Diferenças de firewall e policiamento entre roteadores de transporte de pacotes da Série PTX e roteadores matrix da Série T
Este tópico fornece uma lista de recursos de firewall e política disponíveis em roteadores de transporte de pacotes PTX e os compara com recursos de firewall e policiamento em roteadores da Série T.
Filtros de firewall
O software de firewall e policiamento Junos OS nos roteadores de transporte de pacotes da Série PTX oferece suporte a filtros IPv4, filtros IPv6, filtros MPLS, filtros CCC, policiamento de interface, policiamento LSP, filtragem MAC, policiamento ARP, policiamento L2 e outros recursos. Exceções são anotadas abaixo.
Os roteadores de transporte de pacotes da Série PTX não suportam:
Filtros de tabela de encaminhamento de saída
Filtros de tabela de encaminhamento para MPLS/CCC
VPLS familiares
Os roteadores de transporte de pacotes da Série PTX não oferecem suporte a filtros de firewall aninhados. A declaração no nível de hierarquia está desabilitada.
filter[edit firewall family family-name filter filter-name term term-nameComo nenhum PICs de serviço está presente nos roteadores de transporte de pacotes da Série PTX, os filtros de serviço não são suportados tanto para tráfego IPv4 quanto IPv6. A declaração no nível hierárquica está desabilitada.
service-filter[edit firewall family (inet | inet6)]Os roteadores de transporte de pacotes da Série PTX excluem filtros simples. Esses filtros são suportados apenas em enfileiramento inteligente Gigabit Ethernet (IQ2) e interfaces aprimoradas de concentrador de portas densas (EQ DPC). A declaração no nível hierárquica está desabilitada.
simple-filter[edit firewall family inet)]A filtragem de interface física não é suportada. A declaração no nível hierárquica está desabilitada.
physical-interface-filter[edit firewall family family-name filter filter-name]O recurso de ação de prefixo não é suportado em roteadores de transporte de pacotes da Série PTX. A declaração no nível hierárquica está desabilitada.
prefix-action[edit firewall family inet]Nos roteadores da Série T, você pode coletar uma variedade de informações sobre o tráfego que passa pelo dispositivo configurando um ou mais perfis contábeis que especificam algumas características comuns dos dados. Os roteadores de transporte de pacotes da Série PTX não oferecem suporte a configurações contábeis para filtros de firewall. A declaração no nível hierárquica está desabilitada.
accounting-profile[edit firewall family family-name filter filter-name]A ação não é suportada na interface de loopback ().
rejectlo0Se você aplicar um filtro na interface e o filtro incluir uma ação, uma mensagem de erro será exibida.lo0rejectOs roteadores de transporte de pacotes da Série PTX não oferecem suporte a condições agregadas de correspondência de interface lógica ethernet. No entanto, a correspondência da interface de enlace infantil é suportada.
Os roteadores de transporte de pacotes da Série PTX contam se dois termos diferentes em um filtro tiverem a mesma condição de correspondência, mas eles têm contagens diferentes. Os roteadores da Série T exibem apenas uma contagem.
Os roteadores de transporte de pacotes da Série PTX não têm instâncias de policiamento separadas quando um filtro está vinculado a várias interfaces. Use a declaração de configuração para criar a configuração.
interface-specificNos roteadores de transporte de pacotes da Série PTX, quando uma interface de entrada tiver encapsulamento de CCC, os pacotes que chegam pela interface CCC de entrada não serão processados pelos filtros de saída.
Para encapsulamento de CCC, os roteadores de transporte de pacotes da Série PTX aplicação de 8 bytes extras para filtragem de Camada 2 de saída. Os roteadores da Série T não. Portanto, os contadores de saída nos roteadores de transporte de pacotes da Série PTX mostram um bytes extra de oito bytes para cada pacote, o que afeta a precisão do policiador.
Nos roteadores de transporte de pacotes da Série PTX, a saída para o comando CLI inclui os pacotes descartados pela filtragem de DMAC e SMAC.
show pfe statistics trafficNos roteadores da Série T, a saída de comando não inclui esses pacotes descartados porque os filtros MAC são implementados no PIC e não no FPC.O pacote de último fragmento que passa por um firewall PTX não pode ser compatível com a condição de correspondência.
is-fragmentEsse recurso é compatível com roteadores da Série T.Uma possível solução alternativa em roteadores de transporte de pacotes da Série PTX é configurar dois termos separados com as mesmas ações: um termo contém uma correspondência e o outro termo contém uma correspondência para .
is-fragmentfragment-offset -except 0Nos roteadores de transporte de pacotes da Série PTX, os quadros de pausa MAC são gerados quando os descartes de pacotes excedem 100 Mbps. Isso ocorre apenas para tamanhos de quadros com menos de 105 bytes.
Roteadores de políticas de tráfego
O software de firewall e policiamento Junos OS nos roteadores de transporte de pacotes da Série PTX oferece suporte a filtros IPv4, filtros IPv6, filtros MPLS, filtros CCC, policiamento de interface, policiamento LSP, filtragem MAC, policiamento ARP, policiamento L2 e outros recursos. Exceções são anotadas abaixo.
Os roteadores de transporte de pacotes da Série PTX oferecem suporte ao policiamento ARP. Os roteadores da Série T não.
Os roteadores de transporte de pacotes da Série PTX não oferecem suporte ao policiamento LSP.
Os roteadores de transporte de pacotes da Série PTX não suportam a declaração de configuração. .
hierarchical-policerOs roteadores de transporte de pacotes da Série PTX não suportam a declaração de configuração.
interface-setEssa declaração agrupa várias interfaces em um único conjunto de interfaces nomeado.Os roteadores de transporte de pacotes da Série PTX não suportam os seguintes tipos de policiais para policiais normais e policiais de três cores:
logical-bandwidth-policer— O policiador usa largura de banda de interface lógica.physical-interface-policer— O policial é um policiador de interface física.shared-bandwidth-policer— Compartilhe a largura de banda do policial entre os links do pacote.
Quando uma ação do policial e uma classe de encaminhamento, as ações de prioridade de perda são configuradas dentro da mesma regra (uma classificação multicampo), os roteadores de transporte de pacotes da Série PTX funcionam de forma diferente dos roteadores da Série T. Como mostrado abaixo, você pode configurar duas regras no filtro para fazer com que o filtro PTX se comporte da mesma forma que o filtro da Série T:
Configuração da Série PTX:
rule-1 { match: {x, y, z} action: {forwarding-class, loss-prio, next} } rule-2 { match: {x, y, z} action: {policer} }Configuração da Série T:
rule-1 { match: {x, y, z} action: {forwarding-class, loss-prio, policer} }