイスでサポートされています。
フィルタータイプ - シンプルフィルター、および設定ステートメントでは、MXシリーズルーターにインストールされている拡張キューイング高密度ポートコンセントレータ(EQ DPC)で simple-filter simple-filter-name がサポートされています。
MPCまたはMICを搭載したMXシリーズ3Dユニバーサルエッジルーターでは、IPv4、IPv6、レイヤー2ブリッジ、CCC、VPLSプロトコルファミリーの柔軟な一致条件を構築することができます。これらの柔軟な一致条件により、ユーザーはパケット内の開始位置、バイトオフセット、一致長、およびその他のパラメーターを指定できます。
プロトコルファミリーごとに異なる一致条件のセットがサポートされており、一部の一致条件は特定のルーティングデバイスでのみサポートされています。例えば、VPLSトラフィックの多くの一致条件は、MXシリーズ3Dユニバーサルエッジルーターでのみサポートされています。

EXシリーズスイッチ

family ethernet-switching EXシリーズスイッチ用です。
フィルタータイプ - サービスフィルター、および設定ステートメントの場合、 service-filter service-filter-name は、EXシリーズルーターのマルチサービス(MS)DPCで設定された論理インターフェイスでサポートされています。
フィルタータイプ - シンプルフィルター、および設定ステートメントの場合、 simple-filter simple-filter-name は、EXシリーズスイッチにインストールされているEQ DPC(拡張キューイング高密度ポートコンセントレータ)でサポートされています。