示例：过滤接口集上收到的数据包
此示例说明如何配置标准无状态防火墙过滤器，以匹配为特定接口集标记的数据包。
要求
配置此示例之前，不需要除设备初始化之外的特殊配置。
概述
在此示例中，您将无状态防火墙过滤器应用于路由器或交换机环路接口的输入。防火墙过滤器包括一个术语，用于匹配为特定接口集标记的数据包。
拓扑
您可以创建防火墙过滤器 ，以便对在以下接口上接收的与协议无关的流量应用速率限制：L2_filter
fe-0/0/0.0fe-1/0/0.0fe-1/1/0.0
本主题中的接口类型只是一个示例。EX 系列交换机不支持接口 类型。fe-
首先，对于在 上 接收的与协议无关的流量，防火墙过滤器术语 适用监管器 。fe-0/0/0.0t1p1
对于在任何其他快速以太网接口上接收的与协议无关的流量，防火墙过滤器术语 适用监管器 。t2p2 要定义包含所有快速以太网接口的接口集，请在层次结构级别包含 语句 。interface-set interface-set-name interface-name[edit firewall] 要根据数据包到达指定接口集的接口定义数据包匹配标准，请配置使用防火墙过滤器匹配条件的 术语。interface-set
最后，对于任何其他与协议无关的流量，防火墙过滤器术语 适用监管器 。t3p3
配置
下面的示例要求您在各个配置层级中进行导航。有关导航 CLI 的信息，请参见 。在配置模式下使用 CLI 编辑器
要配置此示例，请执行以下操作：
CLI 快速配置
要快速配置此示例，请将以下配置命令复制到文本文件中，删除所有换行符，然后将命令粘贴到层次结构级别的 CLI 中。[edit]
set interfaces fe-0/0/0 unit 0 family inet address 10.1.1.1/30 set interfaces fe-1/0/0 unit 0 family inet address 10.2.2.1/30 set interfaces fe-1/1/0 unit 0 family inet address 10.4.4.1/30 set firewall policer p1 if-exceeding bandwidth-limit 5m set firewall policer p1 if-exceeding burst-size-limit 10m set firewall policer p1 then discard set firewall policer p2 if-exceeding bandwidth-limit 40m set firewall policer p2 if-exceeding burst-size-limit 100m set firewall policer p2 then discard set firewall policer p3 if-exceeding bandwidth-limit 600m set firewall policer p3 if-exceeding burst-size-limit 1g set firewall policer p3 then discard set firewall interface-set ifset fe-* set firewall family any filter L2_filter term t1 from interface fe-0/0/0.0 set firewall family any filter L2_filter term t1 then count c1 set firewall family any filter L2_filter term t1 then policer p1 set firewall family any filter L2_filter term t2 from interface-set ifset set firewall family any filter L2_filter term t2 then count c2 set firewall family any filter L2_filter term t2 then policer p2 set firewall family any filter L2_filter term t3 then count c3 set firewall family any filter L2_filter term t3 then policer p3 set interfaces lo0 unit 0 family inet address 172.16.1.157/30 set interfaces lo0 unit 0 family inet address 172.16.1.157/30 set interfaces lo0 unit 0 filter input L2_filter
配置无状态防火墙过滤器术语对其执行速率限制操作的接口
分步过程
要配置无状态防火墙过滤器术语对其执行速率限制操作的接口，请执行以下操作：
配置其输入流量将与防火墙过滤器的第一个术语匹配的逻辑接口。
[edit] user@host# set interfaces fe-0/0/0 unit 0 family inet address 10.1.1.1/30
配置其输入流量将与防火墙过滤器的第二个术语匹配的逻辑接口。
[edit ] user@host# set interfaces fe-1/0/0 unit 0 family inet address 10.2.2.1/30 user@host# set interfaces fe-1/1/0 unit 0 family inet address 10.4.4.1/30
如果完成设备配置，请提交配置。
[edit] user@host# commit
成果
输入 配置模式命令，确认路由器（或交换机）中转接口的配置。show interfaces 如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
[edit]
user@host# show interfaces
fe-0/0/0 {
unit 0 {
family inet {
address 10.1.1.1/30;
}
}
}
fe-1/0/0 {
unit 0 {
family inet {
address 10.2.2.1/30;
}
}
}
fe-1/1/0 {
unit 0 {
family inet {
address 10.4.4.1/30;
}
}
}
配置无状态防火墙过滤器，根据数据包到达的接口对与协议无关的流量进行速率限制
分步过程
要配置使用监管器（、 和 ）的标准无状态防火墙，根据数据包到达的接口对与协议无关的流量进行速率限制：L2_filterp1p2p3
配置防火墙语句。
[edit] user@host# edit firewall
将监管器配置为丢弃超过 bps 流量速率或突发字节大小的流量。
p15m10m[edit firewall] user@host# set policer p1 if-exceeding bandwidth-limit 5m user@host# set policer p1 if-exceeding burst-size-limit 10m user@host# set policer p1 then discard
将监管器配置为丢弃超过 bps 流量速率或突发大小字节的流量。
p240m100m[edit firewall] user@host# set policer p2 if-exceeding bandwidth-limit 40m user@host# set policer p2 if-exceeding burst-size-limit 100m user@host# set policer p2 then discard
将监管器配置为丢弃超过 bps 流量速率或突发字节大小的流量。
p3600m1g[edit firewall] user@host# set policer p3 if-exceeding bandwidth-limit 600m user@host# set policer p3 if-exceeding burst-size-limit 1g user@host# set policer p3 then discard
将接口集 定义为路由器上所有快速以太网接口的组。
ifset[edit firewall] user@host# set interface-set ifset fe-*
创建无状态防火墙过滤器 。
L2_filter[edit firewall] user@host# edit family any filter L2_filter
配置过滤器术语 以匹配接口 上收到的 IPv4、IPv6 或 MPLS 数据包，并使用监管器 对该流量进行速率限制。
t1fe-0/0/0.0p1[edit firewall family any filter L2_filter] user@host# set term t1 from interface fe-0/0/0.0 user@host# set term t1 then count c1 user@host# set term t1 then policer p1
配置过滤器术语 以匹配接口集 上收到的数据包，并使用监管器 对该流量进行速率限制。
t2ifsetp2[edit firewall family any filter L2_filter] user@host# set term t2 from interface-set ifset user@host# set term t2 then count c2 user@host# set term t2 then policer p2
配置过滤器术语 以使用监管器 对所有其他流量进行速率限制。
t3p3[edit firewall family any filter L2_filter] user@host# set term t3 then count c3 user@host# set term t3 then policer p3
如果完成设备配置，请提交配置。
[edit] user@host# commit
成果
通过输入 配置模式命令，确认无状态防火墙过滤器和作为防火墙过滤器操作引用的监管器的配置。show firewall 如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
[edit]
user@host# show firewall
family any {
filter L2_filter {
term t1 {
from {
interface fe-0/0/0.0;
}
then {
policer p1;
count c1;
}
}
term t2 {
from {
interface-set ifset;
}
then {
policer p2;
count c2;
}
}
term t3 {
then {
policer p3;
count c3;
}
}
}
}
policer p1 {
if-exceeding {
bandwidth-limit 5m;
burst-size-limit 10m;
}
then discard;
}
policer p2 {
if-exceeding {
bandwidth-limit 40m;
burst-size-limit 100m;
}
then discard;
}
policer p3 {
if-exceeding {
bandwidth-limit 600m;
burst-size-limit 1g;
}
then discard;
}
interface-set ifset {
fe-*;
}
将无状态防火墙过滤器应用于路由引擎输入接口
分步过程
要将无状态防火墙过滤器应用于路由引擎输入接口：
将无状态防火墙过滤器应用于输入方向的路由引擎接口。
[edit] user@host# set interfaces lo0 unit 0 family inet address 172.16.1.157/30 user@host# set interfaces lo0 unit 0 filter input L2_filter
如果完成设备配置，请提交配置。
[edit] user@host# commit
成果
再次输入命令，确认防火墙过滤器已应用于路由引擎输入 接口。show interfaces 如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
user@host# show interfaces
fe-0/0/0 {
...
}
fe-1/0/0 {
...
}
fe-1/1/0 {
...
}
lo0 {
unit 0 {
filter {
input L2_filter;
}
family inet {
address 172.16.1.157/30;
}
}
}
验证
要确认配置工作正常， 请使用操作模式命令监控有关防火墙过滤器和三个计数器的流量统计信息。show firewall filter L2_filter