防火墙和监管PTX 系列 数据包传输路由器 与 T Series Matrix 路由器之间的区别
本主题列出了 PTX 数据包传输路由器 上可用的防火墙和监管器功能，并将它们与T Series路由器上的防火墙和监管功能进行了比较。
防火墙过滤器
PTX 系列数据包传输路由器上的 Junos OS 防火墙和监管软件支持 IPv4 过滤器、IPv6 过滤器、MPLS 过滤器、CCC 过滤器、接口监管、LSP 监管、MAC 过滤、ARP 监管、L2 监管和其他功能。下面指出例外情况。
-
PTX 系列数据包传输路由器不支持：
-
出口转发表过滤器
-
用于 MPLS/CCC 的转发表过滤器
-
VPLS 系列
-
-
PTX 系列数据包传输路由器不支持嵌套防火墙过滤器。
filter] 层级的[edit firewall family family-name filter filter-name term term-name语句将被禁用。 -
由于 PTX 系列数据包传输路由器中没有服务 PIC，因此 IPv4 和 IPv6 流量不支持服务过滤器。
service-filter层次结构级别的[edit firewall family (inet | inet6)]语句被禁用。 -
PTX 系列数据包传输路由器不包含简单过滤器。这些过滤器仅在千兆以太网智能排队 （IQ2） 和增强型排队密集端口集中器 （EQ DPC） 接口上受支持。
simple-filter层级的[edit firewall family inet)]语句将被禁用。 -
不支持物理接口过滤。
physical-interface-filter层级的[edit firewall family family-name filter filter-name]语句将被禁用。 -
PTX 系列数据包传输路由器不支持前缀操作功能。
prefix-action层次结构级别的[edit firewall family inet]语句被禁用。 -
在 T Series 路由器上，您可以通过设置一个或多个记帐配置文件来指定数据的一些常见特征，以收集有关通过设备的流量的各种信息。PTX 系列数据包传输路由器不支持防火墙过滤器的计费配置。
accounting-profile层级的[edit firewall family family-name filter filter-name]语句将被禁用。 -
环路 （
lo0） 接口不支持该reject操作。如果对接口应用lo0筛选器，并且筛选器包含操作reject，则将显示一条错误消息。 -
PTX 系列数据包传输路由器不支持聚合以太网逻辑接口匹配条件。但是，支持子链路接口匹配。
-
如果过滤器中的两个不同术语具有相同的匹配条件，但它们的计数不同，则 PTX 系列数据包传输路由器会显示这两个计数。T Series 路由器仅显示一个计数。
-
当过滤器绑定到多个接口时，PTX 系列数据包传输路由器没有单独的监管器实例。使用
interface-specificconfiguration 语句创建配置。 -
在 PTX 系列数据包传输路由器上，当入口接口具有 CCC 封装时，通过入口 CCC 接口进入的数据包将不会被出口过滤器处理。
-
对于 CCC 封装，PTX 系列数据包传输路由器额外附加 8 个字节用于出口第 2 层过滤。T Series 路由器则不然。因此，PTX 系列数据包传输路由器上的出口计数器会为每个数据包显示额外的 8 个字节，这会影响监管器的准确性。
-
在 PTX 系列数据包传输路由器上，CLI 命令的
show pfe statistics traffic输出包括 DMAC 和 SMAC 过滤丢弃的数据包。在 T Series 路由器上，命令输出不包含这些丢弃的数据包，因为 MAC 过滤器是在 PIC 中实施的，而非在 FPC 中实施的。 -
通过 PTX 防火墙的最后一个分片数据包无法与
is-fragment匹配条件匹配。T Series 路由器支持此功能。在 PTX 系列数据包传输路由器上，一种可能的变通方法是使用相同的操作配置两个单独的术语：一个术语包含匹配项
is-fragment，另一个术语包含匹配项fragment-offset -except 0。 -
在 PTX 系列数据包传输路由器上，当数据包丢弃超过 100 Mbps 时，将生成 MAC 暂停帧。这仅发生在小于 105 字节的帧大小时。
交通监管员
PTX 系列数据包传输路由器上的 Junos OS 防火墙和监管软件支持 IPv4 过滤器、IPv6 过滤器、MPLS 过滤器、CCC 过滤器、接口监管、LSP 监管、MAC 过滤、ARP 监管、L2 监管和其他功能。下面指出例外情况。
-
PTX 系列数据包传输路由器支持 ARP 管制。T Series 路由器则不然。
-
PTX 系列数据包传输路由器不支持 LSP 管制。
-
PTX 系列数据包传输路由器不支持
hierarchical-policer配置语句。 . -
PTX 系列数据包传输路由器不支持
interface-set配置语句。此语句将多个接口分组到一个命名接口集中。 -
在同一规则（ 多域分类）中配置监管器操作和转发类丢失优先级操作时，PTX 系列的工作方式数据包传输路由器不同于T Series路由器。如下所示，您可以在过滤器中配置两个规则，使 PTX 过滤器的行为与 T Series 过滤器相同：
PTX 系列配置：
rule-1 { match: {x, y, z} action: {forwarding-class, loss-prio, next} } rule-2 { match: {x, y, z} action: {policer} }T Series 配置：
rule-1 { match: {x, y, z} action: {forwarding-class, loss-prio, policer} }