Nichtterminierende Aktionen für Firewall-Filter

bgp-output-queue-priority priority (expedited | (1-16))

Weisen Sie das Paket einer der 17 priorisierten Datenwarteschlangen BGP zu.

count counter-name

Zählen Sie das Paket auf den benannten Zähler.

dont-fragment (set | clear)

Konfigurieren Sie den Wert des Nicht-Fragment-Bit (Flag) im IPv4-Header, um anzugeben, ob das Datagramm fragmentiert werden kann:

• set— Ändern Sie den Flag-Wert in einen Wert, um eine Fragmentierung zu verhindern.

• clear— Ändern Sie den Flag-Wert in Null, um eine Fragmentierung zu ermöglichen.

dscp value

Legen Sie das IPv4-DSCP-Bit (Differentiated Services Code Point) fest. Sie können einen Mehrwert spezifizieren 0 von durch 63 . Um den Wert in Hexadezimalform anzugeben, geben Sie 0x als Präfix ein. Um den Wert in binärer Form anzugeben, geben Sie b als Präfix ein.

Der DSCP-Standardwert be ist (bester Aufwand) oder 0 .

Sie können auch eines der folgenden Texts synonyme angeben:

• af11— Gesicherte Weiterleitungsklasse 1, Low-Drop-Rangfolge (1)

• af12— Gesicherte Weiterleitungsklasse 1, Medium Drop Precedence (2)

• af13— Gesicherte Weiterleitungsklasse 1, Hohe Drop-Rangfolge (3); Und so weiter – af43 Gesicherte Weiterleitungsklasse 4, High-Drop-Precedence

• be— Best Effort

• cs0– Class-Selektor 0; Und so weiter über cs7 , Class-Selektor 0

• ef— Beschleunigte Weiterleitung

force-premium

Standardmäßig verarbeitet ein hierarchischer Policer den empfangenen Datenverkehr entsprechend der Weiterleitungsklasse des Datenverkehrs. Premium, der beschleunigte Weiterleitungsverkehr, hat Priorität für die Bandbreite gegenüber dem aggregierten Best-Effort-Datenverkehr. Der Filter stellt sicher, dass der dem Begriff entsprechende Datenverkehr von einem nachfolgenden hierarchischen Policer als Premium-Datenverkehr behandelt wird, unabhängig force-premium von der Weiterleitungsklasse. Dieser Datenverkehr wird bevorzugt für jeglichen aggregierten Datenverkehr, der von diesem Policer empfangen wird.

forwarding-class class-name

Klassifizieren Sie das Paket der benannten Weiterleitungsklasse:

• Forwarding Class Name

• assured-forwarding

• best-effort

• expedited-forwarding

• network-control

hierarchical-policer

Policen des Pakets mithilfe des angegebenen hierarchischen Policers

ipsec-sa ipsec-sa

Verwenden Sie die angegebene IPsec-Sicherheitsgemeinschaft.

load-balance group-name

Verwenden Sie die angegebene Load-Balancing-Gruppe.

log

Protokollieren Sie die Informationen zum Paket-Header in einem Puffer innerhalb Packet Forwarding Engine. Sie können auf diese Informationen zugreifen, indem Sie den show firewall log Befehl am Befehlszeilenschnittstelle (CLI) (CLI).

logical-system logical-system-name

Leitet Pakete an ein bestimmtes logisches System weiter.

loss-priority (high | medium-high | medium-low | low)

Legen Sie die Paketverlustprioritätsebene (PLP) fest.

Sie können auch nicht die three-color-policer nicht deaktivierte Aktion für den gleichen Firewall-Filterbegriff konfigurieren. Diese beiden nicht-endlosen Aktionen schließen sich gegenseitig aus.

Diese Aktion wird auf Routern M120 routern M320 unterstützt. M7i- M10i mit Enhanced CFEB (CFEB-E); routern der MX-Serie.

Für den IP-Datenverkehr auf Routern der M320-, MX-Serie und T-Serie-Serie mit Enhanced II Flexible PIC Concentrators (FPCs) muss die Anweisung auf der Hierarchieebene enthalten sein, um eine PLP-Konfiguration mit einer der vier angegebenen Ebenen tri-color[edit class-of-service] festzulegen. Wenn die tri-color Aussage nicht aktiviert ist, können Sie nur die Ebenen highlow konfigurieren. Dies gilt für alle Protokollfamilien.

Informationen zur Anweisung und zum Verwenden von BEHAVIOR Aggregate (BA)-Klassifizierern zum Festlegen der PLP-Ebene eingehender Pakete finden Sie unter tri-color Understanding How Behavior Aggregate Classifiers Prioritize Trusted Traffic(So priorisieren die aggregierten Classifier den vertrauenswürdigen Datenverkehr).

next-hop-group group-name

Verwenden Sie die angegebene Next-Hop-Gruppe.

Wir empfehlen Ihnen, die Aktion nicht mit demselben Firewall-Filter oder der next-hop-group Aktion zu port-mirror-instanceport-mirror verwenden.

next-interface interface-name

(MX-Serie) Leitet Pakete an die angegebene ausgehende Schnittstelle weiter.

next-ip ip-address

(MX-Serie) Leitet Pakete an die angegebene IPv4-Zieladresse weiter.

next-ip6 ipv6-address

(MX-Serie) Leitet Pakete an die angegebene IPv6-Zieladresse weiter.

packet-mode

Aktualisiert ein Bitfeld im Paketschlüsselpuffer, wodurch der Datenverkehr angibt, der die flussbasierte Weiterleitung umgehen soll. Pakete mit der packet-mode Aktionsmodfizierer folgen dem paketbasierten Weiterleitungspfad und umgehen die flussbasierte Weiterleitung vollständig. Gilt nur SRX100, SRX210, SRX220, SRX240 und SRX650 Geräten. Weitere Informationen zu selektiven zustandslosen paketbasierten Diensten finden Sie im Leitfaden Junos OS Sicherheitskonfiguration.

policer policer-name

Name des Policers zur Verwendung zur Begrenzung des Datenverkehrsraten.

policy-map policy-map-name

(MX-Serie) Name der Richtlinienzuordnung, die verwendet wird, um einem bestimmten Kunden spezifische Rewrite-Regeln zu zuweisen.

port-mirror instance-name

Spiegelung des Pakets basierend auf der angegebenen Familie. Diese Aktion wird auf Routern M120 Routern, M320 mit Enhanced III FPCs, Routern der MX-Serie und nur Paketübertragungs-Router PTX-Serie unterstützt.

Wir empfehlen, dass Sie sowohl die Aktionen next-hop-group als auch die Aktionen im selben port-mirror Firewall-Filter nicht verwenden.

port-mirror-instance instance-name

Port-Spiegelung eines Pakets für eine Instanz. Diese Aktion wird nur auf den Routern der MX-Serie unterstützt.

Wir empfehlen, dass Sie sowohl die Aktionen next-hop-group als auch die Aktionen im selben port-mirror-instance Firewall-Filter nicht verwenden.

prefix-action action-name

Zählen oder Police-Pakete basierend auf dem angegebenen Aktionsnamen.

routing-instance routing-instance-name

Leitet Pakete an die angegebene Routing-Instanz weiter.

sample

Das Paket mustern.

service-accounting

Verwenden Sie den Inline-Zählermechanismus bei der Erfassung von Abonnentenstatistiken pro Service.

Das Paket für Service-Accounting zählen. Die Anz. wird auf einen bestimmten benannten Zähler ( ) angewendet, der RADIUS __junos-dyn-service-counter erlangen kann.

Sowohl die Suchbegriffe als auch die Keywords enthalten service-accountingservice-accounting-deferred keine bestimmten Begriffe.

service-accounting- deferred

Verwenden Sie den Deferred Counting-Mechanismus bei der Erfassung von Abonnentenstatistiken pro Service. Die Anz. wird auf einen bestimmten benannten Zähler ( ) angewendet, der RADIUS __junos-dyn-service-counter erlangen kann.

Sowohl die Suchbegriffe als auch die Keywords enthalten service-accountingservice-accounting-deferred keine bestimmten Begriffe.

service-filter-hit

(Nur, wenn der Flag von einem vorherigen Filter im aktuellen Filtertyp von verketteten Filtern markiert wurde) Leitet das Paket zum service-filter-hit nächsten Filtertyp an.

Geben Sie die nachfolgenden Filter in der Kette an, dass das Paket bereits verarbeitet wurde. Diese Aktion in Kombination mit der service-filter-hit Bedingungen in Empfangsfiltern hilft bei der Optimierung der Filterverarbeitung.

syslog

Protokollieren Sie das Paket in der Systemprotokolldatei.

Die Syslog-Firewall-Aktion für vorhandene und Familien, und die Aktion in L2-Familienfiltern inet umfasst die folgenden inet6syslog L2-Informationen:

Eingabeschnittstelle, Aktion, VLAN ID1, VLAN-ID2, Ethernet-Typ, Quell- und Ziel-MAC-Adressen, Protokoll, Quell- und Ziel-IP-Adressen, Quell- und Ziel-Ports und die Anzahl der Pakete.

three-color-policer (single-rate | two-rate) policer-name

Policen des Pakets mithilfe des angegebenen Single-Rate- oder Two-Rate Three-Color-Policer.

traffic-class value

Geben Sie den Codepunkt der Datenverkehrsklasse an. Sie können einen Mehrwert spezifizieren 0 von durch 63 . Um den Wert in Hexadezimalform anzugeben, geben Sie 0x als Präfix ein. Um den Wert in binärer Form anzugeben, geben Sie b als Präfix ein.

Der standardmäßige Wert der Datenverkehrsklasse ist der beste Versuch, oder be0 .

Sie können an der Stelle des numerischen Werts eines der folgenden Text synonyme angeben:

• af11— Gesicherte Weiterleitungsklasse 1, Low-Drop-Rangfolge

• af12— Gesicherte Weiterleitungsklasse 1, Medium Drop Precedence

• af13— Gesicherte Weiterleitungsklasse 1, Hohe Drop-Rangfolge

• af21— Gesicherte Weiterleitungsklasse 2, Low-Drop-Rangfolge

• af22— Gesicherte Weiterleitungsklasse 2, Medium Drop Precedence

• af23— Gesicherte Weiterleitungsklasse 2, Hohe Drop-Rangfolge

• af31— Gesicherte Weiterleitungsklasse 3, Low-Drop-Rangfolge

• af32— Gesicherte Weiterleitungsklasse 3, Medium-Drop-Rangfolge

• af33— Gesicherte Weiterleitungsklasse 3, High-Drop-Rangfolge

• af41— Gesicherte Weiterleitungsklasse 4, Low-Drop-Rangfolge

• af42— Gesicherte Weiterleitungsklasse 4, Medium Drop Precedence

• af43— Gesicherte Weiterleitungsklasse 4, Hohe Drop-Rangfolge

• be— Best Effort

• cs0— Class-Selektor 0

• cs1– Class-Selektor 1

• cs2— Class-Selektor 2

• cs3– Class-Selektor 3

• cs4– Klassen-Selektor 4

• cs5— Class-Selektor 5

• cs6— Class-Selektor 6

• cs7— Klassen-Selektor 7

• ef— Beschleunigte Weiterleitung