Übereinstimmungsbedingungen und -aktionen für Firewall-Filter (QFX10000 Switches)

Jeder Begriff in einem Firewallfilter besteht aus Übereinstimmungsbedingungen und einer Aktion. Übereinstimmungsbedingungen sind die Felder und Werte, die ein Paket enthalten muss, um als Übereinstimmung betrachtet zu werden. Sie können einzelne oder mehrere Übereinstimmungsbedingungen in Übereinstimmungsanweisungen definieren. Sie können auch no match-Anweisung einschließen, in diesem Fall stimmt der Begriff mit allen Paketen überein.

Wenn ein Paket mit einem Filter übereinstimmt, führt der Switch die im Begriff angegebene Aktion aus. Darüber hinaus können Sie Aktionsmodifikatoren zum Zählen, Spiegeln, Ratenbegrenzung und Klassifizieren von Paketen angeben. Wenn keine Übereinstimmungsbedingungen für den Begriff angegeben sind, akzeptiert der Switch das Paket standardmäßig.

In diesem Thema werden die verschiedenen Übereinstimmungsbedingungen, Aktionen und Aktionsmodifikatoren beschrieben, die Sie in Firewall-Filtern auf QFX10000 Switches definieren können. Ähnliche Informationen zu anderen QFX-Switches finden Sie unter Bedingungen und Aktionen für Firewall-Filter (Switches der QFX- und EX-Serie).

Tabelle 1 Beschreibt die Übereinstimmungsbedingungen, die Sie beim Konfigurieren eines Firewallfilters angeben können. Bei einigen der Übereinstimmungsbedingungen für numerische Bereiche und Bitfelder können Sie ein Textsynonym angeben. Um eine Liste aller Synonyme für eine Übereinstimmungsbedingung anzuzeigen, geben Sie an der entsprechenden Stelle in einer Anweisung ein .?
Tabelle 2 Zeigt die Aktionen an, die Sie in einem Begriff angeben können.
Tabelle 3 Zeigt die Aktionsmodifikatoren an, die Sie zum Zählen, Spiegeln, Ratenbegrenzung und Klassifizieren von Paketen verwenden können.

Tabelle 1: Unterstützte Spielbedingungen (QFX10000 Switches)
Übereinstimmungsbedingung	Beschreibung	Richtung und Schnittstelle
`destination-address ip-address`	IP-Zieladressfeld, bei dem es sich um die Adresse des endgültigen Zielknotens handelt.	Ingress-IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). IPv4-Ausgangsschnittstellen (inet) und IPv6-Schnittstellen (inet6). Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend
`destination-mac-address mac-address`	MAC-Adresse (Destination Media Access Control) des Pakets.	Ingress-Ports und VLANs. Ausgangsports und VLANs.
`destination-port value`	TCP- oder UDP-Zielportfeld. In der Regel geben Sie diese Übereinstimmung in Verbindung mit der match-Anweisung an.`protocol` Für die folgenden bekannten Ports können Sie Textsynonyme angeben (die Portnummern werden ebenfalls aufgelistet): , , , , , , `afs (1483)bgp (179)biff (512)bootpc (68)bootps (67)` , , `cmd (514)cvspserver (2401)` , , `dhcp (67)domain (53)` , , , `eklogin (2105)ekshell (2106)exec (512)` , , , `finger (79)ftp (21)ftp-data (20)` , , `http (80)https (443)` , , `ident (113)imap (143)` , , , , , , , , `kerberos-sec (88)klogin (543)kpasswd (761)krb-prop (754)krbupdate (760)kshell (544)` , , `ldap (389)login (513)` , , , `mobileip-agent (434)mobilip-mn (435)msdp (639)` , , , , , , , , , `netbios-dgm (138)netbios-ns (137)netbios-ssn (139)nfsd (2049)nntp (119)ntalk (518)ntp (123)` , , , `pop3 (110)pptp (1723)printer (515)` ,, , , `radacct (1813)radius (1812)rip (520)rkinit (2108)` , , , , , , , , , , , `smtp (25)snmp (161)snmptrap (162)snpp (444)socks (1080)ssh (22)sunrpc (111)syslog (514)` , , , , , , `tacacs-ds (65)talk (517)telnet (23)tftp (69)timed (525)` `who (513)`, `xdmcp (177)`, `zephyr-clt (2103)`, `zephyr-hm (2104)`	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Ausgangsports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend
`destination-prefix-list prefix-list`	Listenfeld für IP-Zielpräfixe. Sie können eine Liste von IP-Adresspräfixen unter einem Präfixlistenalias für die häufige Verwendung definieren. Definieren Sie diese Liste auf Hierarchieebene .`[edit policy-options]`	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Ausgangsports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6).
`dscp value`	Codepunkt für differenzierte Dienste (DSCP). Das DiffServ-Protokoll verwendet das ToS-Byte (Type-of-Service) im IP-Header. Die höchstwertigen 6 Bit dieses Bytes bilden den DSCP. Sie können DSCP in hexadezimaler, binärer oder dezimaler Form angeben. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): `be`—Best Effort (Standard) – wie in RFC 3246, An Expedited Forwarding PHB, definiert.`ef (46)`http://www.ietf.org/rfc/rfc3246.txt , , ;`af11 (10)af12 (12)af13 (14)` , , ;`af21 (18)af22 (20)af23 (22)` , , ;`af31 (26)af32 (28)af33 (30)` , , `af41 (34)af42 (36)af43 (38)` Diese vier Klassen mit drei Drop-Prioritäten in jeder Klasse für insgesamt 12 Codepunkte sind in RFC 2597, Assured Forwarding PHB, definiert.http://www.ietf.org/rfc/rfc2597.txt , , , , , , , , , , , `cs0cs1cs2cs3cs4cs5cs6cs7cs5`	Eingangsports, VLANs und IPv4-Schnittstellen (inet). Ausgangsports, VLANs und IPv4-Schnittstellen (inet).
`ether-type value`	Ethernet-Typfeld eines Pakets. Der EtherType-Wert gibt an, welches Protokoll im Ethernet-Frame transportiert wird. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): `aarp (0x80F3)`—EtherType-Wert AARP `appletalk (0x809B)`—EtherType-Wert AppleTalk `arp (0x0806)`—EtherType-Wert ARP `fcoe (0x8906)`—EtherType-Wert FCoE `fip (0x8914)`—EtherType-Wert FIP `ipv4 (0x0800)`—EtherType-Wert IPv4 `ipv6 (0x08DD)`—EtherType-Wert IPv6 `mpls-multicast (0x8848)`—EtherType-Wert MPLS-Multicast `mpls-unicast (0x8847)`—EtherType-Wert MPLS-Unicast `oam (0x88A8)`—EtherType-Wert OAM `ppp (0x880B)`—EtherType-Wert PPP `pppoe-discovery (0x8863)`—EtherType-Wert PPPoE-Erkennungsphase `pppoe-session (0x8864)`—EtherType-Wert PPPoE-Sitzungsphase `sna (0x80D5)`—EtherType-Wert SNA	Ingress-Ports und VLANs. Ausgangsports und VLANs.
`forwarding-class class`	Klassifizieren Sie das Paket in eine der folgenden Standardweiterleitungsklassen oder in eine benutzerdefinierte Weiterleitungsklasse: `best-effort` `fcoe` `network-control` `no-loss`	Ausgangsschnittstellen für IPv4 (inet) und IPv6 (inet6).
`fragment-flags value`	IP-Fragmentierungs-Flags. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Hexadezimalwerte werden ebenfalls aufgelistet): `is-fragment` `dont-fragment (0x4000)` `more-fragments (0x2000)` `reserved (0x8000)`	Eingangsports, VLANs und IPv4-Schnittstellen (inet).
`hop-limit value`	Stimmt mit dem angegebenen Hop-Limit oder dem Satz von Hop-Limits überein. Geben Sie einen einzelnen Wert oder einen Wertebereich von 0 bis 255 an.	IPv6-Schnittstellen (inet6) für eingehenden und ausgehenden Datenverkehr.
`icmp-code value`	ICMP-Code-Feld. Da die Bedeutung des Werts von der zugeordneten abhängt, müssen Sie einen Wert für zusammen mit einem Wert für angeben.`icmp-typeicmp-typeicmp-code` Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet). Die Schlüsselwörter werden nach dem ICMP-Typ gruppiert, dem sie zugeordnet sind: IPv4: Parameter-Problem—, `ip-header-bad (0)required-option-missing (1)` IPv6: Parameter-Problem—, , `ip6-header-bad (0)unrecognized-next-header (1)unrecognized-option (2)` —, , , `redirectredirect-for-network (0)redirect-for-host (1)redirect-for-tos-and-net (2)redirect-for-tos-and-host (3)` —, `time-exceededttl-eq-zero- during-reassembly (1)ttl-eq-zero-during-transit (0)` IPv4: nicht erreichbar—, , , , `network-unreachable (0)host-unreachable (1)protocol-unreachable (2)port-unreachable (3)fragmentation-needed (4)source-route-failed (5)destination-network-unknown (6)destination-host-unknown (7)source-host-isolated (8)destination-network-prohibited (9)destination-host-prohibited (10)network-unreachable-for-TOS (11)host-unreachable-for-TOS (12)communication-prohibited-by-filtering (13)host-precedence-violation (14)precedence-cutoff-in-effect (15)` IPv6: nicht erreichbar—, , , `address-unreachable (3)administratively-prohibited (1)no-route-to-destination (0)port-unreachable (4)`	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Ausgangsports, VLANs, IPv4 (inet)-Schnittstellen und IPv6 (inet6)-Schnittstellen
`icmp-type value`	ICMP-Nachrichtentypfeld. In der Regel geben Sie diese Übereinstimmung in Verbindung mit der match-Anweisung an, um zu bestimmen, welches Protokoll auf dem Port verwendet wird.`protocol` Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): IPv4:, , , , `echo-reply (0)destination unreachable (3)source-quench (4)redirect (5)echo-request (8)IPv4 (inet)-advertisement (9)IPv4 (inet)-solicit (10)time-exceeded (11)parameter-problem (12)timestamp (13)timestamp-reply (14)info-request (15)info-reply (16)mask-request (17)mask-reply (18)` IPv6:, , , , `destination-unreachable (1)packet-too-big (2)time-exceeded (3)parameter-problem (4)echo-request (128)echo-reply (129)membership-query (130)membership-report (131)membership-termination (132)router-solicit (133)router-advertisement (134)neighbor-solicit (135)neighbor-advertisement (136)redirect (137)router-renumbering (138)node-information-request (139)node-information-reply (140)` Siehe auch .`icmp-code variable`	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Ausgangsports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6).
`interface interface-name`	Schnittstelle, auf der das Paket empfangen wird, einschließlich der logischen Einheit. Sie können das Platzhalterzeichen () als Teil eines Schnittstellennamens oder einer logischen Einheit einfügen.`*` HINWEIS: Eine Schnittstelle, von der ein Paket gesendet wird, kann nicht als Übereinstimmungsbedingung verwendet werden.	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Egress-IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6).
`ip-destination-address address`	IPv4-Adresse, bei der es sich um die endgültige Zielknotenadresse für das Paket handelt.	Ingress-Ports, Egress-Ports und VLANs. Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend
`ip-options`	Geben Sie an , dass eine Übereinstimmung erstellt werden soll, wenn im Optionsfeld im IP-Header etwas angegeben ist.`any`	Eingangsports, VLANs und IPv4-Schnittstellen (inet).
`ip-precedence ip-precedence-field`	Feld für die IP-Rangfolge. Anstelle des numerischen Feldwerts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): (0xa0), (0x60), (0x80), (0x40), (0xc0), (0xe0), (0x20) oder (0x00).`critical-ecpflashflash-overrideimmediateinternet-controlnet-controlpriorityroutine`	Ingress-Ports und VLANs. Ausgangsports und VLANs.
`ip-protocol number`	IP-Protokoll-Feld.	Ingress-Ports und VLANs. Ausgangsports und VLANs. Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend
`ip-source-address` `address`	IPv4-Adresse des Quellknotens, der das Paket sendet.	Ingress-Ports und VLANs. Ausgangsports und VLANs. Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend
`ip-version address`	IP-Version des Pakets. Verwenden Sie diese Bedingung, um IPv4- oder IPv6-Header-Felder im Datenverkehr abzugleichen, der über einen Layer-2-Port oder eine VLAN-Schnittstelle eintrifft.	Ingress-Ports und VLANs. Ausgangsports und VLANs.
`is-fragment`	Die Verwendung dieser Bedingung führt zu einer Übereinstimmung, wenn das Flag "Weitere Fragmente" im IP-Header aktiviert ist oder wenn der Fragmentoffset nicht Null ist.	Eingangsports, VLANs und IPv4-Schnittstellen (inet). IPv4-Ausgangsschnittstellen (inet).
`learn-1p-priority number`	Entspricht den angegebenen IEEE 802.1p VLAN-Prioritätsbits im Bereich .`0-7`	Ingress-Ports und VLANs. Ausgangsports und VLANs.
`learn-vlan-id number`	Stimmt mit der ID eines normalen VLANs oder der ID des äußeren (Service-)VLANs (für Q-in-Q-VLANs) überein. Um den Filterspeicher so effizient wie möglich zu nutzen und die Anzahl der möglichen Filter zu maximieren, verwenden Sie diese Bedingung zusätzlich zu dem Zeitpunkt, an dem Sie die innere (Kunden-)VLAN-ID abgleichen möchten.`user-id` Die zulässigen Werte sind 1-4095.	Ingress-Ports und VLANs. Ausgangsports und VLANs. Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend
`loss-priority (low \| medium-low \| medium-high \| high)`	Legen Sie die Paketverlustpriorität (PLP) fest. HINWEIS: Der Aktionsmodifikator wird in Kombination mit der Aktion nicht unterstützt.`loss-prioritypolicer`	Ausgangsschnittstellen für IPv4 (inet) und IPv6 (inet6).
`next-header value`	IPv4- oder IPv6-Protokollwert. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die numerischen Werte werden ebenfalls aufgelistet): ,, , , `hop-by-hop (0)icmp (1)icmp6 (58)igmp (2)ipip (4)tcp (6)egp (8)udp (17)ipv6 (41)routing (43)fragment (44)rsvp (46)gre (47)esp (50)ah (51)icmp6 (58)no-next-header (59)dstopts (60)ospf (89)pim (103)vrrp (112)sctp (132)`	Ingress IPv6 (inet6)-Schnittstellen. IPv6-Ausgangsschnittstellen (inet6).
`packet-length number`	Paketlänge in Bytes. Sie müssen eine Zahl zwischen 0 und 65535 eingeben.	Ingress-Ports, VLANs, IPv4- (inet) und IPv6-Schnittstellen (inet6). IPv4-Ausgangsschnittstellen (inet).
`precedence value`	IP-Rangfolgebits im ToS-Byte (Type-of-Service) im IP-Header. (Dieses Byte kann auch für den DiffServ DSCP verwendet werden.) Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die numerischen Werte werden ebenfalls aufgelistet): `routine (0)` `priority (1)` `immediate (2)` `flash (3)` `flash-override (4)` `critical-ecp (5)` `internet-control (6)` `net-control (7)`	Ingress-IPv4-Schnittstellen (inet). IPv4-Ausgangsschnittstellen (inet).
`protocol type`	IPv4- oder IPv6-Protokollwert. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die numerischen Werte werden ebenfalls aufgelistet): ,, , , `hop-by-hop (0)icmp (1)icmp6igmp (2)ipip (4)tcp (6)egp (8)udp (17)ipv6 (41)routing (43)fragment (44)rsvp (46)gre (47)esp (50)ah (51)icmp6 (58)no-next-header (59)dstopts (60)ospf (89)pim (103)vrrp (112)sctp (132)`	Ingress-IPv4-Schnittstellen (inet). IPv4-Ausgangsschnittstellen (inet).
`source-address ip-address`	IP-Quelladressfeld, bei dem es sich um die Adresse des Knotens handelt, der das Paket gesendet hat.	Ingress-IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Egress-IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend
`source-mac-address mac-address`	MAC-Adresse (Source Media Access Control) des Pakets.	Ingress-Ports und VLANs. Ausgangsports und VLANs.
`source-port value`	TCP- oder UDP-Quellport. In der Regel geben Sie diese Übereinstimmung in Verbindung mit der match-Anweisung an.`protocol` Anstelle des numerischen Feldes können Sie eines der unter aufgeführten Textsynonyme angeben.`destination-port`	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Ausgangsports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend
`source-prefix-list prefix-list`	Liste der IP-Quellpräfixe. Sie können eine Liste von IP-Adresspräfixen unter einem Präfixlistenalias für die häufige Verwendung definieren. Definieren Sie diese Liste auf Hierarchieebene .`[edit policy-options]`	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). Ausgangsports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6).
`tcp-established`	Pakete einer bestehenden TCP-Verbindung abgleichen. Diese Bedingung stimmt mit Paketen überein, die nicht zum Einrichten einer TCP-Verbindung verwendet werden, d. h., Drei-Wege-Handshake-Pakete werden nicht abgeglichen. Wenn Sie angeben , überprüft ein Switch nicht implizit, ob es sich bei dem Protokoll um TCP handelt.`tcp-established` Sie müssen auch die Übereinstimmungsbedingung angeben.`protocol tcp`	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). IPv4-Ausgangsschnittstellen (inet).
`tcp-flags value`	Ein oder mehrere TCP-Flags: `ack (0x10)` `fin (0x01)` `push (0x08)` `rst (0x04)` `syn (0x02)` `urgent (0x20)`	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). IPv4-Ausgangsschnittstellen (inet).
`tcp-initial`	Stimmt mit dem ersten TCP-Paket einer Verbindung überein. Eine Übereinstimmung tritt auf, wenn das TCP-Flag festgelegt ist und das TCP-Flag nicht festgelegt ist.`SYNACK` Wenn Sie angeben , überprüft ein Switch nicht implizit, ob es sich bei dem Protokoll um TCP handelt.`tcp-initial` Sie müssen auch die Übereinstimmungsbedingung angeben.`protocol tcp`	Ingress-Ports, VLANs, IPv4-Schnittstellen (inet) und IPv6-Schnittstellen (inet6). IPv4-Ausgangsschnittstellen (inet).
`traffic-class value`	8-Bit-Feld, das die Class-of-Service (CoS)-Priorität des Pakets angibt. Das Feld traffic-class wird verwendet, um einen DiffServ-Codepunkt (DSCP)-Wert anzugeben. Dieses Feld wurde zuvor als ToS-Feld (Type-of-Service) in IPv4 verwendet, und die Semantik dieses Felds (z. B. DSCP) ist identisch mit der von IPv4. Sie können eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): , , , `af11 (10)af12 (12)af13 (14)af21 (18)af22 (20)af23 (22)af31 (26)af32 (28)af33 (30)af41 (34)af42 (36)af43 (38)cs0 (0)cs1 (8)cs2 (16)cs3 (24)cs4 (32)cs5 (40)cs6 (48)cs7 (56)ef (46)`	Ingress IPv6 (inet6)-Schnittstellen. IPv6-Ausgangsschnittstellen (inet6).
`ttl value`	IP-Feld für die Gültigkeitsdauer (TTL) in Dezimalzahl. Der Wert kann zwischen 1 und 255 liegen.	Ingress-IPv4-Schnittstellen (inet). IPv4-Ausgangsschnittstellen (inet). Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend
`user-vlan-id number`	Stimmt mit der ID des inneren (Kunden-)VLANs in einem Q-in-Q-VLAN überein. Um den Filterspeicher möglichst effizient zu nutzen und die Anzahl der möglichen Filter zu maximieren, verwenden Sie in Kombination mit , um die äußere (Service-)VLAN-ID abzugleichen.`learn-vlan-id` Die zulässigen Werte sind 1-4095.	Ingress-Ports und VLANs. Ausgangsports und VLANs.

Use-Anweisungen, um Aktionen zu definieren, die ausgeführt werden sollen, wenn ein Paket alle Bedingungen in einer Anweisung erfüllt. Zeigt die Aktionen an, die Sie in einem Begriff angeben können. thenfromTabelle 2 (Wenn Sie keine Anweisung angeben, akzeptiert das System Pakete, die dem Filter entsprechen.)then

Tabelle 2: Aktionen
Was	Beschreibung
`accept`	Akzeptieren Sie ein Paket. Dies ist die Standardaktion für Pakete, die mit einem Begriff übereinstimmen.
`discard`	Verwerfen Sie ein Paket im Hintergrund, ohne eine ICMP-Nachricht (Internet Control Message Protocol) zu senden.
`reject message-type`	Verwerfen Sie ein Paket, und senden Sie die ICMPv4-Meldung "Ziel nicht erreichbar" (Typ 3). Um abgelehnte Pakete zu protokollieren, konfigurieren Sie den Aktionsmodifizierer.`syslog` Sie können einen der folgenden Nachrichtentypen angeben: oder .`administratively-prohibited (default), bad-host-tos, bad-network-tos, host-prohibited, host-unknown, host-unreachable, network-prohibited, network-unknown, network-unreachable, port-unreachable, precedence-cutoff, precedence-violation, protocol-unreachable, source-host-isolated, source-route-failed,tcp-reset` Wenn Sie angeben , sendet das System einen TCP-Reset, wenn es sich bei dem Paket um ein TCP-Paket handelt, andernfalls wird nichts gesendet.`tcp-reset` Wenn Sie keinen Nachrichtentyp angeben, wird die ICMP-Benachrichtigung "Ziel nicht erreichbar" mit der Standardnachricht "Kommunikation administrativ gefiltert" gesendet. HINWEIS: Die Aktion wird nur auf Eingangsschnittstellen unterstützt.`reject`
`routing-instance instance-name`	Leiten Sie übereinstimmende Pakete an eine virtuelle Routing-Instanz weiter. (Der einzige unterstützte Instance-Typ ist .) Pakete können an die Standardinstanz weitergeleitet werden.`virtual-router`
`vlan VLAN-name`	Leitt übereinstimmende Pakete an ein bestimmtes VLAN weiter. HINWEIS: Die Aktion wird nur auf Eingangsschnittstellen unterstützt.`vlan` HINWEIS: Diese Aktion wird auf Switches der OCX-Serie nicht unterstützt.

Sie können auch die Aktionsmodifikatoren angeben, die unter zum Zählen, Spiegeln, Ratenbegrenzung und Klassifizieren von Paketen aufgeführt sind.Tabelle 3

Tabelle 3: Aktionsmodifikatoren
Modifikator "Aktion"	Beschreibung
`count counter-name`	Zählen Sie die Anzahl der Pakete, die mit dem Begriff übereinstimmen.
`forwarding-class class`	Klassifizieren Sie das Paket in eine der folgenden Standardweiterleitungsklassen oder in eine benutzerdefinierte Weiterleitungsklasse: `best-effort` `fcoe` `mcast` `network-control` `no-loss` HINWEIS: Um eine Weiterleitungsklasse zu konfigurieren, müssen Sie auch die Verlustpriorität konfigurieren.
`log`	Protokollieren Sie die Header-Informationen des Pakets in der Routing-Engine. Um diese Informationen anzuzeigen, geben Sie den Befehl Betriebsmodus ein.`show firewall log` HINWEIS: Der Aktionsmodifizierer wird nur auf Eingangsschnittstellen unterstützt.`log`
`loss-priority (low \| medium-low \| medium-high \| high)`	Legen Sie die Paketverlustpriorität (PLP) fest. HINWEIS: Der Aktionsmodifizierer wird nur auf Eingangsschnittstellen unterstützt.`loss-priority` HINWEIS: Der Aktionsmodifikator wird in Kombination mit der Aktion nicht unterstützt.`loss-prioritypolicer`
`policer policer-name`	Senden von Paketen an einen Policer (zum Zweck der Anwendung der Ratenbegrenzung). Sie können einen Policer für Eingangs- und Ausgangsport-, VLAN-, IPv4- (inet) und IPv6-Firewallfilter (inet6) angeben. HINWEIS: Der Aktionsmodifikator wird in Kombination mit der Aktion nicht unterstützt.`policerloss-priority`
`port-mirror`	(ELS-Plattformen) Spiegeln des Datenverkehrs (Kopieren von Paketen) auf eine Ausgabeschnittstelle, die in einer Port-Spiegelungsinstanz auf Hierarchieebene konfiguriert ist.`[edit forwarding-options port-mirroring]` Sie können die Port-Spiegelung für Eingangs- und Ausgangs-Port-, VLAN-, IPv4- (inet) und IPv6-Firewallfilter (inet6) angeben.
`port-mirror-instance port-mirror-instance-name`	(ELS-Plattformen) Spiegeln Sie den Datenverkehr auf eine Portspiegelungsinstanz, die auf Hierarchieebene konfiguriert ist.`[edit forwarding-options port-mirroring]` Sie können die Port-Spiegelung für Eingangs- und Ausgangs-Port-, VLAN-, IPv4- (inet) und IPv6-Firewallfilter (inet6) angeben. HINWEIS:
`syslog`	Protokollieren Sie eine Warnung für dieses Paket. HINWEIS: Der Aktionsmodifizierer wird nur auf Eingangsschnittstellen unterstützt.`syslog`
`three-color-policer three-color-policer-name`	Senden Sie Pakete an einen dreifarbigen Policer (zum Zweck der Anwendung der Ratenbegrenzung). Sie können einen dreifarbigen Policer für Eingangs- und Ausgangsport-, VLAN-, IPv4- (inet) und IPv6-Filter (inet6) angeben. HINWEIS: Der Aktionsmodifikator wird in Kombination mit der Aktion nicht unterstützt.`policerloss-priority`

Übereinstimmungsbedingungen und -aktionen für Firewall-Filter (QFX10000 Switches)

Verwandte Themen