単純なフィルターの設定に関するガイドライン
シンプルフィルタを設定するためのステートメント階層
単純なフィルターを設定するには、[edit firewall family inet]
階層レベルで simple-filter simple-filter-name
ステートメントを含めます。
[edit] firewall { familyinet
{simple-filter
simple-filter-name { term term-name { from { match-conditions; } then { actions; } } } } }
simple-filter simple-filter-name
ステートメントでサポートされる個々のステートメントについては、このトピックでは別途説明し、シンプルなフィルターの設定と適用の例では説明しています。
シンプル フィルター プロトコル ファミリー
IPv4トラフィック(family inet
)のみをフィルタリングするシンプルフィルターを設定できます。単純なフィルターでは、他のプロトコルファミリーはサポートされていません。
単純なフィルター名
family inet
ステートメントの下には、単純なフィルターを作成したり名前を付けたりするための simple-filter simple-filter-name
ステートメントを含めることができます。フィルター名には、文字、数字、およびハイフン(-)を含めることができ、最大 64 文字まで使用可能です。名前にスペースを含めるには、名前全体を引用符(" ")で囲みます。
単純なフィルター項目
simple-filter simple-filter-name
ステートメントの下には、フィルター用語を作成したり命名するための term term-name
ステートメントを含めることができます。
ファイアウォールフィルターには、少なくとも 1 つの条件を設定する必要があります。
ファイアウォールフィルター内の各用語に固有の名前を指定する必要があります。条件名には、文字、数字、およびハイフン(-)を含めることができ、最大 64 文字まで使用可能です。名前にスペースを含めるには、名前全体を引用符(" ")で囲みます。
ファイアウォールフィルター設定内で用語を指定する順序は重要です。ファイアウォールフィルターの用語は、設定された順序で評価されます。既定では、新しい用語は常に既存のフィルターの最後に追加されます。
insert
設定モード コマンドを使用して、ファイアウォール フィルターの条件の順序を変更することができます。
シンプル フィルターは、next term
アクションをサポート していません。
単純なフィルター一致条件
シンプルフィルター条件は、標準のステートレスファイアウォールフィルターでサポートされている IPv4 一致条件のサブセットのみをサポートします。
標準のステートレス ファイアウォール フィルターとは異なり、単純なフィルターには次の制限が適用されます。
拡張キューイングDPCを搭載したMX シリーズルーターおよびEXシリーズスイッチでは、シンプルフィルターは
forwarding- class
一致条件をサポート していません。シンプルフィルターは、各フィルター条件に対して1つの
source-address
プレフィックスと1つのdestination-address
プレフィックスのみをサポートします。複数のプレフィックスを設定した場合、最後のプレフィックスのみが使用されます。シンプル フィルター は、1 つの条件で複数の送信元アドレスと宛先アドレスをサポートしていません 。複数のアドレスを設定した場合は、最後のアドレスのみが使用されます。
単純フィルターは、
protocol-except
一致条件やexception
キーワードなどの 否定一致条件をサポートしていません。シンプル フィルターは、
source-port
一致条件とdestination-port
一致条件の値の範囲のみをサポートします。たとえば、source-port 400-500
やdestination-port 600-700
を設定できます。シンプル フィルターは、連続してい ないマスク値をサポートしません 。
表 1 に、単純なフィルター一致条件を示します。
一致条件 |
説明 |
---|---|
|
IP 宛先アドレスに一致します。 |
|
TCPまたはUDP宛先ポートフィールド。 この一致条件を設定した場合、ポートで使用されているプロトコルを特定するために、 数値の代わりに、以下のテキストエイリアス(ポート番号も記載されています)のいずれかを指定します。 |
|
パケットの転送クラスに一致します。
転送クラスとルーター内出力キューについては、転送クラスが出力キューにクラスを割り当てる方法についてを参照してください。 |
|
IP プロトコル フィールドです。数値の代わりに、以下のテキストエイリアス(フィールド値も記載されています)のいずれかを指定します。 |
|
IP 送信元アドレスに一致します。 |
|
UDPまたはTCP送信元ポート フィールドに一致します。 この一致条件を設定した場合、ポートで使用されているプロトコルを特定するために、 数値フィールドの代わりに、 |
単純なフィルター終了アクション
シンプル フィルター は、accept
、reject
、discard
などの明示的に構成可能な終了アクションをサポートしていません。シンプル フィルターで設定された条件は、常にパケットを受け入れます。
シンプル フィルターは、next
アクションをサポート していません。
単純なフィルター非終了アクション
シンプル フィルターは、次の非終了アクションのみをサポートします。
forwarding-class (forwarding-class | assured-forwarding |best-effort | expedited-forwarding | network-control)
注:拡張キューイングDPCを搭載したMXシリーズルーターおよびEXシリーズスイッチでは、転送クラスは
from
一致条件としてサポートされません。loss-priority (high | low | medium-high | medium-low)
シンプル フィルターは、パケットで他の機能(カウンターのインクリメント、パケット ヘッダーに関する情報のロギング、パケット データのサンプリング、システム ログ機能を使用したリモート ホストへの情報の送信など)を実行するアクションをサポートしていません。