Firewall Filter in Junos – Paketfilterung direkt im Routing-Pfad verstehen

14.08.2026 · 5 Min. Lesezeit

Einleitung

Wenn Administratoren das Wort „Firewall“ hören, denken die meisten sofort an:

• Perimeter-Firewalls
• Security Appliances
• Stateful Inspection
• Next Generation Firewalls

Im Enterprise-Alltag existiert jedoch eine weitere, oft unterschätzte Form der Zugriffskontrolle:

Firewall Filter in Junos.

Obwohl Firewall Filter deutlich einfacher aufgebaut sind als eine vollwertige Security-Firewall, gehören sie zu den wichtigsten Werkzeugen eines Netzwerkingenieurs.

Sie werden eingesetzt für:

• Zugriffskontrolle
• Management-Schutz
• Traffic-Klassifizierung
• QoS-Markierungen
• Routing-Schutz
• Infrastruktur-Security

Firewall Filter gehören regelmäßig zu den JNCIS-ENT-Prüfungsthemen, weil sie tief mit der Junos-Architektur verknüpft sind.

Wer Routing Policies als „Entscheidungslogik für Routen“ betrachtet, kann Firewall Filter als:

Entscheidungslogik für Pakete

verstehen.

Und genau wie Routing Policies folgen Firewall Filter einer klaren und sehr strukturierten Logik.

Was ist ein Firewall Filter?

Ein Firewall Filter ist eine Regelmenge, die Pakete untersucht und anschließend eine Aktion ausführt.

Vereinfacht:

Paket
  ↓
Filter
  ↓
Aktion

Beispiel:

SSH erlaubt
HTTP erlaubt
Telnet blockiert

Der Router analysiert jedes Paket und entscheidet anhand definierter Kriterien.

Firewall Filter sind keine Security Policies

Dies ist eine wichtige JNCIS-Prüfungsfalle.

Viele Kandidaten verwechseln:

Firewall Filter

mit

SRX Security Policies

Firewall Filter:

• stateless
• paketbasiert
• schnell
• einfach

Security Policies:

• stateful
• sessionbasiert
• komplexer

Für die JNCIS-ENT beschäftigen wir uns ausschließlich mit klassischen Junos Firewall Filtern.

Wo werden Firewall Filter eingesetzt?

Firewall Filter können auf Interfaces angewendet werden.

Beispielsweise:

ge-0/0/0

Dabei kann unterschieden werden zwischen:

input

und

output

Input Filter

Ein Input Filter untersucht Pakete:

Paket
 ↓
Interface
 ↓
Filter
 ↓
Router

Die Prüfung erfolgt beim Empfang.

Output Filter

Ein Output Filter untersucht Pakete:

Router
 ↓
Filter
 ↓
Interface
 ↓
Netzwerk

Die Prüfung erfolgt beim Verlassen des Interfaces.

Warum sind Input Filter meist effizienter?

Stellen wir uns einen Angriff vor:

100.000 Pakete/s

Mit einem Input Filter:

Paket
↓
verwerfen

Das Paket wird früh entfernt.

Der Router spart Ressourcen.

Daher gilt in vielen Designs:

Filtern möglichst nahe an der Quelle.

Die Struktur eines Firewall Filters

Der Aufbau erinnert stark an Routing Policies.

Grundstruktur:

filter {
    term ...
}

Jeder Filter besteht aus:

Terms

Ein Term enthält:

from
then

Dies sollte bereits vertraut wirken.

Das Match-Prinzip

Der Router prüft:

from

Trifft die Bedingung zu?

Dann erfolgt:

then

also die Aktion.

Beispiel

term ALLOW-SSH {

    from {
        protocol tcp;
        destination-port ssh;
    }

    then accept;
}

Bedeutung:

Erlaube SSH-Verbindungen.

Die „from“-Klausel

Hier erfolgt die Paketanalyse.

Typische Kriterien:

• Source Address
• Destination Address
• Protocol
• Port
• ICMP-Typ

Source Address Match

Beispiel:

source-address {
    10.0.0.0/8;
}

Der Filter trifft nur auf Pakete aus diesem Netz zu.

Destination Address Match

Beispiel:

destination-address {
    192.168.10.0/24;
}

Nur Pakete zu diesem Ziel werden berücksichtigt.

Protocol Match

Typische Werte:

tcp
udp
icmp
ospf

Beispiel:

protocol icmp

Matcht ICMP-Verkehr.

Port Match

Besonders häufig in Prüfungsfragen.

Beispiel:

destination-port ssh

entspricht:

22

Weitere Klassiker:

Die „then“-Klausel

Hier wird definiert:

Was soll mit dem Paket passieren?

Die wichtigsten Aktionen:

accept

discard

reject

Accept

then accept

Das Paket darf passieren.

Discard

then discard

Das Paket wird still verworfen.

Der Sender erhält keine Antwort.

Reject

then reject

Das Paket wird verworfen.

Zusätzlich wird eine Fehlermeldung erzeugt.

Typischerweise:

ICMP unreachable

Unterschied zwischen Discard und Reject

Ein beliebtes JNCIS-Thema.

Discard:

Paket verschwindet

Reject:

Paket verschwindet

+
Benachrichtigung

First Match Prinzip

Wie bei Routing Policies gilt:

Erster Treffer gewinnt

Beispiel:

Term 1
Match

↓

Aktion

↓

Ende

Alle nachfolgenden Terms werden ignoriert.

Reihenfolge ist entscheidend

Betrachten wir:

Term 1:
accept all

Term 2:
discard telnet

Was passiert?

Antwort:

Telnet wird erlaubt

Warum?

Term 2 wird nie erreicht.

Dies ist eine klassische Prüfungsfalle.

Implizites Verhalten

Viele Kandidaten übersehen eine wichtige Regel.

Wenn kein Term passt:

implizites discard

Das Paket wird verworfen.

Deshalb enthalten viele produktive Filter explizit:

term ALLOW-REST {
    then accept;
}

oder:

term DENY-ALL {
    then discard;
}

Management Protection

Ein typischer Anwendungsfall.

Administrativer Zugriff nur von:

10.10.10.0/24

erlauben.

SSH:

accept

alle anderen Quellen:

discard

Dadurch wird die Routerverwaltung geschützt.

Infrastruktur-Schutz

Viele Provider schützen ihre Router vor:

• Telnet
• unnötigem ICMP
• unerwünschten Management-Protokollen

Firewall Filter bilden dabei die erste Verteidigungslinie.

Traffic Classification

Firewall Filter dienen nicht nur dem Blockieren.

Sie können auch Pakete markieren.

Beispiel:

Voice Traffic

erkennen.

Danach:

QoS-Klasse setzen

Dies wird später bei CoS/QoS wichtig.

Counter

Ein sehr hilfreiches Feature.

Beispiel:

then {
    count SSH-HITS;
    accept;
}

Der Router zählt passende Pakete.

Ideal für:

• Troubleshooting
• Monitoring
• Validierung

Logging

Ebenfalls häufig genutzt.

Beispiel:

then {
    log;
    discard;
}

Der Treffer wird protokolliert.

Praxisbeispiel

Ziel:

• SSH erlauben
• OSPF erlauben
• alles andere blockieren

Logik:

Term 1
SSH → accept

Term 2
OSPF → accept

Term 3
Alles → discard

Dieses Muster findet sich in zahllosen Enterprise-Netzen.

Wichtige Junos-Kommandos

Filter anzeigen:

show configuration firewall

Interface-Zuordnung:

show configuration interfaces

Counter anzeigen:

show firewall

Detaillierte Statistik:

show firewall filter

Interfaces prüfen:

show interfaces terse

Typische JNCIS-ENT Prüfungsfallen

Falle 1

Firewall Filter mit Security Policies verwechseln.

Falle 2

Reject und Discard verwechseln.

Falle 3

First Match ignorieren.

Falle 4

Term-Reihenfolge falsch interpretieren.

Falle 5

Vergessen, dass viele Filter implizit verwerfen.

Falle 6

Input und Output Filter vertauschen.

Praxisbezug

Firewall Filter gehören zu den meistgenutzten Werkzeugen in Junos.

Sie werden eingesetzt für:

• Router-Härtung
• Infrastruktur-Schutz
• QoS-Klassifizierung
• Management-Zugriffe
• Traffic-Analyse

Auch in Umgebungen mit dedizierten Firewalls bleiben Firewall Filter ein wichtiger Bestandteil der Netzwerksicherheit.

Deshalb tauchen sie regelmäßig in Enterprise-Zertifizierungen auf.

Fazit

Firewall Filter ermöglichen die paketbasierte Kontrolle des Netzwerkverkehrs direkt auf dem Router.

Sie arbeiten stateless, effizient und folgen einem klaren Regelwerk aus:

• Terms
• Match-Kriterien
• Aktionen

Für die JNCIS-ENT solltest du insbesondere verstehen:

• den Aufbau eines Filters,
• die Funktion von Terms,
• das First-Match-Prinzip,
• den Unterschied zwischen Accept, Discard und Reject,
• sowie die Rolle von Input- und Output-Filtern.

Diese Grundlagen bilden die Basis für viele Security- und Troubleshooting-Fragen in der Prüfung.

JNCIS-ENT Prüfungsstrategie

Wenn du einen Firewall Filter in einer Prüfungsfrage analysierst:

1. Lies die Terms von oben nach unten.
2. Suche den ersten Match.
3. Führe die Aktion aus.
4. Stoppe die Verarbeitung.
5. Prüfe, ob ein impliziter Discard greift.

Mit dieser Methode lassen sich die meisten Filter-Fragen zuverlässig lösen.