动态服务配置文件中与协议无关的流量的防火墙过滤器终止和非终止操作

动态服务配置文件中的防火墙过滤器支持一组终止操作，可停止对特定数据包的防火墙过滤器的所有评估。路由器会执行指定的操作，并且不会检查其他条款。表 1 介绍了动态服务配置文件中过滤器的与协议无关的流量（即在下 family any配置）支持的终止操作条件。

注意：

您不能在同 next 一过滤器术语中将操作配置为终止操作。但是，您可以在同一过滤器术语中将操作配置为 next 另一个 非确定性 操作。

注意：

只有带有 MPC 的 MX 系列路由器才支持动态服务配置文件中的协议无关防火墙过滤器。

表 1：动态服务配置文件中与协议无关的流量的防火墙过滤器终止操作
终止操作	描述
`accept`	接受数据包。
`discard`	不发送互联网控制消息协议（ICMP）消息，以静默方式丢弃数据包。丢弃的数据包可用于记录和采样。

动态服务配置文件中的防火墙过滤器还支持一组非确定性操作，在将数据包传递给该术语中的任何后续操作之前，对特定数据包执行这些操作。表 1 介绍了动态服务配置文件中过滤器的与协议无关的流量（即在下 family any配置）支持的终止操作条件。

表 2：针对动态服务配置文件中与协议无关的流量的防火墙过滤器的不可确定操作
非确定性操作	描述
`count counter-name`	对指定计数器中的数据包进行计数。
`force-premium`	默认情况下，分层监管器根据流量的转发类处理接收的流量。特优型、加速转发流量的带宽优先于聚合、尽力而为的流量。过滤器 `force-premium` 可确保与术语匹配的流量被后续分层监管器视为高级流量，无论其转发等级如何。此流量优先于该监管器接收的任何聚合流量。注意：过滤器 `force-premium` 选项仅在 MPC 上受支持。
`forwarding-class class-name`	将数据包分类为指定的转发类： `forwarding-class-name` `assured-forwarding` `best-effort` `expedited-forwarding` `network-control` 注意：仅在入口上支持此操作。
`hierarchical-policer`	使用指定的分层监管器对数据包进行监管。
`loss-priority (high \| medium-high \| medium-low \| low)`	设置数据包丢失优先级（PLP）级别。您也不能为同一 `three-color-policer` 防火墙过滤器术语配置非确定性操作。这两个非确定性操作是相互排斥的。您必须在`[edit class-of-service]`层次结构级别包含该`tri-color`语句，才能提交具有四个指定级别中的任何一个级别的 PLP 配置。如果未启用语句`tri-color`，则只能`high`配置和`low`级别。这适用于所有协议家族。有关 `tri-color` 语句的信息，请参阅配置和应用 Tricolor 标记监管器。有关使用行为聚合（BA）分类器设置传入数据包的 PLP 级别的信息，请参阅了解转发类如何将类分配给输出队列。有关 `tri-color` 语句和使用行为聚合（BA）分类器设置传入数据包的 PLP 级别的信息，请参阅了解行为聚合分类器如何确定可信流量的优先级。注意：仅在入口上支持此操作。
`next`	继续下一个过滤器术语。
`policer policer-name`	用于限制流量速率的监管器名称。
`port-mirror` `instance-name`	基于指定家族对数据包进行端口镜像。注意：仅在入口上支持此操作。
`service-accounting`	捕获订阅者每项服务的统计信息时，请使用内联计数机制。对数据包进行服务核算计数。该计数将应用于 RADIUS 可以获得的特定命名计数器（`__junos-dyn-service-counter`）。每个 `service-accounting` 术语和 `service-accounting-deferred` 过滤器的关键词都是相互排斥的。注意： T4000 5 类 FPC 和 PTX 系列数据包传输路由器不支持此操作。
`service-accounting- deferred`	在捕获订阅者每项服务的统计信息时，请使用延迟计数机制。该计数将应用于 RADIUS 可以获得的特定命名计数器（`__junos-dyn-service-counter`）。每个 `service-accounting` 术语和 `service-accounting-deferred` 过滤器的关键词都是相互排斥的。注意： T4000 5 类 FPC 和 PTX 系列数据包传输路由器不支持此操作。
`service-filter-hit`	（仅当当前 `service-filter-hit` 链接式过滤器中前一个过滤器标记标志）将数据包定向到下一种类型的过滤器。向链中的后续过滤器指示数据包已处理。此操作与接收过滤器的 `service-filter-hit` 匹配条件相结合，有助于简化过滤器处理。注意： T4000 5 类 FPC 和 PTX 系列数据包传输路由器不支持此操作。
`three-color-policer (single-rate \| two-rate) policer-name`	使用指定的单速率或双速率三色监管器对数据包进行监管。注意：您也不能为同一防火墙过滤器术语配置 `loss-priority` 操作。这两个操作相互排斥。

动态服务配置文件中与协议无关的流量的防火墙过滤器终止和非终止操作

相关文档