了解作为列表应用的多个防火墙过滤器

本主题涵盖以下信息：

挑战：简化大规模防火墙过滤器管理

通常，您将单个防火墙过滤器应用于输入和/或输出方向的接口。但是，当您的设备配置了许多接口时，此方法可能不实用。在大型环境中，您希望能够灵活地修改多个接口通用的过滤术语，而无需重新配置每个受影响接口的过滤器。

通常，解决方案是将多个防火墙过滤器的有效“链式”结构应用于单个接口。您可以将过滤术语划分为多个防火墙过滤器，每个过滤器执行一个过滤任务。然后，您可以选择要为给定接口执行的过滤任务，并将过滤任务应用于该接口。这样，您只需在单个防火墙过滤器中管理过滤任务的配置。如果需要修改跨多个接口共享的过滤术语，则只需修改一个包含这些术语的防火墙过滤器。

Junos OS 策略框架提供了两个选项，用于管理将多个单独的防火墙过滤器应用到各个路由器接口。一种选择是将多个筛选器应用为单个输入列表或输出列表。另一种选择是从另一个防火墙过滤器的期限内引用防火墙过滤器。PTX10003路由器不支持此选项。

解决方案：应用防火墙过滤器列表

避免配置多个防火墙过滤器通用的重复过滤术语的最直接方法是配置多个防火墙过滤器，然后将自定义的过滤器列表应用于每个接口。Junos OS 使用过滤器（按其在列表中的显示顺序）来评估通过接口的数据包。

为过滤器列表配置多个过滤器

配置要应用于每个路由器接口的唯一列表中的防火墙过滤器涉及将共享数据包过滤规则与接口特定的数据包过滤规则分开，如下所示：

Unique filters— 对于特定接口特有的每组数据包过滤规则，请配置仅包含该接口的过滤术语的单独防火墙过滤器。
Shared filters— 对于跨两个或多个接口通用的每组数据包过滤规则，请考虑配置包含共享过滤术语的单独防火墙过滤器。

提示：
在规划使用过滤器列表应用大量防火墙过滤器时，管理员通常按过滤条件、客户订阅的服务或接口用途来组织共享过滤器。

将过滤器列表应用于路由器接口

将防火墙过滤器列表应用于接口的过程是选择满足该接口数据包过滤要求的过滤器。对于每个接口，您可以在节中包含filter或input-listoutput-list语句（或两者），以按使用顺序指定相关过滤器：

包括包含与接口相关的常见过滤术语的任何过滤器。
包括仅包含接口特有的过滤术语的过滤器。

筛选器列表的接口特定名称

由于筛选器列表是在接口下配置的，因此生成的串联筛选器特定于接口。

注：

在接口下配置过滤器列表时，无论过滤器列表中的防火墙过滤器是否配置为特定于接口，生成的级联过滤器都是特定于接口的。此外，特定于接口的防火墙过滤器的实例化不仅创建任何防火墙过滤器计数器的单独实例，而且还创建任何监管器操作的单独实例。通过防火墙过滤器配置中指定的操作应用的任何监管器都将单独应用于接口组中的每个接口。

系统生成的接口特定过滤器名称由完整的接口名称组成，后跟 '-i' 表示输入过滤器列表或 '-o' 表示输出过滤器列表。

Input filter list name—例如，如果使用语句将 input-list 过滤器链应用于逻辑接口 ge-1/3/0.0，Junos OS 将使用以下过滤器名称：
Output filter list name—例如，如果使用语句将 output-list 过滤器链应用于逻辑接口 fe-0/1/2.0，Junos OS 将使用以下过滤器名称：

注：

对于 Junos OS 演化版，过滤器名称与 Junos OS 类似。例如，如果过滤器绑定到 inet 系列，则过滤器将被命名为 ge-1/3/0/0-inet-i 和 fe-0/1/2.0-inet-o。

输入指定防火墙过滤器名称的 Junos OS 操作模式命令时，可以使用过滤器列表的接口特定名称。

当匹配的术语包括终止或下一术语操作时，过滤器列表如何评估数据包

设备根据列表中的过滤器按顺序评估数据包，从列表中的第一个过滤器开始，直到发生终止操作或隐式丢弃数据包。

表 1 描述防火墙过滤器列表如何根据匹配的术语是否指定终止操作和 next term 操作来评估数据包。该 next term 操作既不是终止操作也不是非终止操作，而是 流控制 操作。

表 1：防火墙过滤器列表行为
匹配术语中包含的防火墙过滤器操作		术语说明	数据包过滤行为
终止	下学期	术语说明	数据包过滤行为
是	—	匹配的术语包括终止操作（例如 `discard`），但不包括 `next term` 操作	设备执行终止操作。过滤器中没有后续术语，列表中没有后续过滤器用于评估数据包。
—	是	匹配的术语包括 `next term` 操作，但不包括任何终止操作。	设备执行任何非终止操作，然后设备根据过滤器中的下一个术语或列表中的下一个过滤器评估数据包。注：在 Junos OS 演化版上， `next term` 不能显示为操作的最后一个术语。不支持指定为操作但未配置任何匹配条件的筛选词 `next term` 。
—	—	匹配的术语既不包括操作，也不 `next term` 包括任何终止操作。	设备执行任何非终止操作，然后设备隐式接受数据包。`accept`由于该操作是终止操作，因此不会使用过滤器中的后续术语和列表中的后续过滤器来评估数据包。

有关终止操作的信息，请参见防火墙过滤器终止操作。

注：

不能 next term 使用相同的防火墙过滤器术语使用终止操作配置操作。

当列表包含协议无关过滤器和 IP 防火墙过滤器时，过滤器列表如何评估数据包

在与协议无关的（）防火墙过滤器和特定于协议的family inet （family any 或 family inet6）防火墙过滤器同时关联的单个接口上，与协议无关的防火墙过滤器首先执行。

第一个过滤器的终止操作确定第二个过滤器是否也评估数据包：

如果第一个过滤器通过执行 accept 操作而终止，则第二个过滤器不会评估数据包。
如果第一个过滤器在没有任何与数据包匹配的术语的情况下终止（隐式 discard 操作），则第二个过滤器也会评估数据包。
如果第一个过滤器通过执行显式 discard 操作终止，则第二个过滤器不会评估数据包。

PTX10003路由器不支持过滤器列表中与协议无关的过滤器和其他过滤器的组合。