Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

防火墙过滤器 动态服务配置文件中与协议无关的流量的终止和非终止作

动态服务配置文件中的防火墙过滤器支持一组终止作，这些作可停止对特定数据包防火墙过滤器的所有评估。路由器将执行指定的作，不会检查任何其他术语。 表 1 介绍了动态服务配置文件中过滤器的协议无关流量支持的终止作条件，即在 下 family any配置。

注意：

您不能在同一过滤器术语中使用终止作来配置next作。但是，您可以使用同一过滤器术语中的另一个非终止作来配置该next作。
注意：

动态服务配置文件中的协议无关防火墙过滤器仅在具有 MPC 的 MX 系列路由器上受支持。
表 1：动态服务配置文件中与协议无关的流量的防火墙过滤器终止作

终止作

描述

accept

接受数据包。

discard

以静默方式丢弃数据包，而不发送互联网控制信息协议 （ICMP） 消息。丢弃的数据包可用于记录和采样。

动态服务配置文件中的防火墙过滤器还支持在将数据包传递给术语中的任何后续作之前为特定数据包执行的一组非终止作。 表 1 介绍了动态服务配置文件中过滤器的协议无关流量支持的终止作条件，即在 下 family any配置。

表 2：动态服务配置文件中与协议无关的流量的防火墙过滤器的非终止作

非终止作

描述

count counter-name

计算指定计数器中的数据包。

force-premium

默认情况下，分层监管器根据流量的转发类处理接收的流量。优质加速转发流量的带宽优先于聚合尽力服务流量。过滤器可 force-premium 确保与术语匹配的流量被后续分层监管器视为优质流量，无论其转发类别如何。此流量优先于该监管器接收的任何聚合流量。

注意：

force-premium过滤器选项仅在 MPC 上受支持。

forwarding-class class-name

将数据包分类为指定的转发类：

  • forwarding-class-name

  • assured-forwarding

  • best-effort

  • expedited-forwarding

  • network-control

注意：

仅入口支持此作。

hierarchical-policer

使用指定的分层监管器对数据包进行监管。

loss-priority (high | medium-high | medium-low | low)

设置数据包丢弃优先级 （PLP） 级别。

您也不能为同一防火墙过滤器术语配置 three-color-policer 非终止作。这两个非终止作是互斥的。

您必须在层次结构级别包含[edit class-of-service]该tri-color语句，才能提交具有指定四个级别中任一级别的 PLP 配置。如果未启用该tri-color语句，则只能high配置 和 low 级别。这适用于所有协议家族。

有关该 tri-color 语句的信息，请参阅 配置和应用三色标记监管器。有关使用行为聚合 （BA） 分类器设置传入数据包的 PLP 级别的信息，请参阅 了解转发类如何将类分配给输出队列。

有关该 tri-color 语句以及如何使用行为聚合 （BA） 分类器设置传入数据包的 PLP 级别的信息，请参阅 了解行为聚合分类器如何确定可信流量的优先级。

注意：

仅入口支持此作。

next

继续下一个过滤器术语。

policer policer-name

用于对流量进行速率限制的监管器名称。

port-mirror

instance-name

根据指定的家族对数据包进行端口镜像。

注意：

仅入口支持此作。

service-accounting

捕获用户每项服务的统计信息时，请使用内联计数机制。

对数据包进行计数以进行服务计费。该计数应用于 RADIUS 可以获取的特定命名计数器 （__junos-dyn-service-counter）。

和service-accountingservice-accounting-deferred关键字是互斥的，无论是按字词还是按筛选器。

注意：

T4000 5 类 FPC 和 PTX 系列数据包传输路由器不支持此作。

service-accounting- deferred

在捕获用户每项服务的统计信息时，请使用延迟计数机制。该计数应用于 RADIUS 可以获取的特定命名计数器 （__junos-dyn-service-counter）。

和service-accountingservice-accounting-deferred关键字是互斥的，无论是按字词还是按筛选器。

注意：

T4000 5 类 FPC 和 PTX 系列数据包传输路由器不支持此作。

service-filter-hit

（仅当标志由 service-filter-hit 当前类型的链接过滤器中的上一个过滤器标记时）将数据包定向到下一种类型的过滤器。

向链中的后续过滤器指示数据包已经过处理。此作与 service-filter-hit 接收过滤器中的匹配条件相结合，有助于简化过滤器处理。

注意：

T4000 5 类 FPC 和 PTX 系列数据包传输路由器不支持此作。

three-color-policer (single-rate | two-rate) policer-name

使用指定的单速率或双速率三色监管器对数据包进行监管。

注意：

您不能同时为同一防火墙过滤器术语配置 loss-priority 作。这两个作是互斥的。

相关文档