フィルターの計画についてファイアウォールフィルターを作成してインターフェイスに適用する前に、ファイアウォールフィルターの目的と、その一致条件とアクションを使用して目標を達成する方法を決定します。一致条件に合わせてパケットがどのように一致するか、ファイアウォールフィルターのデフォルトと設定されたアクション、ファイアウォールフィルターの適切な配置を理解する必要があります。ポート、VLAN、またはルーターインターフェイスごとに、方向ごとに設定および適用できるファイアウォールフィルターは1つだけです。フィルター条件の数に適用されます。EX3300スイッチでは、フィルターあたりの条件数が1436を超えることはできません。EX3200およびEX4200スイッチでは、フィルターあたりの条件数が7042を超えることはできません。EX2300スイッチでは、ポート、VLAN、およびレイヤー3インターフェイスに設定されたファイアウォールフィルターのイングレスおよびエグレストラフィックに対して、以下の最大条件数がサポートされています。512EX3400スイッチでは、ポート、VLAN、およびレイヤー3インターフェイスに設定されたファイアウォールフィルターのイングレスおよびエグレストラフィックに対して、以下の最大条件数がサポートされています。1024EX4300スイッチでは、ポート、VLAN、およびレイヤー3インターフェイスに設定されたファイアウォールファイラーのイングレスおよびエグレストラフィックに対して、以下の最大条件がサポートされています。512注:最大条件数を設定できるのは、スイッチで1種類のファイアウォールフィルター(ポート、VLAN、またはルーター(レイヤー3)ファイアウォールフィルター)を設定した場合、およびスイッチ内の任意のインターフェイスでストーム制御が有効になっていない場合のみです。EX4500およびEX4550スイッチでは、フィルターあたりの条件数は1200を超えることはできません。EX6200スイッチでは、フィルターあたりの条件数が1400を超えることはできません。EX8200スイッチでは、フィルターあたりの条件数が32,768を超えることはできません。フィルターに含める条件(ルール)の数を控えめにしてください。フィルターを適用すると、これらのフィルターのルールのテストとトラブルシューティングが困難になる場合があります。ファイアウォールフィルターを構成して適用する前に、これらのファイアウォールフィルターごとに次の質問に回答してください。ファイアウォールフィルターの目的は何ですか?例えば、ファイアウォールフィルターを使用して、送信元と宛先のMACアドレス、特定のプロトコル、特定のデータレートへのトラフィックを制限したり、サービス拒否(DoS)攻撃を防ぐことができます。フィールドを決定します。可能なフィールドは以下のとおりです。インターフェイスを決定します。一致した場合に実行する適切なアクションは何ですか。インスタンスに転送します。追加のアクション修飾子が必要になる可能性がありますか。パケットが一致条件に一致した場合、追加のアクションが必要かどうかを判断します。パケットをカウント、分析、またはポリシー処理するアクション修飾子を指定できます。どのインターフェイスでファイアウォールフィルターを適用すべきか?次の基本的なガイドラインから始めます。ポートに入るすべてのパケットをフィルタリングにさらす必要がある場合は、ポートファイアウォールフィルターを使用します。フィルターを使用します。ルーティングされるすべてのパケットにフィルタリングが必要な場合は、ルーターファイアウォールフィルターを使用します。ファイアウォールフィルターを適用するインターフェイスを選択する前に、その配置が他のインターフェイスへのトラフィックフローにどのように影響するかを理解してください。フィルターを適用します。フィルターを適用します。送信元デバイスの近くに適用されすぎると、送信元IPアドレスでのみフィルターを適用するファイアウォールフィルターが、その送信元デバイスがネットワーク上で利用可能な他のサービスにアクセスできなくなる可能性があります。エンジンからローカルで生成された制御パケットのフローに影響を与えません。フィルターはどの方向に適用すべきでしょうか。スイッチのポートにファイアウォールフィルターを適用して、ポートに入るパケットをフィルタリングできます。インターフェイスに出入りするパケットをフィルタリングできます。通常、インターフェイスに入るトラフィックに対して、インターフェイスから出るトラフィックとは異なるアクションセットを設定します。デバイスにルーティングする。