示例：配置特定于接口的防火墙过滤器计数器
此示例说明如何配置和应用特定于接口的标准无状态防火墙过滤器。
要求
仅 MX 系列路由器支持特定于接口的无状态防火墙过滤器。
配置此示例之前，不需要除设备初始化之外的特殊配置。
概述
在此示例中，您将创建一个特定于接口的无状态防火墙过滤器，用于计算和接受源地址或目标地址在指定前缀中且 IP 协议类型字段设置为特定值的数据包。
拓扑结构
您可以配置特定于接口的无状态防火墙过滤器 filter_s_tcp ，以对前缀中 10.0.0.0/12 IP 源或目标地址且 IP 协议类型字段设置为 tcp （或数值 6） 的数据包进行计数和接受。
防火墙过滤器计数器的名称为 count_s_tcp。
您可以将防火墙过滤器应用于多个逻辑接口：
at-1/1/1.0输入so-2/2/2.2输出
将过滤器应用于这两个接口将分别生成两个过滤器实例： filter_s_tcp-at-1/1/1.0-i 和 filter_s_tcp-so-2/2/2.2-o。
配置
下面的示例要求您在各个配置层级中进行导航。有关导航 CLI 的信息，请参阅在 配置模式下使用 CLI 编辑器。
要配置此示例，请执行以下操作：
CLI 快速配置
要快速配置此示例，请将以下命令复制到文本文件中，删除所有换行符，然后将命令粘贴到层次结构级别的 [edit] CLI 中。
set firewall family inet filter filter_s_tcp interface-specific set firewall family inet filter filter_s_tcp term 1 from address 10.0.0.0/12 set firewall family inet filter filter_s_tcp term 1 from protocol tcp set firewall family inet filter filter_s_tcp term 1 then count count_s_tcp set firewall family inet filter filter_s_tcp term 1 then accept set interfaces at-1/1/1 unit 0 family inet filter input filter_s_tcp set interfaces so-2/2/2 unit 2 family inet filter filter_s_tcp
配置特定于接口的防火墙过滤器
分步程序
要配置特定于接口的防火墙过滤器，请执行以下操作：
创建 IPv4 防火墙过滤器
filter_s_tcp。[edit] user@host# edit firewall family inet filter filter_s_tcp
启用过滤器的特定于接口的实例。
[edit firewall family inet filter filter_s_tcp] user@host# set interface-specific
配置术语的匹配条件。
[edit firewall family inet filter filter_s_tcp] user@host# set term 1 from address 10.0.0.0/12 user@host# set term 1 from protocol tcp
配置术语的操作。
[edit firewall family inet filter filter_s_tcp] user@host# set term 1 then count count_s_tcp user@host# set term 1 then accept
将特定于接口的防火墙过滤器应用于多个接口
分步程序
要将过滤器 filter_s_tcp 应用于逻辑接口 at-1/1/1.0 ，并且 so-2/2/2.2：
将特定于接口的过滤器应用于在逻辑接口
at-1/1/1.0上接收的数据包。[edit] user@host# set interfaces at-1/1/1 unit 0 family inet filter input filter_s_tcp
将特定于接口的过滤器应用于从逻辑接口
so-2/2/2.2传输的数据包。[edit] user@host# set interfaces so-2/2/2 unit 2 family inet filter filter_s_tcp
确认您的候选配置
分步程序
要确认您的候选配置：
输入配置模式命令，
show firewall确认无状态防火墙过滤器的配置。如果命令输出未显示预期的配置，请重复此示例中的说明以更正配置。[edit] user@host# show firewall family inet { filter filter_s_tcp { interface-specific; term 1 { from { address { 10.0.0.0/12; } protocol tcp; } then { count count_s_tcp; accept; } } } }输入配置模式命令，确认
show interfaces接口的配置。如果命令输出未显示预期的配置，请重复此示例中的说明以更正配置。[edit] user@host# show interfaces at-1/1/1 { unit 0 family inet { filter { input filter_s_tcp; } } ] } so-2/2/2 { unit 2 family inet { filter { output filter_s_tcp; } } } }
清除计数器并提交候选配置
分步程序
要清除计数器并提交候选配置：
在操作命令模式下，使用该
clear firewall all命令清除所有防火墙过滤器的统计信息。要仅清除此示例中使用的计数器，请包含特定于接口的过滤器实例名称：
[edit] user@host> clear firewall filter filter_s_tcp-at-1/1/1.0-i user@host> clear firewall filter filter_s_tcp-so-2/2/2.2-o
提交候选配置。
[edit] user@host# commit
验证
确认配置工作正常。
验证过滤器是否已应用于多个接口中的每一个
目的
验证过滤器是否已应用于多个接口中的每一个接口。
行动
show interfaces使用或输出级别运行detailextensive命令。
验证过滤器是否已应用于以下输入
at-1/1/1.0：user@host> show interfaces at-1/1/1 detail Physical interface: at-1/1/1, Enabled, Physical link is Up Interface index: 300, SNMP ifIndex: 194, Generation: 183 ... Logical interface at-1/1/1.0 (Index 64) (SNMP ifIndex 204) (Generation 5) Flags: Point-To-Point SNMP-Traps 0x4000 Encapsulation: ATM-SNAP ... Protocol inet, MTU: 4470, Generation: 13, Route table: 0 Flags: Sendbcast-pkt-to-re Input Filters: filter_s_tcp-at-1/1/1.0-i,,,,,验证过滤器是否应用于以下输出
so-2/2/2.2：user@host> show interfaces so-2/2/2 detail Physical interface: so-2/2/2, Enabled, Physical link is Up Interface index: 129, SNMP ifIndex: 502, Generation: 132 ... Logical interface so-2/2/2.2 (Index 70) (SNMP ifIndex 536) (Generation 135) Flags: Point-To-Point SNMP-Traps 0x4000 Encapsulation: PPP ... Protocol inet, MTU: 4470, Generation: 146, Route table: 0 Flags: Sendbcast-pkt-to-re Output Filters: filter_s_tcp-so-2/2/2.2-o,,,,,