Diretrizes para configurar filtros de firewall
Este tópico abrange as seguintes informações:
Hierarquia de declarações para configurar filtros de firewall
Para configurar um filtro de firewall padrão, você pode incluir as seguintes declarações. Para um filtro de firewall padrão IPv4, a declaração é opcional.family inet Para um filtro de firewall padrão IPv6, a declaração é obrigatória.family inet6
firewall { family family-name { filter filter-name { accounting-profile name; instance-shared; interface-specific; physical-interface-filter; term term-name { filter filter-name; } term term-name { from { match-conditions; ip-version ip-version { match-conditions; protocol (tcp | udp) { match conditions; } } } then { actions; } } } } }
Você pode incluir a configuração do firewall em um dos seguintes níveis de hierarquia:
-
[edit] -
[edit logical-systems logical-system-name]
Para filtragem de firewall sem estado, você deve permitir o tráfego de túnel de saída através do filtro de firewall aplicado ao tráfego de entrada na interface que é a interface de próximo salto em direção ao destino do túnel. O filtro de firewall afeta apenas os pacotes que saem do roteador (ou switch) por meio do túnel.
Em plataformas de ACX7100, os filtros de firewall VPLS estão configurados em baixo e não em baixo .familyethernet-switchingfamilyVPLS Os filtros de gerenciamento estão configurados em família ou e a sintaxe é desta forma:inetinet6
set interfaces re0:mgmt-0 unit logical-unit-number family family-name filter input filter-name.Famílias de protocolo de filtro de firewall
Uma configuração de filtro de firewall é específica para uma determinada família de protocolos. De acordo com a declaração, inclua uma das seguintes declarações para especificar a família de protocolo para a qual você deseja filtrar o tráfego:firewall
family any— Filtrar tráfego independente de protocolo.family inet— Filtrar o tráfego da versão 4 do Protocolo de Internet (IPv4).family inet6— Filtrar o tráfego da versão 6 do Protocolo de Internet (IPv6).family mpls— filtrar o tráfego MPLS.family vpls— Filtrar o tráfego de serviços de LAN privada virtual (VPLS).family ccc— Filtrar o tráfego entre conexões entre circuitos (CCC) de circuito de Camada 2.family bridge— Filtrar o tráfego de ponte de Camada 2 apenas para roteadores de borda universais 3D da Série MX.family ethernet-switching— Filtrar o tráfego de Camada 2 (Ethernet).
A declaração é necessária apenas para especificar uma família de protocolo que não seja o IPv4.family family-name Para configurar um filtro de firewall IPv4, você pode configurar o filtro no nível de hierarquia sem incluir a declaração, porque os níveis de hierarquia são equivalentes.[edit firewall]family inet[edit firewall][edit firewall family inet]
Para o filtro da família bridge, os critérios de correspondência são suportados apenas para IPv4 e não para IPv6.ip-protocol Isso é aplicável para placas de linha que oferecem suporte ao chipset Junos Trio, como as placas de linha MX 3D MPC.
Nomes e opções de filtro de firewall
Sob a declaração, você pode incluir declarações para criar e nomear filtros de firewall.family family-namefilter filter-name O nome do filtro pode conter letras, números e hífens (-) e ter até 64 caracteres de comprimento. Para incluir espaços no nome, inclua todo o nome entre aspas (" ").
No nível de hierarquia, as seguintes declarações são opcionais:[edit firewall family family-name filter filter-name]
accounting-profileinstance-shared(Roteadores da Série MX apenas com concentradores modulares de portas (MPCS)interface-specificphysical-interface-filter
Termos de filtro de firewall
Sob a declaração, você pode incluir declarações para criar e filtrar nomes.filter filter-nameterm term-name
Você deve configurar pelo menos um termo em um filtro de firewall.
Você deve especificar um nome exclusivo para cada termo em um filtro de firewall. O termo nome pode conter letras, números e hífens (-) e pode ter até 64 caracteres de comprimento. Para incluir espaços no nome, inclua todo o nome entre aspas (" ").
A ordem em que você especifica termos dentro de uma configuração de filtro de firewall é importante. Os termos do filtro de firewall são avaliados na ordem em que estão configurados. Por padrão, novos termos são sempre adicionados ao fim do filtro existente. Você pode usar o comando de modo de configuração para reordenar os termos de um filtro de firewall.
insert
No nível de hierarquia, a declaração não é válida no mesmo termo que ou declarações.[edit firewall family family-name filter filter-name term term-name]filter filter-namefromthen Quando incluída neste nível de hierarquia, a declaração é usada para aninhar filtros de firewall.filter filter-name
Condições de correspondência do filtro de firewall
As condições de correspondência do filtro de firewall são específicas para o tipo de tráfego que está sendo filtrado.
Com exceção do tráfego IPv4 ou IPv6 com marca MPLS, você especifica as condições de correspondência do termo sob a declaração.from Para tráfego IPv4 com tag MPLS, você especifica as condições de correspondência específicas do endereço IPv4 sob a declaração e as condições de correspondência específicas da porta IPv4 sob a declaração.ip-version ipv4protocol (tcp | udp)
Para tráfego IPv6 com marca MPLS, você especifica as condições de correspondência específicas do endereço IPv6 sob a declaração e as condições de correspondência específicas da porta IPv6 sob a declaração.ip-version ipv6protocol (tcp | udp)
Tabela 1 descreve os tipos de tráfego para os quais você pode configurar filtros de firewall.
Tipo de tráfego |
Nível de hierarquia em que as condições de correspondência são especificadas |
|---|---|
Independente de protocolo |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego independente de protocolo.Condições de correspondência do filtro de firewall para tráfego independente de protocolo |
IPv4 |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego IPv4.Condições de correspondência do filtro de firewall para tráfego IPv4 |
IPv6 |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego IPv6.Condições de correspondência do filtro de firewall para tráfego IPv6 |
MPLS |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego MPLS.Condições de correspondência do filtro de firewall para tráfego MPLS |
Endereços IPv4 em fluxos MPLS |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego IPv4 ou IPv6 com tags MPLS.Condições de correspondência do filtro de firewall para tráfego IPv4 ou IPv6 com tag MPLS |
Portas IPv4 em fluxos MPLS |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego IPv4 ou IPv6 com tags MPLS.Condições de correspondência do filtro de firewall para tráfego IPv4 ou IPv6 com tag MPLS |
Endereços IPv6 em fluxos MPLS |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego IPv4 ou IPv6 com tags MPLS.Condições de correspondência do filtro de firewall para tráfego IPv4 ou IPv6 com tag MPLS |
Portas IPv6 em fluxos MPLS |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego IPv4 ou IPv6 com tags MPLS.Condições de correspondência do filtro de firewall para tráfego IPv4 ou IPv6 com tag MPLS |
VPLS |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego VPLS.Condições de correspondência do filtro de firewall para tráfego VPLS |
CCC de camada 2 |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para o tráfego de CCC de Camada 2.Condições de correspondência do filtro de firewall para tráfego CCC de Camada 2 |
Pontes de camada 2 (Apenas roteadores da Série MX e switches da Série EX) |
Para obter a lista completa de condições de correspondência, veja condições de correspondência do filtro de firewall para tráfego de ponte de camada 2.Condições de correspondência do filtro de firewall para tráfego de ponte de camada 2 |
Se você especificar um endereço IPv6 em uma condição de correspondência (as condições, ou condições de correspondência), use a sintaxe para representações de texto descritas na RFC 4291, Arquitetura de endereçamento IP Versão 6.addressdestination-addresssource-address Para obter mais informações sobre endereços IPv6, consulte a visão geral do IPv6 e os padrões IPv6 com suporte.https://www.juniper.net/documentation/en_US/junos/topics/concept/routing-protocols-ipv6-overview.htmlhttps://www.juniper.net/documentation/en_US/junos/topics/reference/standards/ipv6.html
Ações de filtro de firewall
Sob a declaração de um termo de filtro de firewall, você pode especificar as ações a serem tomadas em um pacote que corresponda ao termo.then
Tabela 2 resume os tipos de ações que você pode especificar em um termo de filtro de firewall.
Tipo de ação |
Descrição |
Comentário |
|---|---|---|
Terminação |
Interrompe toda a avaliação de um filtro de firewall para um pacote específico. O roteador (ou switch) realiza a ação especificada, e nenhum termo adicional é usado para examinar o pacote. Você pode especificar apenas uma ação de terminação em um termo de filtro de firewall. Se você tentar especificar mais de uma ação de terminação dentro do termo filtro, a ação de terminação mais recente substituirá a ação de terminação existente. Você pode, no entanto, especificar uma ação terminante com uma ou mais ações não terminantes em um único termo. Por exemplo, dentro de um termo, você pode especificar com e . |
Veja ações de terminação do filtro de firewall.Ações de terminação de filtros de firewall |
Sem serminante |
Executa outras funções em um pacote (como incrementar um contador, registrar informações sobre o cabeçalho do pacote, provar os dados do pacote ou enviar informações para um host remoto usando a funcionalidade de log do sistema), mas quaisquer termos adicionais são usados para examinar o pacote. |
Todas as ações não intermináveis incluem uma ação implícita de aceitação. Essa ação de aceitação é realizada se nenhuma outra ação terminante estiver configurada no mesmo termo. Veja o filtro de firewalls de ações sem geração.Firewall filtra ações sem administração |
Controle de fluxo |
Apenas para filtros de firewall padrão, a ação direciona o roteador (ou switch) para realizar ações configuradas no pacote e, em vez de encerrar o filtro, use o próximo termo no filtro para avaliar o pacote. Por exemplo, quando você configura um termo com a ação não sufocante, a ação do termo muda de um implícito para um implícito . |
Você não pode configurar a ação com uma ação terminante no mesmo termo do filtro. No máximo 1024 ações são suportadas por configuração padrão de filtro de firewall. Nota:
No Junos OS Evolved, não pode aparecer como o último termo da ação. |