Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

协议家族和接口地址属性

本节讨论如何配置协议家族和接口地址属性。

配置协议家族

协议家族是接口配置中的一组逻辑属性。协议家族包括构成协议套件的所有协议。要在特定套件中使用协议,必须将整个协议家族配置为某个接口的逻辑属性。

协议系列包括以下通用协议套件:

  • Inet — 支持 IP 协议流量,包括 OSPF、BGP 和互联网控制消息协议 (ICMP)。

  • Inet6 — 支持 IPv6 协议流量,包括适用于 IPv6 (RIPng)、IS-IS 和 BGP 的 RIP。

  • ISO — 支持 IS-IS 流量。

  • MPLS — 支持 MPLS。

除了通用协议套件外,Junos OS 协议家族有时还使用以下协议套件。有关更多信息,请参阅 系列

要为逻辑接口配置协议家族,请包括语句 family ,指定所选系列。

要配置协议系列,请完成层次结构下 [edit interfaces interface-name unit logical-unit-number family family] 的最低配置任务。

表 1: 协议家族配置任务

任务

在此处查找详细信息

配置 MTU。

配置媒体 MTU

配置单元和系列,以便接口仅传输和接收组播流量。

将隧道限制为组播流量

禁用路由器发送重定向消息。

协议重定向消息

为接口分配地址。

配置接口地址

分配接口地址

在配置协议家族时指定地址,即可为接口分配地址。inet对于或inet6系列,配置接口 IP 地址。对于该 iso 系列,为环路接口配置一个或多个地址。ccc对于 、 ethernet-switchingtccmplstnp、 和vpls系列,您永远不会配置地址。

注:

点对点协议 (PPP) 地址来自具有主要属性的环路接口地址。将环路接口配置为未编号接口时,它会从供方接口获取主地址。

要为接口分配地址,请执行以下步骤:

  1. 在层次结构级别配置接口地址 [edit interfaces interface-name unit logical-unit-number family family]
    • 要配置路由器和交换机上的 IP 版本 4 (IPv4) 地址,请在 interface interface-name unit number family inet address a.b.c.d/nn 层次结构级别使用语句 [edit interfaces]

      您还可以在同一接口上分配多个 IPv4 地址。

      注:
      • 瞻博网络路由器和交换机在点对点以太网配置中使用时支持 /31 目标前缀;但是,许多其他设备(如主机、中枢、路由器或交换机)不支持这些前缀。在配置之前,您必须确定对等系统是否也支持 /31 目标前缀。

      • 您可以在多个物理接口上配置相同的 IPv4 地址。将同一 IPv4 地址分配给多个物理接口时,这些接口的操作行为会有所不同,具体取决于它们是隐式还是显式的点对点。

      • 默认情况下,所有接口均假定为点对点 (PPP) 接口。对于除聚合以太网、快速以太网和千兆以太网以外的所有接口,您可以将接口显式配置为点对点连接。

      • 如果您在同一路由实例中的多个接口上配置相同的 IP 地址,Junos OS 会将配置随机应用于其中一个接口。其他接口将保留没有 IP 地址。

    • 要配置路由器和交换机上的 IP 版本 6 (IPv6) 地址,请在 interface interface-name unit number family inet6 address aaaa:bbbb:...:zzzz/nn 层次结构级别使用语句 [edit interfaces]

      注:
      • 您可以使用 16 位值冒号分隔列表以十六进制符号表示 IPv6 地址。双冒号 (::) 表示设置为 0 的所有位。

      • 您必须手动配置路由器或交换机通告,并播发自动配置的默认前缀,以便在特定接口上工作。

  2. [可选]设置网络或子网上的广播地址。
    注:

    广播地址的主机部分必须为所有 1 或所有零。您不能指定地址 0.0.0.0255.255.255.255

  3. [可选] 为加密、PPP 封装接口和隧道接口指定连接的远程地址。

配置默认、主要地址和首选地址和接口

以下部分介绍如何配置默认、主地址和首选地址和接口。

默认、主要地址和首选地址和接口

路由器有一个默认地址和一个主接口;接口有主要地址和首选地址。

路由器 的默认地址 用作未编号接口上的源地址。路由协议进程尝试选择默认地址作为路由器 ID,由协议使用,包括 OSPF 和内部 BGP (IBGP)。

路由器 的主接口 是当未指定接口名称且目标地址未暗示特定传出接口时,数据包会传出。

默认情况下,接口 的主地址 用作本地来源并发送出接口的广播和组播数据包的本地地址。接口 的首选地址 是默认本地地址,用于将本地路由器源到子网上目标的数据包。

注:

您可以使用配置语句将接口的 IP 显式标记为主要 IP 和首选 IP。如果仅为某个接口分配了一个 IP,则默认情况下该地址将被视为主要地址和首选地址。分配多个 IP 地址(其中没有一个地址被显式配置为主地址)时,数字上最低的 IP 地址用作该接口上的主地址。

路由器的默认地址按以下顺序选择:

  1. 环路接口 lo0 上未 127.0.0.1 使用的主地址。

  2. 使用主接口上的主地址。

  3. 当存在多个具有“主要”地址和“首选”地址的接口时,将选择具有最低接口索引的接口,并使用主地址。如果接口的 IP 地址均未用 primary 语句显式标记,则该接口上数字上最低的地址将用作系统默认地址。

  4. 可以选择具有 IP 地址的任何剩余接口。这包括路由器的管理或内部接口。因此,建议分配环路地址,或显式配置主接口,以控制默认地址选择。

配置路由器的主接口

路由器 的主接口 具有以下特征:

  • 键入 ping 255.255.255.255.255 等命令(即不包含接口名称(没有接口 type-0/0/0.0 限定符)且目标地址不暗示任何特定传出接口的命令时,数据包会退出。

  • 这是在路由器本地运行的组播应用程序(如会话通知协议 (SAP) )默认加入组的接口。

  • 如果环回接口 lo0 上没有配置非 127 地址,则从中获取未编号接口的数据包的默认本地地址。

默认情况下,具有最低索引地址的组播接口被选为主接口。

如果没有此类接口,则选择索引地址最低的点对点接口。否则,可以选择任何有地址的接口。实际上,这意味着,在路由器上,fxp0em0接口默认处于选中状态。

要将其他接口配置为主接口,请添加以下 primary 语句:

您可以在以下层级包含此语句:

  • [edit interfaces interface-name unit logical-unit-number family family]

  • [edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family family]

配置接口的主地址

接口上的 主地址 是默认情况下用作本地地址的广播和组播数据包的本地地址,这些数据包来自本地并发送出接口。例如,命令发送 ping interface so-0/0/0.0 255.255.255.255 的数据包中的本地地址就是接口 so-0/0/0.0上的主地址。当环路接口上配置了多个非 127 地址时,主地址标志也可用于选择用于发送未编号接口的数据包的本地地址 lo0。默认情况下,接口上的主地址被选为接口上配置的数字最低本地地址。

要设置不同的主地址,请添加 primary 以下语句:

您可以在以下层级包含此语句:

  • [edit interfaces interface-name unit logical-unit-number family family address address]

  • [edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family family address address]

配置接口的首选地址

接口上 的首选地址 是默认本地地址,用于将本地路由器源到子网上目标的数据包。默认情况下,选择数字最低的本地地址。例如,如果地址 172.16.1.1/12172.16.1.2/12172.16.1.3/12配置在同一ping 172.16.1.5接口上,则当您发出命令时,子网上的首选地址(默认情况下172.16.1.1)将用作本地地址。

要为子网设置不同的首选地址,请添加语句 preferred

您可以在以下层级包含此语句:

  • [edit interfaces interface-name unit logical-unit-number family family address address]

  • [edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family family address address]

相同 IPv4 地址的接口的操作行为

您可以在多个物理接口上配置相同的 IP 版本 4 (IPv4) 地址。将同一 IPv4 地址分配给多个物理接口时,这些接口的操作行为会有所不同,具体取决于它们是否是(隐式)点对点的。

注:

对于所有接口(聚合以太网、快速以太网和千兆以太网除外),您可以显式将接口配置为点对点连接。

如果您在同一路由实例中的多个接口上配置相同的 IP 地址,则操作系统会随机对其中一个接口应用配置。其他接口将保留没有 IP 地址。

以下示例显示了将相同的 IPv4 地址分配给隐式和显式点对点接口的示例配置。这些示例还显示与 show interfaces terse 隐式和显式点对点接口对应的命令输出,以显示其操作状态。

  1. 在两个非 P2P 接口上配置相同的 IPv4 地址:

    对于上述配置,下面显示的示例输出显示,仅 ge-0/1/0.0 分配了相同的 IPv4 地址 203.0.113.1/24 ,其 link 状态为 up,而 ge-3/0/1.0 未分配 IPv4 地址,尽管其 link 状态已启动,这意味着,只有当它获得除 203.0.113.1/24其他唯一的 IPv4 地址时,它才会正常运行。

    show interfaces terse

  2. 在(隐式)P2P 接口上配置相同的 IPv4 地址:

    以下示例输出(适用于上述配置)显示,两者均so-0/0/0.0so-0/0/3.0分配了相同的 IPv4 地址203.0.113.1/24,并且其link状态已关闭。接口关闭是由于链路问题,而不是因为将相同的 IPv4 地址分配给了两个接口。预计在任何给定时间(在 Junos OS 设备范围以外的冗余方案之后)启动的接口不会超过一个,因为两个启动都可能会造成不利影响。

    show interfaces terse

  3. 在非 P2P 接口的多个实例中配置相同的 IPv4 地址:

    在非 P2P 接口上,您不能在不同接口的不同单元上配置相同的本地地址。如果这样做,将引发提交错误,配置将失败。

  4. 在同一 P2P 接口的多个实例中配置相同的 IPv4 地址:

    以下示例输出(适用于上述配置)显示,当您尝试为不同接口的多个实例配置同一 IPv4 地址时,只会在 P2P 接口上成功配置一个接口。

    show interfaces terse

为采用 PPP 封装的接口配置 IPCP 选项

对于具有 PPP 封装的接口,您可以配置 IPCP 以协商 IP 地址分配并传递网络相关信息,如 RFC 1877、名称 服务器 PPP Internet 协议控制协议扩展中的定义,如 Windows 名称服务 (WINS) 和域名系统 (DNS) 服务器。

启用 PPP 接口时,您可以配置 IP 地址,使接口能够协商远程端的 IP 地址分配,或者允许接口不编号。您还可以为远程端分配目标配置文件。目标配置文件包括 PPP 属性,例如主要和辅助 DNS 以及 NetBIOS 名称服务器 (NBNS)。以下部分介绍了这些选项:

注:

Junos OS 不会从远程端请求名称服务器;但是,如果提出请求,软件会向远程端发送名称服务器。

开始之前

必须先在接口上配置 PPP 封装,然后才能配置 IPCP 选项。逻辑接口支持以下 PPP 封装类型:

  • atm-mlppp-llc

  • atm-ppp-llc

  • atm-ppp-vc-mux

  • multilink-ppp

有关 PPP 封装的更多信息,请参阅 在逻辑接口上配置接口封装配置 ATM 接口封装

  • 要为接口配置 IP 地址,请在 address 配置中包含语句。有关更多信息,请参阅 配置接口地址

    如果在配置中包含 address 语句,则不能在 negotiate-address 配置中包含或 unnumbered-address 语句。

    address 接口配置中包含语句时,可以将 PPP 属性分配给远程端。

    注:

    MLFR 和 MFR 封装中不允许协商 IP 地址的选项。

  • 要使接口能够从远程端获取 IP 地址,请将语句negotiate-address[edit interfaces interface-name unit logical-unit-number family inet]包含在层次结构级别。

    注:

    如果在配置中包含 negotiate-address 语句,则不能在 address 配置中包含或 unnumbered-address 语句。

  • 要配置未编号的接口,请在 unnumbered-address 配置中包含 and destination 语句。

    注:
    • unnumbered-address 语句允许从指定接口派生本地地址。接口名称必须包含逻辑单元号,并且必须具有配置的地址(请参阅 配置接口地址)。使用语句指定远程接口的 destination IP 地址。

    • 如果在配置中包含 unnumbered-address 语句,则不能在 address 接口配置中包含或 negotiate-address 语句。

  • 要向远程端分配 PPP 属性,请包括以下 destination-profile 语句:

    注:
    • 在接口配置中包含或unnumbered-address语句后address,您可以将 PPP 属性分配给远程端。

    • 您可以在层次结构级别定义配置文件 [edit access group-profile name ppp] 。有关更多信息,请参阅 为 L2TP 和 PPP 配置组配置文件

配置未编号的接口:概述

Overview of Unnumbered Interfaces

需要保留 IP 地址时,可以配置未编号的接口。通过设置不编号的接口,可以在接口上进行 IP 处理,而无需为接口分配显式 IP 地址。对于不主要关注保留地址的 IP 版本 6 (IPv6),您可以将未编号的接口配置为在多个接口之间共享同一子网。

IPv6 未编号的接口仅在以太网接口上受支持。用于配置未编号接口的语句取决于您配置的接口类型:点到点接口或以太网接口:

配置未编号的点对点接口

要配置未编号的点对点接口:

  1. 在配置模式下,转到 [edit interfaces interface-name unit logical-unit-number] 层次结构级别。
  2. 配置协议家族,但不包括语句 address
注:
  • 对于采用点对点协议 (PPP) 封装的接口,可以通过在 unnumbered-interface 配置中包含语句来配置未编号的接口。有关更多信息,请参阅 为使用 PPP 封装的接口配置 IPCP 选项

  • 配置无编号接口时,必须确保在路由器的接口上配置了源地址。此地址为默认地址。为此,我们建议将地址分配给环路接口 (lo0),如 环回接口配置中所述。

    在接口上 lo0 配置可路由地址时,该地址始终为默认地址。这是理想的选择,因为环路接口独立于任何物理接口,因此始终可访问。

配置未编号的以太网或多路复用接口

要配置未编号的以太网或多路分离 (demux) 接口:

  1. 在配置模式下,转到 [edit interfaces interface-name unit logical-unit-number family family-name] 层次结构级别。
  2. 要配置未编号的以太网或多路复用接口,请在 unnumbered-address 配置中包含语句。
  3. (可选)要将未编号的以太网接口指定为已配置静态路由的下一跃点接口,请在 qualified-next-hop 层次结构级别添加语句 [edit routing-options static route destination-prefix] 。借助此功能,您可以为下一跃点上的静态路由指定独立的优先级和指标。
注:
  • unnumbered-address 语句当前仅支持为 IP 版本 4 (IPv4) 地址系列配置未编号多路复用接口。您可以为 IPv4 和 IPv6 地址族配置未编号的以太网接口。

  • 您配置为对另一个接口中分配的 IP 地址进行 borrows 无编号,因此称为 borrower interface。借用 IP 地址的接口称为 donor interface。在语句中 unnumbered-addressinterface-name 指定捐赠方接口。对于未编号的以太网接口,捐赠方接口可以是以太网、ATM、SONET 或环路接口,其具有逻辑单元号和配置的 IP 地址,本身不是无编号的接口。对于未编号的 IP 多路分离接口,捐赠方接口可以是具有逻辑单元号和配置的 IP 地址的以太网或环路接口,本身不是未编号的接口。此外,对于以太网或多路分离,捐赠方接口和借方接口必须是同一路由实例和同一逻辑系统的成员。

  • 配置未编号的以太网或多路复用接口时,捐赠方接口的 IP 地址将成为未编号接口生成的数据包中的源地址。

  • 您可以配置指向未编号以太网或多路复用接口的主机路由。

    有关主机路由的信息,请参阅 MPLS 应用程序用户指南

将辅助地址配置为未编号的以太网或多路复用接口的首选源地址

将具有多个辅助 IP 地址的环路接口配置为未编号以太网或多路分离 (demux) 接口的供方接口时,您可以选择将环路接口中的任何一个辅助地址指定为未编号的以太网或多路分离接口的首选源地址。此功能允许您在网络中的某些未编号的以太网或多路复用接口上使用除主 IP 地址以外的 IP 地址。

要将环路捐赠方接口上的辅助地址配置为未编号的以太网或多路分用接口的首选源地址:

  1. 在配置模式下,转到 [edit interfaces interface-name unit logical-unit-number family family-name] 层次结构级别。
  2. preferred-source-address 语句中包含 unnumbered-address 选项:
注:

在未编号的以太网或多路分用接口上配置首选源地址时,需要考虑以下事项:

  • unnumbered-address 语句当前仅支持用于多路复用接口的 IP 版本 4 (IPv4) 地址系列以及以太网接口的 IPv4 和 IP 版本 6 (IPv6) 地址族的首选源地址配置。

  • 如果未指定首选源地址,路由器将使用捐赠方接口的默认主 IP 地址。

  • 当捐赠方环路接口上的地址用作未编号的以太网或多路分用接口的首选源地址时,您不能删除该地址。

未编号以太网接口配置的限制

配置未编号的以太网接口时,以下要求和限制适用:

  • unnumbered-address 语句当前支持配置 IP 版本 4 (IPv4) 和 IP 版本 6 (IPv6) 地址族的未编号以太网接口。

  • 您只能将 IP 地址分配给尚未配置为无编号接口的以太网接口。

  • 您必须在捐赠方接口上为未编号的以太网接口配置一个或多个 IP 地址。

  • 您无法将未编号以太网接口的捐赠者接口配置为未编号。

  • 未编号的以太网接口不支持以下 address 语句选项的配置:arpbroadcastprimarypreferredvrrp-group

    有关这些语句选项的信息,请参阅 配置接口地址

  • 只能在直接面对主机且没有下游 PIM 邻接方且未编号的以太网接口上运行互联网组管理协议 (IGMP) 和物理接口模块 (PIM)。您不能在作为 PIM 拓扑中上游接口的未编号以太网接口上运行 IGMP 或 PIM。

  • 您可以通过配置为点对点 (P2P) 连接的未编号以太网接口运行 OSPF。但是,您不能在未配置为 P2P 的未编号以太网接口上运行 OSPF 或 IS-IS。

    对于使用内部网关协议 (IGP) 的链路状态分配,请确保在捐赠方接口上为未编号的接口配置启用 OSPF,以便可访问捐赠方 IP 地址来建立 OSPF 会话。

注:

如果在同一路由实例中的多个接口上配置同一地址,则操作系统只会使用第一个配置。在这种情况下,剩余地址配置将被忽略,可以离开没有地址的接口。未分配地址的接口不能用作未编号以太网接口的供体接口。

例如,在以下配置中,将忽略接口 et-0/0/1.0 的地址配置:

有关在多个接口上配置同一地址的详细信息,请参阅 配置接口地址

示例:显示未编号以太网接口配置

目的

要显示层次结构级别上 [edit interfaces interface-name unit logical-unit-number] 配置的未编号接口:

  • 未编号接口 — ge-1/0/0

  • 捐赠者接口 —ge-0/0/0

  • 捐赠者接口地址 —4.4.4.1/24

未编号的接口从捐赠者接口“借用”一个 IP 地址。

行动

  • show[edit]层次结构级别运行命令。

含义

示例配置在 M 和 T 系列路由器上工作正常。对于 MX 系列路由器上的未编号接口,您还必须在未编号的以太网接口上配置静态路由,在层次结构级别包含 qualified-next-hop 语句 [edit routing-options static route destination-prefix] ,以便将未编号的以太网接口指定为已配置静态路由的下一跃点接口。

示例:显示未编号以太网接口配置的首选源地址

目的

要显示层级未编号接口 [edit interfaces interface-name unit logical-unit-number family inet] 的首选源地址配置:

  • 未编号接口 — ge-4/0/0

  • 捐赠者接口 —lo0

  • 捐赠者接口主地址 — 2.2.2.1/32

  • 捐赠者接口辅助地址 — 3.3.3.1/32

行动

  • show[edit]层次结构级别运行命令。

含义

环路接口 lo0 是未编号的以太网接口“借用”IP 地址的供体接口 ge-4/0/0

此示例显示了环路接口的辅助地址之一 3.3.3.1,作为未编号的以太网接口的首选源地址。

示例:将未编号以太网接口的配置显示为静态路由的下一跃点

目的

要显示配置为层级静态路由 [edit interfaces interface-name unit logical-unit-number family inet] 的下一跃点的未编号接口:

  • 未编号的接口 — ge-0/0/0

  • 捐赠者接口 —lo0

  • 捐赠者接口主地址 — 5.5.5.1/32

  • 捐赠者接口辅助地址 — 6.6.6.1/32

  • 静态路由 — 7.7.7.1/32

行动

  • show[edit]层次结构级别运行命令。

  • 以下配置使内核能够安装地址为 7.7.7.1/32 的静态路由,并通过未编号的接口 ge-0/0/0.0 进行下一跃点。

含义

在此示例中, ge-0/0/0 是未编号的接口。环路接口 lo0是“借用”IP 地址的供体接口 ge-0/0/0 。此示例还将静态路由 7.7.7.1/32 配置为通过未编号的接口 ge-0/0/0.0包含下一跃点。

协议 MTU

概述

默认协议 MTU 取决于您的设备和接口类型。初始配置接口时,将自动计算协议 MTU。如果随后更改介质 MTU,现有地址族上的协议 MTU 会自动更改。

如果减小了介质 MTU 大小,但接口上已经配置了一个或多个地址族并处于活动状态,则还必须减小协议 MTU 大小。如果增大协议 MTU 的大小,则必须确保介质 MTU 大小等于或大于协议 MTU 和封装开销的总和。

如果未配置 MPLS MTU, Junos OS 将从物理接口 MTU 派生 MPLS MTU。从此值中,软件将减去可能在数据包转发引擎中推送的最大标签数量特定于封装的开销和空间。该软件提供三个标签,每个四个字节,总共 12 个字节。

换言之,用于确定 MPLS MTU 的公式如下所示:

您可以在除虚拟隧道 (VT) 接口之外的所有隧道接口上配置协议 MTU。 Junos OS 默认情况下,VT 接口的 MTU 大小不受限制。

配置协议 MTU

注:

更改介质 MTU 或协议 MTU 将导致删除并再次添加接口。这会导致链路翻动。

要配置协议 MTU:

  1. 在配置模式下,转到 [edit interfaces interface-name unit logical-unit-number] 层次结构级别。
  2. mtu包括您希望使用非默认 MTU 值配置的每个家族的语句。

    如果为任何系列配置协议 MTU,则配置的值将应用于在逻辑接口上配置的所有家族。

    注:

    如果要为两个 inet 系列和 inet6 同一逻辑接口上的家族配置协议 MTU,则必须为这两个系列配置相同的值。建议不要为 inet 同一逻辑接口上配置的不同 MTU 大小值和 inet6 系列。

  3. (可选)在某些设备上,您还可以在逻辑系统层次结构中配置协议 MTU:

禁用删除地址和控制字节

对于点对点协议 (PPP) CCC 封装的接口,在数据包封装到隧道中之前,地址和控制字节将被默认移除。

但是,您可以禁用地址和控制字节的移除。

要禁用地址和控制字节的移除,请包括以下 keep-address-and-control 语句:

您可以在以下层级包含此语句:

  • [edit interfaces interface-name unit logical-unit-number family ccc]

  • [edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family ccc]

禁用在接口上传输重定向消息

默认情况下,接口会发送协议重定向消息。要禁用在接口上发送这些消息,请包括以下 no-redirects 语句:

您可以在以下层级包含此语句:

  • [edit interfaces interface-name unit logical-unit-number family family]

  • [edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family family]

要禁用对整个路由器或交换机发送协议重定向消息,请在 no-redirects 层次结构级别包含语句 [edit system]

将过滤器应用于接口

在防火墙过滤器中定义接口组

应用防火墙过滤器时,可将接口定义为 接口组的一部分。该接口上收到的数据包被标记为该组的一部分。然后,您可以使用 match 语句匹配这些数据包 interface-group ,如 路由策略、防火墙过滤器和流量监管器用户指南中所述。

要将接口定义为接口组的一部分,请包括以下 group 语句:

您可以在以下层级包含此语句:

  • [edit interfaces interface-name unit logical-unit-number family family filter]

  • [edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family family filter]

注:

数字 0 不是有效的接口组编号。

输出接口上基于过滤器的转发

如果要根据数据包标头中的模式将端口镜像的数据包分发到多个监控或收集接口,那么在端口镜像出口接口上配置基于过滤器的转发 (FBF) 过滤器会很有帮助。

将 FBF 过滤器安装为输出过滤器时,转发到过滤器的数据包已至少经历了一次路由查找。在出口接口上由 FBF 过滤器对数据包进行分类后,它将重定向到另一个路由表,以便进行其他路由查找。为避免数据包转发引擎内部出现数据包环路,后一个路由表中的路由查找(由 FBF 路由实例指定)的下一跃点必须与已应用于数据包的表中指定的任何下一跃点不同。

如果为 FBF 配置了输入接口,则会对那些标题为不同路由实例的数据包禁用源查找,因为并未设置路由表来处理源查找。

有关 FBF 配置的详细信息,请参阅 路由设备的 Junos OS 路由协议库。有关端口镜像的详细信息,请参阅 路由设备的 Junos OS 服务接口库

将过滤器应用于接口

要对接口应用防火墙过滤器,请包括以下 filter 语句:

要应用单个过滤器,请添加以下 input 语句:

要应用过滤器列表以评估接口上接收的数据包,请添加语句 input-list

一个输入列表中最多可包含 16 个过滤器名称。

要应用过滤器列表以评估接口上传输的数据包,请添加语句 output-list

使用 input-list 语句或 output-list 语句应用过滤器时,将创建一个名称为 <interface-name>.<unit-direction>的新过滤器。此过滤器完全特定于接口。

您可以在以下层次结构级别包括这些语句:

  • [edit interfaces interface-name unit logical-unit-number family family]

  • [edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family family]

在语句中 family ,协议家族可以是 cccinetinet6mplsvpls

在语句中 group ,指定要与过滤器关联的接口组编号。

在语句中 input ,列出接口上收到数据包时要评估的一个防火墙过滤器的名称。

在语句中 input-list ,列出接口上接收数据包时要评估的过滤器名称。最多可包含 16 个过滤器名称。

在语句中 output ,列出当数据包在接口上传输时要评估的防火墙过滤器的名称。

注:

输出过滤器不适用于广播和组播流量,包括 VPLS 流量(带 MPC/MIC 接口的 MX 系列路由器除外),如中所示 将过滤器应用于接口

注:

由于产品限制,PTX10003 路由器不支持在输出接口上应用的 MPLS 系列防火墙过滤器。

注:

在 MX 系列路由器上,您无法将防火墙过滤器应用于层级配置的 [edit firewall filter family ccc] 输出过滤器。您只能将为 family ccc 语句配置的防火墙过滤器应用为输入过滤器。

在语句中 output-list ,列出在接口上传输数据包时要评估的过滤器名称。最多可包含 16 个过滤器名称。

您可以使用一次或多次同一个过滤器。在 M 系列路由器(M320 和 M120 路由器除外)上,如果对多个接口应用防火墙过滤器或监管器,则过滤器或监管器会根据进出这些接口的流量总和执行操作。

在 T 系列、M120 和 M320 路由器上,接口分布在多个数据包转发组件之间。因此,在这些路由器上,如果对多个接口应用防火墙过滤器或监管器,则过滤器或监管器会对进出每个接口的流量流起作用,而不管多个接口上的流量总和如何。

有关了解以太网帧统计信息的更多信息,请参阅 MX 系列第 2 层配置指南

如果将过滤器应用于接口 lo0,它将应用于路由引擎接收或传输的数据包。您不能将 MPLS 过滤器应用于管理接口(fxp0em0)或环路接口 (lo0)。

在层次结构级别应用的 [set interfaces lo0 unit 0 family any filter input] 过滤器未安装在 T4000 Type 5 FPC 上。

有关防火墙过滤器的更多信息,请参阅 路由策略、防火墙过滤器和流量监管器用户指南。有关 MPLS 过滤器的更多信息,请参阅 MPLS 应用程序用户指南

示例:VPLS 流量的输入过滤器

仅限 M 系列和 T 系列路由器,对 VPLS 流量应用输入过滤器。输出过滤器不适用于广播和组播流量,包括 VPLS 流量。

请注意,在具有 MPC/MIC 接口的 MX 系列路由器上,出口路由上的 VPLS 过滤器适用于广播、组播和未知单播流量。

示例:输出接口上基于过滤器的转发

以下示例说明了输出接口上基于过滤器的转发的配置。在此示例中,数据包流遵循以下路径:

  1. 数据包分别到达具有源地址和目标地址10.50.200.110.50.100.1接口fe-1/2/0.0

  2. 路由表中 inet.0 的路由查找指向出口接口 so-0/0/3.0

  3. 在安装时 so-0/0/3.0 安装的输出过滤器会将数据包重定向到路由表 fbf.inet.0

  4. 数据包与表中的fbf.inet.0条目10.50.100.0/25匹配,数据包最终从接口so-2/0/0.0离开路由器。

启用源类和目标类使用

源类和目标类使用概述

对于携带 IP 版本 4 (IPv4)、IP 版本 6 (IPv6)、MPLS 或对等方 AS 计费流量的接口,您可以根据通过网络传输的流量的入口点和出口点维护数据包计数。入口点和出口点由分组为不相交集的源和目标前缀标识,这些前缀被定义为 源类目标类。您可以基于各种参数来定义类,例如路由邻接方、自治系统和路由过滤器。

通过对 IP 源地址执行查找,源类使用 (SCU) 计费对发送给客户的数据包进行计数。借助 SCU,可以跟踪来自提供商核心上特定前缀且发往客户边缘特定前缀的流量。您必须在入站和出站物理接口上启用 SCU 计费,并且数据包源的路由必须位于转发表表中。

注:

SCU 和目标类使用 (DCU) 核算均无法与直接连接的接口路由配合使用。由于软件架构限制,源类使用不计算来自转发表中具有直接路由的源的数据包。

目标类使用 (DCU) 通过执行 IP 目标地址查找来对来自客户的数据包进行计数。DCU 可以跟踪来自客户边缘且发往提供商核心路由器上特定前缀的流量。

注:

建议先停止某个接口上的网络流量,然后再修改该接口的 DCU 或 SCU 配置。在不停止流量的情况下修改 DCU 或 SCU 配置可能会损坏 DCU 或 SCU 统计信息。修改配置后重新启动流量之前,请输入 clear interfaces statistics 命令。

图 1 对 ISP 网络进行说明。在此拓扑中,您可以使用 DCU 对客户发送到特定前缀的数据包进行计数。例如,您可以有三个计数器,每个客户一个,用于对发往前缀 210.210/16220.220/16的数据包进行计数。

您可以使用 SCU 对提供商从特定前缀发送的数据包进行计数。例如,您可以对从前缀 210.210/16 发送的数据包以及 215.215/16 在特定输出接口上传输的数据包进行计数。

图 1: 使用源和目标类的前缀核算 使用源和目标类的前缀核算

您可以配置多达 126 个源类和 126 个目标类。对于启用目标类使用和源类使用的每个接口,操作系统会为每个相应的类维护一个接口特定的计数器,最高可达到 126 类的限制。

注:

对于通过隧道退出路由器的传输数据包,在您配置为隧道流量输出接口的接口上不支持转发路径功能,如 RPF、转发表过滤、源类使用和目标类使用。对于防火墙过滤,您必须允许输出隧道数据包通过防火墙过滤器应用于接口上的输入流量(该接口是下一跃点接口朝隧道目标发送)。

注:

启用输出服务时执行 DCU 计费,在以下配置中会产生不一致的行为:

  • SCU 输入和 DCU 均在数据包输入接口上配置。

  • 在数据包输出接口上配置 SCU 输出。

  • 输出接口上启用了接口服务。

对于具有与路由器中配置的 SCU 和 DCU 类别匹配的源和目标前缀的传入数据包,SCU 和 DCU 计数器都将递增。此行为无害,无负面行为。但是,它与非服务数据包不一致,因为只有 SCU 计数会递增(因为在这种情况下,SCU 类 ID 将覆盖 DCU 类 ID)。

要对接口启用数据包计数,请包括以下 accounting 语句:

direction 可以是以下其中一种:

  • input- 至少配置一个预期的入口点。

  • output- 至少配置一个预期的出口点。

  • input output- 在单个接口上,至少配置一个预期的入口点和一个预期出口点。

您可以在以下层次结构级别包括这些语句:

  • [edit interfaces interface-name unit logical-unit-number family (inet | inet6 | mpls)]

  • [edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family (inet | inet6 | mpls)]

要使 SCU 正常工作,必须至少配置一个输入接口和至少一个输出接口。

为 SCU 和 DCU 计费对单个数据包进行计数的能力取决于底层物理接口。

  • 对于通过模块化端口集中器/模块化接口卡 (MPC/MIC) 接口传输的流量,如果同时配置了 SCU 和 DCU,则单个传入数据包将同时计入 SCU 和 DCU 计费。为了确保传出数据包已计数,请将语句 source-class-usage output 包含在传出接口的配置中。

  • 对于通过 DPC 接口的流量,传入数据包只计算一次,SCU 优先于 DCU。这意味着,当数据包到达配置 source-class-usage input 中包含 and destination-class-usage 语句的接口上时,当源和目标都与核算前缀匹配时,操作系统只会将数据包与源类相关联。

对于通过 MPC 接口的流量,在评估输出过滤器后执行 SCU 和 DCU 计费。如果数据包与防火墙过滤器匹配条件匹配,则该数据包将包含在 SCU 或 DCU 核算中,匹配术语的操作除外 discard

在 T 系列、M120 和 M320 路由器上,源类和目标类不会在整个路由器交换矩阵中承载。其影响如下:

  • 在 T 系列、M120 和 M320 路由器上,在数据包进入交换矩阵之前执行 SCU 和 DCU 计费。

  • 在 M7i、M10i、M120 和 M320 路由器上,非 MPC 的 MX 系列路由器以及 T 系列路由器上,在评估输出过滤器之前,会执行 SCU 和 DCU 计费。因此,如果数据包与防火墙过滤器匹配条件匹配,则数据包会包含在 SCU 或 DCU 计费中:数据包会计为任何术语操作(包括 discard 操作)。

  • 在 M120、M320 和 T 系列路由器上[edit firewall family family-name filter filter-name term term-name from]destination-class层级仅对应用于转发表后的过滤器支持和source-class语句。在 M7i、M10i 和 MX 系列路由器上,支持这些语句。

在接口上启用计费后,操作系统会为该接口维护数据包计数器,并为 、 和mpls协议族提供单独的计数器。inetinet6 然后,您必须在策略操作语句中配置源类和目标类属性,这些属性必须包含在转发表导出策略中。

注:

配置策略操作语句时,只能为每个匹配路由配置一个源类。换句话说,不能将多个源类应用于同一路由。

在 Junos OS 9.3 及更高版本中,可以为使用 vrf-table-label 语句配置的第 3 层 VPN 配置 SCU 核算。在 source-class-usage 层次结构级别包括语句 [edit routing-instances routing-instance-name vrf-table-label]source-class-usage此层级的语句仅对虚拟路由和转发 (VRF) 实例类型受支持。

注:

当在 VRF 中配置语句时 vrf-table-label ,无法在动态创建的标签交换接口 (LSI) 上启用 DCU 计数器。有关更多信息,请参阅 适用于路由设备的 Junos OS VPN 库

有关源和目标类核算配置文件的完整讨论,请参阅《 路由设备的 Junos OS 网络管理管理指南》。有关 MPLS 的更多信息,请参阅 MPLS 应用程序用户指南

启用源类和目标类使用

图 2: 使用源和目标类的前缀核算 使用源和目标类的前缀核算

必须先在一个接口上配置 DCU 和 SCU 输出,然后才能启用源类使用 (SCU) 和目标类使用 (DCU):

要启用源类和目标类使用:

  1. 完成 SCU 配置

    源路由器 A 和 B 使用环路地址作为要监控的前缀。大多数配置任务和实际监控都发生在传输路由器 SCU 上。

    路由器 A 上的环路地址包含要分配给路由器 SCU 上的源类的前缀的来源。但是,此路由器不会进行 SCU 处理。因此,请为基本 OSPF 路由配置路由器 A,并将环路接口和接口 so-0/0/2 包含在 OSPF 进程中。


  2. 将策略应用到转发表,配置与路由器 A 和 B 中环路地址前缀匹配的路由过滤器策略语句。

    最后,将策略应用于转发表。

    路由器 SCU 可处理此示例中的大量活动。在路由器 SCU 上,在层次结构级别的入站接口和出站接口 [edit interfaces interface-name unit unit-number family inet accounting] 上启用源类使用。请确保指定预期的流量:输入、输出或,在本案例中,两者兼而有之。

    配置与路由器 A 和 B 的环路地址前缀匹配的路由过滤器策略语句。在策略中包括语句,用于将来自路由器 A 的数据包分类到一个名为的组中,将来自路由器 B 的数据包分类为第二个类别,名为scu-class-ascu-class-b。请注意,有效使用包含多个条款的单个策略。

  3. 配置路由器 B。

    正如路由器 A 提供源前缀一样,路由器 B 的环路地址与路由器 SCU 上分配给 scu-class-b 的前缀匹配。同样,此路由器不会执行 SCU 处理,因此请为基本 OSPF 路由配置路由器 B,并将环路接口和接口 so-0/0/4 包含在 OSPF 进程中。

  4. 在配备隧道 PIC 的提供商边缘路由器上配置虚拟环路隧道接口。

    您可以使用 SCU 和 DCU 对第 3 层 VPN 上的数据包进行计数。要在 MPLS 隧道的出口点为第 3 层 VPN 实施启用数据包计数,必须在 PE 路由器上配置虚拟环路隧道接口 (vt),将虚拟路由和转发 (VRF) 实例类型映射到虚拟环回隧道接口,并将从 VPN 接收的流量发送到源类输出接口, 如以下示例中所示:

  5. 将 VRF 实例类型映射到虚拟环路隧道接口。

    在 Junos OS 9.3 及更高版本中,可以为使用 vrf-table-label 语句配置的第 3 层 VPN 配置 SCU 核算。在 source-class-usage 层次结构级别包括语句 [edit routing-instances routing-instance-name vrf-table-label]source-class-usage此层级的语句仅对虚拟路由和转发 (VRF) 实例类型受支持。配置语句时 vrf-table-label ,不支持 DCU。有关更多信息,请参阅 适用于路由设备的 Junos OS VPN 库

  6. 从 VPN 接收的流量从源类输出接口中发送。

    有关 VPN 的更多信息,请参阅 路由设备的 Junos OS VPN 库。有关虚拟环路隧道接口的更多信息,请参阅 路由设备的 Junos OS 服务接口库

了解目标广播

目标广播是指使用源自不同子网的第 3 层广播 IP 数据包对目标子网进行泛洪的过程。目标广播的意图是在 LAN 接口上用广播数据包在目标子网中泛洪,而不广播到整个网络。目标广播在路由器或交换机的出口接口上配置了各种选项,而 IP 数据包仅在 LAN(出口)接口上广播。目标广播可帮助您在 LAN 接口上实施远程管理任务,例如备份和唤醒 LAN (WOL),并支持虚拟路由和转发 (VRF) 实例。

源自子网的常规第 3 层广播 IP 数据包在同一子网内广播。当这些 IP 数据包到达不同的子网时,它们将被转发到路由引擎(转发到其他应用程序)。因此,无法通过另一个子网对特定子网执行备份等远程管理任务。作为应对方案,您可以启用定向广播,以转发源自不同子网的广播数据包。

第 3 层广播 IP 数据包的目标 IP 地址是目标子网的有效广播地址。这些 IP 数据包会以与单播 IP 数据包相同的方式遍历网络,直至到达目标子网,如下所示:

  1. 在目标子网中,如果接收路由器在出口接口上启用了定向广播,则 IP 数据包将被转发至出口接口和路由引擎,或仅转发到出口接口。
  2. 然后,IP 数据包被转换为广播 IP 数据包,广播 IP 数据包仅通过 LAN 接口泛洪目标子网,目标子网上的所有主机都会接收 IP 数据包。数据包被丢弃如果不存在 LAN 接口
  3. 序列的最后一步取决于目标广播:
    • 如果在接收路由器上未启用目标广播,则 IP 数据包将被视为常规第 3 层广播 IP 数据包,并转发至路由引擎。
    • 如果在没有任何选项的情况下启用了目标广播,则 IP 数据包将被转发到路由引擎。

您可以将目标广播配置为仅将 IP 数据包转发至出口接口。当路由器被泛洪处理数据包时,或者同时对出口接口和路由引擎,这非常有用。

注:

当 M320 路由器、T640 路由器或 MX960 路由器的同一出口接口上配置了目标广播 forward-and-send-to-re 选项和流量采样选项 sampling 时,目标广播不起作用。要克服这一障碍,必须禁用其中一个选项,或者在出口接口上启用 sampling 带有目标广播选项 forward-only 的选项。有关流量采样的信息,请参阅 配置流量采样

注:

在路由引擎环路接口 (lo0) 上配置的任何 防火墙过滤器 都不能应用于由于定向广播而转发到路由引擎的 IP 数据包。这是因为广播数据包转发为泛洪下一跃点流量,而不是作为本地下一跃点流量,并且您只能将防火墙过滤器应用于定向至路由引擎的本地下一跃点路由。

配置目标广播

以下部分介绍如何在出口接口及其选项上配置定向广播:

配置目标广播及其选项

您可以在具有不同选项的出口接口上配置目标广播。

以下任一配置均可接受:

  • 您可以允许在出口接口上转发发往第 3 层广播地址的 IP 数据包,并将 IP 数据包的副本发送到路由引擎。

  • 您只能在出口接口上转发 IP 数据包。

请注意,仅当出口接口为 LAN 接口时,才会广播数据包。

要配置目标广播及其选项:

  1. 配置物理接口。
  2. 在层次结构级别配置逻辑单元号 [edit interfaces interface-name
  3. 将协议家族配置为层级的 [edit interfaces interface-name unit interface-unit-number inet。
  4. [edit interfaces interface-name unit interface-unit-number family inet 层次结构级别配置目标广播。
  5. 指定以下选项之一:
    • 允许在出口接口上转发发往第 3 层广播地址的 IP 数据包,并将 IP 数据包的副本发送到路由引擎。

    • 仅允许在出口接口上转发 IP 数据包。

注:

当 M320 路由器、T640 路由器或 MX960 路由器的同一出口接口上配置了目标广播 forward-and-send-to-re 选项和流量采样选项 sampling 时,目标广播不起作用。要克服这一障碍,必须禁用其中一个选项,或者在出口接口上启用 sampling 带有目标广播选项 forward-only 的选项。有关流量采样的信息,请参阅 配置流量采样

显示目标广播配置选项

以下示例主题显示有针对性的广播配置选项:

示例:将出口接口上的 IP 数据包转发到路由引擎

目的

当在出口接口上配置目标广播时,显示配置,以转发出口接口上的 IP 数据包,并将 IP 数据包的副本发送到路由引擎。

行动

要显示配置,请 show 运行命令,其中 [edit interfaces interface-name unit interface-unit-number family inet] 接口名称为 ge-2/0/0,单元值设置为 0,协议家族设置为 inet。

示例:仅出口接口上的转发 IP 数据包

目的

当在出口接口上配置目标广播以仅转发出口接口上的 IP 数据包时,显示配置。

行动

要显示配置,请 show 运行命令,其中 [edit interfaces interface-name unit interface-unit-number family inet] 接口名称为 ge-2/0/0,单元值设置为 0,协议家族设置为 inet。