Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

逻辑系统中的防火墙过滤器操作不受支持

表 1介绍了在[edit firewall]层次结构级别支持但不在[edit logical-systems logical-system-name firewall]层次结构级别支持的防火墙过滤器操作。

表 1: 逻辑系统中的防火墙过滤器操作不受支持

防火墙过滤器操作

例子

Description

逻辑系统中不支持终止操作

logical-system

[edit]
logical-systems {
    ls1 {
        firewall {
            family inet {
                filter foo {
                    term one {
                        from {
                            source-address 10.1.0.0/16;
                        }
                        then {
                            logical-system fred;
                        }
                    }
                }
            }
        }
    }
}

由于操作指的是在本地逻辑系统外部定义的逻辑系统, logical-systemfred 因此不支持此操作。

逻辑系统中不支持的 Nonterminating 操作

ipsec-sa

[edit]
logical-systems {
    ls1 {
        firewall {
            family inet {
                filter foo {
                    term one {
                        from {
                            source-address 10.1.0.0/16;
                        }
                        then {
                            ipsec-sa barney;
                        }
                    }
                }
            }
        }
    }
}

由于 ipsec-sa 操作修改器参考 barney (一种在本地逻辑系统外部定义的安全关联)因此不支持此操作。

next-hop-group

[edit]
logical-systems {
    ls1 {
        firewall {
            family inet {
                filter foo {
                    term one {
                        from {
                            source-address 10.1.0.0/16;
                        }
                        then {
                            next-hop-group fred;
                        }
                    }
                }
            }
        }
    }
}

由于 next-hop-group 操作指的是 —在层次结构级别定义的一个对象 fred[edit forwarding-options next-hop-group] ,因此不支持此操作。

port-mirror

[edit]
logical-systems {
    ls1 {
        firewall {
            family inet {
                filter foo {
                    term one {
                        from {
                            source-address 10.1.0.0/16;
                        }
                        then {
                            port-mirror;
                        }
                    }
                }
            }
        }
    }
}

由于port-mirror操作依赖于在[edit forwarding-options port-mirroring]层次结构级别定义的配置,因此不支持此操作。

sample

[edit]
logical-systems {
    ls1 {
        firewall {
            family inet {
                filter foo {
                    term one {
                        from {
                            source-address 10.1.0.0/16;
                        }
                        then {
                            sample;
                        }
                    }
                }
            }
        }
    }
}

在此示例中, sample操作取决于在[edit forwarding-options]层次结构中定义的采样配置。因此,不sample支持此操作。

syslog

[edit]
logical-systems {
    ls1 {
        firewall {
            family inet {
                filter icmp-syslog {
                    term icmp-match {
                        from {
                            address {
                                192.168.207.222/32;
                            }
                            protocol icmp;
                        }
                        then {
                            count packets;
                            syslog;
                            accept;
                        }
                    }
                    term default {
                        then accept;
                    }
                }
            }
        }
    }
}

在这种情况下,至少必须有一个系统日志(启用了用于存储过滤器日志 system syslog file filename)firewallicmp-syslog 的设备)。

由于此防火墙配置依赖于逻辑系统外部的配置,因此不syslog支持操作修饰符。