Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

配置转发表过滤器

转发表过滤器的定义与其他防火墙过滤器相同,但您的应用方式不同:

  • 您无需将转发表过滤器应用于接口,而是将其应用于转发表,每个表都与一个路由实例和一个虚拟专用网络(VPN)相关联。

  • 不是应用输入和输出过滤器默认情况下,您只能应用输入转发表过滤器。

所有数据包都通过应用于转发表的输入转发表过滤器。转发表过滤器控制路由器接受哪些数据包,然后执行转发表查找,从而控制路由器在接口上转发哪些数据包。

当路由器接收到数据包时,通过查看转发表来确定到达最终目的地的最佳路由,此路径与要发送数据包的 VPN 相关联。然后,路由器通过适当的接口向目的地转发数据包。

注:

对于通过通道退出路由器的传输数据包,配置为通道信息流输出接口的接口上不支持转发表过滤。

转发表过滤器允许您根据其组件过滤数据包,并对与过滤器匹配的数据包执行操作。它实质上控制路由器接受和转发哪些载荷数据包。要配置转发表过滤器,请将firewall语句包含在[edit]层次结构级别:

family-name 是系列地址类型:IPv4 ( inet )、IPv6 ( )、第 2 层流量 inet6 ( ) 或 MPLS ( bridgempls )。

term-name 是定义了匹配条件和操作的命名结构。

match-conditions 是对载荷数据包进行比较的标准;例如,源设备或目标设备的 IP 地址。您可以在匹配条件中指定多个条件。

action 指定当数据包符合所有标准时将执行的操作;例如,网关 GPRS 支持节点(GGSN)接受载荷数据包,在转发表中执行查找,并将数据包转发到目的地;丢弃数据包;丢弃数据包并返回拒绝消息。

action-modifiers 除了在所有条件匹配时 GGSN 接受或丢弃数据包之外,还将执行一些操作;例如,计算数据包和记录数据包的计数。

要创建转发表,请包含 instance-type 语句 forwarding 以及 层级的 [edit routing-instances instance-name] 选项:

要向 VPN 路由和转发 (VRF) 表应用转发表过滤器,请包括 层次结构级别的 和 filterinput[edit routing-instance instance-name forwarding-options family family-name] 语句:

要向转发表应用转发表过滤器,请包含 层次结构级别的 和 filterinput[edit forwarding-options family family-name] 语句:

要向默认转发表(并非与特定路由实例相关联)应用转发表过滤器,请包括 层次结构级别的 inet.0filterinput[edit forwarding-options family inet] 语句: