Übereinstimmungsbedingungen für Firewall-Filter für MPLS-Datenverkehr
Sie können einen Firewall-Filter mit Übereinstimmungsbedingungen für MPLS-Datenverkehr konfigurieren (family mpls
).
-
Die
input-list filter-names
and-Anweisungenoutput-list filter-names
für Firewall-Filter für diempls
Protokollfamilie werden auf allen Schnittstellen unterstützt, mit Ausnahme von Verwaltungsschnittstellen und internen Ethernet-Schnittstellen (fxp
oderem0
), Loopback-Schnittstellen (lo0
) und USB-Modemschnittstellen (umd
) -
(QFX5100, QFX5110, QFX5200, QFX5210) Wenn Sie einen MPLS-Filter auf eine Loopback-Schnittstelle anwenden, können Sie nur nach den
label
Feldern ,exp
,ttl=1
und Layer 4tcp
undudp
Portnummer filtern. Für TTL müssen Sie explizit underfamily mpls
angebenttl=1
, um mit TTL=1-Paketen übereinzustimmen. Die einzigen Aktionen, die Sie konfigurieren können, sindaccept
,discard
undcount
. Sie können den Filter nur in Eingangsrichtung anwenden. -
Bei Routern der MX-Serie mit MPC und MIC können Sie eingehende und ausgehende Filter für die MPLS-Familie auf der Grundlage von MPLS-getaggten IPv4- und IPv6-Parametern unter Verwendung interner Nutzlastübereinstimmungsbedingungen anwenden und die selektive Portspiegelung des MPLS-Datenverkehrs an ein Überwachungsgerät aktivieren (ab Junos OS Version 18.4R1). Für die IP-basierte Filterung sind unter dem Parameter MPLS-Filterbegriff
from
zusätzliche Übereinstimmungsbedingungen verfügbar, und zur Unterstützung der Portspiegelung sind zusätzliche Aktionen (z. B. port-mirror und port-mirror-instance) unter dem Parameter filterbegriffthen
verfügbar.
Tabelle 1 Beschreibt die match-conditions
Konfigurationen, die Sie auf Hierarchieebene [edit firewall family mpls filter filter-name term term-name from]
konfigurieren können.
Übereinstimmungsbedingung | Beschreibung |
---|---|
|
Geben Sie an, von welchen Gruppen Konfigurationsdaten geerbt werden sollen. Sie können mehrere Gruppennamen angeben. Sie müssen sie in der Reihenfolge ihrer Vererbungspriorität auflisten. Die Konfigurationsdaten in der ersten Gruppe haben Vorrang vor den Daten in den nachfolgenden Gruppen. |
|
Geben Sie an, von welchen Gruppen keine Konfigurationsdaten geerbt werden sollen. Sie können mehrere Gruppennamen angeben. |
|
Übereinstimmung im Feld UDP- oder TCP-Zielport. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Portnummern werden ebenfalls aufgelistet): |
|
Experimentelle (EXP) Bitnummer oder Bereich von Bitnummern im MPLS-Header eines Pakets. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 7 im Binär-, Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
HINWEIS:
Diese Übereinstimmungsbedingung ist auf PTX10001-36MR-, PTX10003-, PTX10004-, PTX10008- und PTX10016-Geräten veraltet und wird durch |
|
Stimmen Sie nicht mit der EXP-Bitnummer oder dem Bereich der Bitnummern im MPLS-Header überein. Für HINWEIS:
Diese Übereinstimmungsbedingung ist auf PTX10001-36MR-, PTX10003-, PTX10004-, PTX10008- und PTX10016-Geräten veraltet und wird durch |
|
Experimentelle (EXP) Bitnummer oder Bereich von Bitnummern im TOS MPLS-Header eines Pakets. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 7 im Binär-, Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
|
|
Stimmt nicht mit der EXP-Bitnummer oder dem Bereich der Bitnummern im TOS-MPLS-Header eines Pakets überein. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 7 im Binär-, Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
|
|
Experimentelle (EXP) Bitnummer oder Bereich von Bitnummern im MPLS-Header, der sich neben dem TOS-MPLS-Header (Top of Stack) befindet. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 7 im Binär-, Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
|
|
Stimmen Sie nicht mit der EXP-Bitnummer oder dem Bereich der Bitnummern im MPLS-Header neben dem TOS-MPLS-Header überein. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 7 im Binär-, Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
|
|
Weiterleitungsklasse. Geben Sie , HINWEIS:
Auf PTX10001-36MR werden PTX10003-, PTX10004-, PTX10008-, PTX10016-Router oder |
|
Keine Übereinstimmung mit der Weiterleitungsklasse. Geben Sie , |
|
Schnittstelle, auf der das Paket empfangen wurde. Sie können eine Übereinstimmungsbedingung konfigurieren, die Pakete basierend auf der Schnittstelle, auf der sie empfangen wurden, abgleicht. HINWEIS:
Wenn Sie diese Übereinstimmungsbedingung mit einer Schnittstelle konfigurieren, die nicht vorhanden ist, stimmt der Begriff mit keinem Paket überein. |
|
Ordnen Sie die Schnittstelle, auf der das Paket empfangen wurde, der angegebenen Schnittstellengruppe zu. Um eine Schnittstellenmenge zu definieren, fügen Sie die HINWEIS:
Diese Übereinstimmungsbedingung wird auf Paketübertragungsroutern der PTX-Serie nicht unterstützt. Weitere Informationen finden Sie unter Filtern von Paketen, die auf einer Schnittstelle empfangen wurden Satzübersicht. |
|
Übereinstimmung mit der inneren IP-Version. Um z. B. IPv4-Pakete mit MPLS-Tags abzugleichen, stimmen Sie mit dem Text synonym überein |
|
MPLS-Label-Wert oder Bereich von Label-Werten im MPLS-Header eines Pakets. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 1048575 im Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
HINWEIS:
Diese Option ist auf PTX10001-36MR-, PTX10003-, PTX10004-, PTX10008- und PTX10016-Geräten veraltet und wird durch |
|
MPLS-Label-Wert oder Bereich von Label-Werten im TOS-MPLS-Header eines Pakets. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 1048575 im Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
|
|
Stimmen Sie nicht mit dem MPLS-Label-Wert oder dem Bereich der Label-Werte im TOS-MPLS-Header eines Pakets überein. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 1048575 im Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
|
|
Stimmt mit dem MPLS-Beschriftungswert oder dem Bereich der Beschriftungswerte in der MPLS-Header-Beschriftung der MPLS-Kopfzeile überein, die sich neben der TOS-MPLS-Kopfzeile befindet. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 1048575 im Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
|
|
Stimmen Sie nicht mit dem MPLS-Beschriftungswert oder dem Bereich der Beschriftungswerte in der MPLS-Header-Beschriftung der MPLS-Kopfzeile überein, die sich neben der TOS-MPLS-Kopfzeile befindet. Für numberkönnen Sie einen oder mehrere Werte von 0 bis 1048575 im Dezimal- oder Hexadezimalformat angeben, wie unten angegeben:
|
label number top | bottom | offset offset-value |
Stimmt mit dem oberen oder unteren Label oder dem Label an einem bestimmten Offset (vom oberen oder unteren Rand des Labelstapels) des eingehenden MPLS-Pakets überein.
HINWEIS:
HINWEIS:
Die Konfigurationsbefehlsoptionen werden in Junos Version 22.3R1 eingeführt. |
|
Entspricht der PLP-Stufe (Packet Loss Priority). Geben Sie eine einzelne Ebene oder mehrere Ebenen an: Unterstützt auf M120- und M320-Routern; M7i- und M10i-Router mit dem erweiterten CFEB (CFEB-E); und Router der MX-Serie und Switches der EX-Serie. Für IP-Datenverkehr auf Routern der Serien M320, MX und T mit Enhanced II Flexible PIC Concentrators (FPCs) und Switches der EX-Serie müssen Sie die Weitere Informationen zu dieser HINWEIS:
Bei PTX10001-36MR werden PTX10003-, PTX10004-, PTX10008-, PTX10016-Router oder |
|
Nicht mit dem PLP-Wert übereinstimmen. Weitere Informationen finden Sie in der Übereinstimmungsbedingung HINWEIS:
Diese Übereinstimmungsbedingung wird auf Paketübertragungsroutern der PTX-Serie nicht unterstützt. |
|
Übereinstimmung im Feld TCP- oder UDP-Quellport. Sie können die Wenn Sie diese Übereinstimmungsbedingung für IPv4-Datenverkehr konfigurieren, empfehlen wir, dass Sie auch die Anstelle des numerischen Feldes können Sie eines der unter |
|
Übereinstimmung mit TTL-Nummer oder Zahlenbereich im TOS-MPLS-Header eines Pakets. Die Gültigkeitsdauer (TTL) ist ein 8-Bit-Feld in der MPLS-Bezeichnung, das die verbleibende Zeit angibt, die ein Paket noch hat, bevor seine Lebensdauer endet und verworfen wird. Für numberkönnen Sie einen Wert zwischen 0 und 255 angeben. |
|
Stimmt nicht mit der TTL-Nummer oder dem Nummernbereich im TOS MPLS-Header eines Pakets überein. Die Gültigkeitsdauer (TTL) ist ein 8-Bit-Feld in der MPLS-Bezeichnung, das die verbleibende Zeit angibt, die ein Paket noch hat, bevor seine Lebensdauer endet und verworfen wird. Für numberkönnen Sie einen Wert zwischen 0 und 255 angeben. |
|
Übereinstimmung mit der TTL-Nummer oder dem Zahlenbereich im MPLS-Header, der sich neben dem TOS-MPLS-Header eines Pakets befindet. Die Gültigkeitsdauer (TTL) ist ein 8-Bit-Feld in der MPLS-Bezeichnung, das die verbleibende Zeit angibt, die ein Paket noch hat, bevor seine Lebensdauer endet und verworfen wird. Für numberkönnen Sie einen Wert zwischen 0 und 255 angeben. |
|
Stimmen Sie nicht mit der TTL-Nummer oder dem Nummernbereich im MPLS-Header überein, der sich neben dem TOS-MPLS-Header eines Pakets befindet. Die Gültigkeitsdauer (TTL) ist ein 8-Bit-Feld in der MPLS-Bezeichnung, das die verbleibende Zeit angibt, die ein Paket noch hat, bevor seine Lebensdauer endet und verworfen wird. Für numberkönnen Sie einen Wert zwischen 0 und 255 angeben. |
exp0
, exp0-except
, exp1
, , ip-version
exp1-except
, label0
ttl0
label0-except
label1-except
ttl0-except
label1
ttl1
und ttl1-except
werden nur auf PTX10001-36MR, PTX10003, PTX10004, PTX10008, PTX10016 unterstützt.
Tabelle 2 beschreibt die Aktionen, die Sie für MPLS-Firewallfilter auf Hierarchieebene [edit firewall family mpls filter filter-name term term-name then]
konfigurieren können.
Action! |
Beschreibung |
---|---|
|
Paket annehmen |
|
Zählen Sie die Anzahl der Pakete, die diesen Filter oderBegriff passieren. HINWEIS:
Es wird empfohlen, für jeden Begriff in einem Firewallfilter einen Leistungsindikator zu konfigurieren, damit Sie die Anzahl der Pakete überwachen können, die den in jedem Filterbegriff angegebenen Bedingungen entsprechen. |
|
Verwerfen Sie ein Paket im Hintergrund, ohne eine ICMP-Nachricht (Internet Control Message Protocol) zu senden. |
|
Ab Junos OS 13.2X51-D15 können Sie Datenverkehr, der mit einem MPLS-Filter übereinstimmt, an einen zweifarbigen Policer senden. |
|
Ab Junos OS 13.2X51-D15 können Sie Datenverkehr, der mit einem MPLS-Filter übereinstimmt, an einen dreifarbigen Policer senden. |