Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

2 层 CCC 流量的防火墙过滤器匹配条件

您可配置符合第 2 层电路交叉连接 (CCC) 信息流 () 匹配条件的防火墙过滤器 family ccc

以下限制适用于 2 层 CCC 流量的防火墙过滤器:

  • 所有input-list filter-names接口output-list filter-names都支持ccc协议系列的防火墙过滤器的和语句,但管理接口和内部以太网接口(fxpem0)、回传接口(lo0)和 USB 调制解调器接口(umd)。

  • 只能在 MX 系列路由器和 EX 系列交换机上应用 2 层 CCC 无状态防火墙过滤器(在层次结构级别配置的防火墙过滤器) [edit firewall filter family ccc] 作为输出过滤器。在 MX 系列路由器和 EX 系列交换机上,为 语句配置的防火墙过滤器只能用作 family ccc 输入过滤器。

表 1介绍了match-conditions可在[edit firewall family ccc filter filter-name term term-name from]层次结构级别配置的。

表 1: 2 层 CCC 流量的防火墙过滤器匹配条件

匹配条件

Description

apply-groups

指定要从中继承配置数据的组。您可以指定一个以上的组名称。您必须按继承优先级顺序列出它们。第一组中的配置数据优先于后续组中的数据。

apply-groups-except

指定不从中继承配置数据的组。您可以指定一个以上的组名称。

destination-mac-address address

(仅适用于 MX 系列路由器和 EX 系列交换机)匹配虚拟专用 LAN 服务(VPLS)数据包的目标媒体访问控制(地址)(MAC)地址。

如果应用于第 2 层虚拟专用网 (VPN) 路由实例中从 I 芯片 DPC 逻辑接口经过 CCC 电路出口流量,则请根据此匹配条件正确评估数据包,您必须对第 2 层 VPN 路由实例进行配置更改。您必须明确地禁用通过第 2 层电路流出的流量的控制单词的使用。默认情况下,第 2 层 VPN 路由实例启用控制单词的使用,以支持第 2 层电路的仿真虚拟电路 (VC) 封装。

要明确禁用对 2 层 VPN 的控制单词的使用,请包含以下任一 no-control-word 层级的语句:

  • [edit routing-instances routing-instance-name protocols l2vpn]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name protocols l2vpn]

注:

PTX 系列数据包传输路由器上不支持此匹配条件。

有关详细信息,请参阅禁用第2层 vpn 的控制词

flexible-match-mask value

bit-length

要匹配的数据长度(以位为单位),对于字符串输入,不需要它(0. 128)

bit-offset

(匹配-start + 字节)偏移量(0到7)之后的位偏移

byte-offset

匹配起始点之后的字节偏移量

flexible-mask-name

从预定义模板字段中选择一个灵活匹配

mask-in-hex

屏蔽要匹配的数据包数据中的位

match-start

数据包中要匹配的起始点

prefix

要匹配的值数据/字符串

flexible-match-range value

bit-length

要以位(0. 32)匹配的数据长度

bit-offset

(匹配-start + 字节)偏移量(0到7)之后的位偏移

byte-offset

匹配起始点之后的字节偏移量

flexible-range-name

从预定义模板字段中选择一个灵活匹配

match-start

数据包中要匹配的起始点

range

要匹配的值范围

range-except

与此范围的值不匹配

forwarding-class class

转发类。指定assured-forwardingbest-effortexpedited-forwarding、或network-control

forwarding-class-except class

在转发类上不匹配。指定assured-forwardingbest-effortexpedited-forwarding、或network-control

interface-group group-number

将接收数据包的逻辑接口与指定接口组或一组接口组相匹配。对于group-number,请从一个值或中的一系列值0255指定。

要将逻辑接口分配给接口组group-number,请group-number[interfaces interface-name unit number family family filter group]层次结构级别指定。

注:

PTX 系列数据包传输路由器上不支持此匹配条件。

有关更多详细信息,请参阅过滤在一组接口组上接收的数据包概述

interface-group-except number

与将数据包接收到指定接口组或接口组集的逻辑接口不匹配。有关详细信息,请interface-group参阅 match 条件。

注:

PTX 系列数据包传输路由器上不支持此匹配条件。

learn-vlan-1p-priority number

(仅 MX 系列路由器、M320路由器和 EX 系列交换机)在 IEEE 802.1p 上匹配在提供商 VLAN 标记中学习 VLAN 优先级位(具有 802.1Q VLAN 标记的单标记帧中的唯一标记,或包含 802.1Q VLAN 标记的双标记帧中的外部标记)。0通过7指定一个或多个值。

user-vlan-1p-priority match 条件进行比较。

注:

PTX 系列数据包传输路由器上不支持此匹配条件。

注:

此匹配条件支持 MX 系列和 M320 路由器的控制字的存在。

learn-vlan-1p-priority-except number

(仅 MX 系列路由器、M320路由器和 EX 系列交换机)在 802.1p 学习IEEE位时,不相符。有关详细信息,请learn-vlan-1p-priority参阅 match 条件。

注:

PTX 系列数据包传输路由器上不支持此匹配条件。

注:

此匹配条件支持 MX 系列和 M320 路由器的控制字的存在。

loss-priority level

数据包丢失优先级(PLP)级别。指定一个级别或多个级别:lowmedium-lowmedium-highhigh

在路由器M120路由器M320;M7i CFEB (CFEB-E) M10i路由器的路由器连接;和 MX 系列路由器和 EX 系列交换机。

对于带增强型 II 灵活 PIC 集中器 (FPC) 和 EX 系列交换机的 M320、MX 系列和 T Series 路由器上的 IP 流量,您必须在 层次结构级别包含 语句,以提交采用四个级别中任何一个级别的 tri-color PLP 配置。 [edit class-of-service] 如果未tri-color启用该语句,则只能配置highlow级别。这适用于所有协议系列。

有关该tri-color语句的信息,请参阅配置和应用三色标记监管器。有关使用行为聚合(BA)分类器设置所传入数据包的 PLP 级别的信息,请参阅了解转发类如何将类分配给输出队列

loss-priority-except level

在数据包丢失优先级级别上不匹配。指定一个级别或多个级别:lowmedium-lowmedium-highhigh

注:

PTX 系列数据包传输路由器上不支持此匹配条件。

有关使用行为聚合(BA)分类器设置所传入数据包的 PLP 级别的信息,请参阅了解行为聚合分类器如何区分可信流量

user-vlan-1p-priority number

(仅 MX 系列路由器、M320 路由器和 EX 系列交换机)匹配客户 VLAN 标记中的 IEEE 802.1 p 用户优先级位(带有 802.1 Q VLAN 标记的双标记帧内的内部标记)。0通过7指定一个或多个值。

learn-vlan-1p-priority match 条件进行比较。

注:

PTX 系列数据包传输路由器上不支持此匹配条件。

注:

此匹配条件支持 MX 系列和 M320 路由器的控制字的存在。

user-vlan-1p-priority-except number

(仅 MX 系列路由器、M320 路由器和 EX 系列交换机)在 IEEE 802.1 p 用户优先级位上不匹配。有关详细信息,请user-vlan-1p-priority参阅 match 条件。

注:

PTX 系列数据包传输路由器上不支持此匹配条件。

注:

此匹配条件支持 MX 系列和 M320 路由器的控制字的存在。