ネストされた設定における複数のファイアウォールフィルターについて

課題:大規模なファイアウォールフィルター管理を簡素化

通常、単一の ファイアウォールフィルター をインターフェイスの入力方向または出力方向、あるいはその両方に適用します。しかし、ルーター(またはスイッチ)に多くの、あるいは数百のインターフェイスが設定されている場合、このアプローチは実用的でないかもしれません。この規模の環境では、影響を受けるすべてのインターフェイスのフィルターを再設定することなく、複数のインターフェイスに共通するフィルタリング用語を変更できる柔軟性が必要です。

一般的に、解決策は、複数のステートレスファイアウォールフィルターからなる効果的な「連鎖」構造を単一のインターフェイスに適用することです。フィルタリング項目を複数のファイアウォールフィルターに分割し、各ルーター(またはスイッチ)インターフェイスに固有のフィルターを適用できるだけでなく、必要に応じて複数のルーター(またはスイッチ)インターフェイスにも共通のフィルターを適用できるように設定します。Junos OSポリシーフレームワークには、個々のルーター(またはスイッチ)インターフェイスに対する複数の個別のファイアウォールフィルターの適用を管理するための2つのオプションが用意されています。1つのオプションは、複数のフィルターを単一の入力リストまたは出力リストとして適用することです。もう1つのオプションは、別のステートレスファイアウォールフィルターの条件内からステートレスファイアウォールフィルターを参照することです。

解決策:ファイアウォールフィルターへのネストされた参照を設定する

複数のファイアウォール フィルターに共通する重複したフィルタリング条件の設定を回避する最も構造化された方法は、共通のフィルタリング条件を含む別のフィルター を参照 して、各フィルターに共有のフィルタリング条件が含まれるように複数のファイアウォール フィルターを設定することです。Junos OSは、フィルター定義に表示される順番にフィルター用語を使用して、インターフェイスを通過するパケットを評価します。複数のインターフェイスで共有されるフィルタリング用語を変更する必要がある場合は、1つのファイアウォールフィルターを変更するだけで済みます。

ネストされたファイアウォールフィルターの設定

各ルーター(またはスイッチ)インターフェイスにネストされたファイアウォールフィルターを設定するには、次のように、共有パケットフィルタリングルールをインターフェイス固有のパケットフィルタリングルールから分離する必要があります。

• 複数のインターフェイスに共通するパケットフィルタリングルールのセットごとに、共有フィルタリング条件を含む個別のファイアウォールフィルターを設定します。

• ルーター(またはスイッチ)インターフェイスごとに、以下を含む個別のファイアウォールフィルターを設定します。

  • そのインターフェイスに固有のすべてのフィルタリング条件。

  • 一般的なフィルタリング用語を含むファイアウォールフィルターへの filter 参照を含む追加のフィルタリング用語。

ルーターまたはスイッチインターフェイスへのネストされたファイアウォールフィルターの適用

ネストされたファイアウォールフィルターの適用は、ネストされていないファイアウォールフィルターの適用と何ら変わりはありません。各インターフェイスに対して、filterスタンザ内にinputまたはoutputステートメント(またはその両方)を含めて、適切なネストされたファイアウォールフィルターを指定できます。

ネストされたファイアウォールフィルターをインターフェイスに適用すると、共有フィルタリング条件とインターフェイス固有のファイアウォールフィルターは、別のフィルタリング条件内のfilterステートメントを介して他のフィルターを含む単一のネストされたファイアウォールフィルターを介して適用されます。