Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

示例:过滤接口集上接收的数据包

此示例说明如何配置标准无状态防火墙过滤器,以匹配为特定接口集标记的数据包。

要求

配置此示例之前,不需要除设备初始化之外的特殊配置。

概述

在此示例中,您将无状态防火墙过滤器应用于路由器或交换机环路接口的输入。防火墙过滤器包含一个术语,用于匹配为特定接口集标记的数据包。

拓扑

您创建防火墙过滤器 L2_filter ,以将速率限制应用于在以下接口上接收的与协议无关的流量:

  • fe-0/0/0.0

  • fe-1/0/0.0

  • fe-1/1/0.0

注:

本主题中的接口类型只是一个示例。fe- EX 系列交换机不支持接口类型。

首先,对于在上 fe-0/0/0.0接收的与协议无关的流量,防火墙过滤器术语 t1 应用监管器 p1

对于在任何其他快速以太网接口上接收的与协议无关的流量,防火墙过滤器术语 t2 会应用监管器 p2。要定义包含所有快速以太网接口的接口集,请将语句interface-set interface-set-name interface-name[edit firewall]包含在层次结构级别上。要根据数据包到达指定接口集的接口定义数据包匹配标准,请配置一个术语,使用该 interface-set 防火墙过滤器匹配条件。

最后,对于任何其他与协议无关的流量,防火墙过滤器术语 t3 会应用监管器 p3

配置

以下示例要求您在配置层次结构中的各个级别上导航。有关导航 CLI 的信息,请参阅 在配置模式下使用 CLI 编辑器

要配置此示例,请执行以下操作:

CLI 快速配置

要快速配置此示例,请将以下配置命令复制到文本文件中,删除所有换行符,然后将命令粘贴到层次结构级别的 CLI 中 [edit]

配置无状态防火墙过滤器术语可对其执行速率限制操作的接口

逐步过程

要配置无状态防火墙过滤器术语可对其执行速率限制操作的接口:

  1. 配置逻辑接口,该接口的输入流量将与防火墙过滤器的第一项匹配。

  2. 配置逻辑接口,其输入流量将与防火墙过滤器的第二个术语匹配。

  3. 完成设备配置后,提交配置。

结果

输入 show interfaces 配置模式命令,确认路由器(或交换机)传输接口的配置。如果命令输出未显示预期的配置,请重复此过程中的说明,以更正配置。

配置无状态防火墙过滤器,该过滤器根据数据包到达的接口限制与协议无关的流量

逐步过程

要配置使用监管器 (p1p2p3) 的标准无状态防火墙L2_filter,以根据数据包到达的接口限制与协议无关的流量速率:

  1. 配置防火墙语句。

  2. 配置监管器 p1 以丢弃超过 bps 流量 5m速率或突发字节大小的 10m流量。

  3. 配置监管器 p2 以丢弃超过 bps 流量 40m速率或突发字节大小的 100m流量。

  4. 配置监管器 p3 以丢弃超过 bps 流量 600m速率或突发字节大小的 1g流量。

  5. 将接口定义为 ifset 路由器上所有快速以太网接口的一组。

  6. 创建无状态防火墙过滤器 L2_filter

  7. 配置过滤器术语 t1 ,以匹配接口 fe-0/0/0.0 上接收的 IPv4、IPv6 或 MPLS 数据包,并使用监管器 p1 限制该流量的速率。

  8. 配置过滤器术语 t2 以匹配在接口集 ifset 上接收的数据包,并使用监管器 p2 限制该流量的速率。

  9. 配置过滤器术语 t3 以使用监管器 p3 来限制所有其他流量的速率。

  10. 完成设备配置后,提交配置。

结果

输入配置模式命令,确认无状态防火墙过滤器的配置以及作为防火墙过滤器操作引用的 show firewall 监管器。如果命令输出未显示预期的配置,请重复此过程中的说明,以更正配置。

将无状态防火墙过滤器应用于路由引擎输入接口

逐步过程

将无状态防火墙过滤器应用于路由引擎输入接口:

  1. 将无状态防火墙过滤器应用于输入方向上的路由引擎接口。

  2. 完成设备配置后,提交配置。

结果

再次输入 show interfaces 命令,以确认将防火墙过滤器应用于路由引擎输入接口。如果命令输出未显示预期的配置,请重复此过程中的说明,以更正配置。

验证

要确认配置工作正常,请使用 show firewall filter L2_filter 操作模式命令监控有关防火墙过滤器和三个计数器的流量统计信息。