Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ファイアウォール フィルター非終了アクション

ファイアウォールフィルターは、暗黙の受け入れアクションを含む、各プロトコルファミリーに対して異なる非終了アクションセットをサポートします。このコンテキストでは、 非終了 とは、他のアクションがこれらのアクションに従うことができるのに対し、他のアクションは 終了 アクションに従うことを意味します。そのため、同じフィルター条件で終了アクションを持つアクションを設定next termすることはできません。ただし、同じフィルター条件で別のnext term非終了アクションでアクションを設定することができます。

注:

Junos OSとJunos OS Evolvedでは、 next term アクションの最後の用語として表示することはできません。設定された一致条件なしでアクションとして指定されるフィルター条件 next term はサポートされていません。

表 1 は、ファイアウォールフィルター条件に設定できる終了しないアクションについて説明しています。

表 1: ファイアウォールフィルターの非終了アクション

非終了アクション

説明

プロトコルファミリー

bgp-output-queue-priority priority (expedited | (1-16))

BGP 出力キューの優先度が 17 の 1 つにパケットを割り当てます。

  • family evpn

  • family inet

  • family inet-mdt

  • family inet-mvpn

  • family inet-vpn

  • family inet6

  • family inet6-mvpn

  • family inet6-vpn

  • family iso-vpn

  • family l2vpn

  • family route-target

  • family traffic-engineering

count counter-name

名前付きカウンター内のパケットをカウントします。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

dont-fragment (set | clear)

IPv4 ヘッダーの Don't Fragment ビット(フラグ)の値を設定して、データグラムをフラグメント化できるかどうかを指定します。

  • set—フラグ値を1に変更して、フラグメント化を防ぎます。

  • clearフラグ値をゼロに変更し、フラグメント化を許可します。

注:

アクションは dont-fragment (set | clear) MPCでのみサポートされています。

family inet

dscp value

IPv4 DSCP(差別化サービスコードポイント)ビットを設定します。から 063までの数値を指定できます。16進法で値を指定するには、プレフィックスとしてを含 0x めます。値を 2 進形式で指定するには、プレフィックスとして を含 b めます。

デフォルトの DSCP 値は be (ベスト エフォート)または 0です。

また、以下のテキスト シノニムの 1 つを指定することもできます。

  • af11—保証された転送クラス1、低ドロップ優先度(1)

  • af12—保証された転送クラス1、中ドロップ優先度(2)

  • af13—保証された転送クラス1、高ドロップ優先度(3);など、 から af43、 確実な転送クラス 4、高損失の優先度

  • beベストエフォート

  • cs0クラスセレクター0。クラスセレクター0を通して cs7など

  • ef—転送の迅速化

注:

このアクションは、PTXシリーズルーターではサポートされていません。
注:

MXシリーズルーターで実行されているMPCラインカードは、ファイアウォールフィルターアクションと併せて、任意の値(0~63)を set dscp サポートします。
注:

アクション dscp 0 と dscp be は、T320、T640、T1600、TX Matrix、TX Matrix Plus、M320ルーター、および10ギガビットイーサネットモジュラーポートコンセントレータ(MPC)でのみサポートされています。ただし、これらのアクションは、M320ルーターの拡張IIIフレキシブルPICコンセントレータ(FPC)ではサポートされていません。T4000ルーターでは、 dscp 0 T1600拡張スケーリングタイプ4 FPCとT4000タイプ5 FPCの間の相互運用時にアクションはサポートされていません。

family inet

force-premium

デフォルトでは、階層ポリサーはトラフィックの転送クラスに応じて受信したトラフィックを処理します。プレミアムの優先転送トラフィックは、総ベストエフォート型トラフィックよりも帯域幅の優先度を持ちます。フィルターにより force-premium 、条件に一致するトラフィックは、転送クラスに関係なく、後続の階層型ポリサーによってプレミアムトラフィックとして扱われます。このトラフィックは、ポリサーが受信した集約トラフィックよりも優先されます。

注:

force-premiumフィルター オプションは MPC でのみサポートされています。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family VPLS

forwarding-class class-name

パケットを名前付き転送クラスに分類します。

  • forwarding-class-name

  • assured-forwarding

  • best-effort

  • expedited-forwarding

  • network-control

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

hierarchical-policer

指定された階層型ポリサーを使用してパケットをポリサーする

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

ipsec-sa ipsec-sa

指定されたIPsecセキュリティアソシエーションを使用します。

注:

このアクションは、MXシリーズルーター、T4000ルーターのタイプ5 FPC、PTXシリーズパケットトランスポートルーターではサポートされていません。

family inet

load-balance group-name

指定された負荷分散グループを使用します。

注:

このアクションは、MXシリーズルーターまたはPTXシリーズパケットトランスポートルーターではサポートされていません。

family inet

log

パケット転送エンジン内のバッファーにパケット ヘッダー情報を記録します。この情報にアクセスする場合は、CLI(コマンドライン インターフェイス)で コマンドを show firewall log 発行します。

注:

レイヤー2(L2)ファミリーのログアクションは、MPCを搭載したMXシリーズルーターでのみ使用できます(ルーターにMPCのみの場合はMPCモード、MPCとDCPがある場合はミックスモード)。DPCを搭載したMXシリーズルーターでは、L2ファミリーのログアクションは設定されていれば無視されます。

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

logical-system logical-system-name

特定の論理システムにパケットをダイレクトする。

  • family inet

  • family inet6

loss-priority (high | medium-high | medium-low | low)

PLP(パケット損失の優先度)レベルを設定します。

また、同じファイアウォールフィルター条件に three-color-policer 非終了アクションを設定することもできません。これら 2 つの非終了アクションは相互に排他的です。

このアクションは、M120およびM320ルーターでサポートされています。Enhanced CFEB(CFEB-E)を搭載したM7iおよびM10iルーター。MXシリーズルーターです

拡張 II FPC(フレキシブル PIC コンセントレータ)を搭載した M320、MX シリーズ、T シリーズ ルーターの IP トラフィックの場合、指定された 4 つのレベルのいずれかを使用して PLP 設定をコミットするには、 階層レベルに ステートメント[edit class-of-service]を含める tri-color 必要があります。ステートメントがtri-color有効でない場合、 および low レベルのみを設定highできます。これは、すべてのプロトコルファミリーに適用されます。

ステートメントの詳細と、受信パケットの tri-color PLP レベルを設定する BA(動作集約)分類子の使用については、 動作集約分類子が信頼されたトラフィックにどのように優先順位を付けるかを理解するを参照してください。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

next-hop-group group-name

指定されたネクストホップ グループを使用します。

同じファイアウォールフィルターで または port-mirror アクションで アクションをport-mirror-instance使用next-hop-groupしないことをお勧めします。

  • family any

  • family inet

next-interface interface-name

(MXシリーズ)指定された発信インターフェイスにパケットをダイレクトします。

  • family inet

  • family inet6

next-ip ip-address

(MXシリーズ)指定された宛先 IPv4 アドレスにパケットをダイレクトします。

family inet

next-ip6 ipv6-address

(MXシリーズ)指定された宛先 IPv6 アドレスにパケットをダイレクトします。

family inet6

packet-mode

フローベース転送をバイパスするトラフィックを指定するパケット キー バッファのビット フィールドを更新します。アクション修飾子を packet-mode 持つパケットは、パケットベースの転送パスとバイパスフローベース転送を完全にたどります。SRX100、SRX210、SRX220、SRX240、SRX650 のデバイスにのみ適用されます。選択的ステートレスパケットベースサービスの詳細については、 Junos OSセキュリティ設定ガイドを参照してください。

family any

policer policer-name

トラフィックのレート制限に使用するポリサーの名前。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

policy-map policy-map-name

(MXシリーズ)特定の顧客に特定の書き換えルールを割り当てるために使用されるポリシー マップの名前。

  • family any

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

port-mirror instance-name

指定されたファミリーに基づいてパケットをポートミラーリングします。このアクションは、M120ルーター、拡張III FPCで設定されたM320ルーター、MXシリーズルーター、PTXシリーズパケットトランスポートルーターでのみサポートされています。

と の両方のアクションをnext-hop-groupport-mirror同じファイアウォールフィルターで使用しないことをお勧めします。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

  • family mpls

port-mirror-instance instance-name

インスタンスのパケットをポートミラーリングします。このアクションは、MXシリーズルーターでのみサポートされています。

と の両方のアクションをnext-hop-groupport-mirror-instance同じファイアウォールフィルターで使用しないことをお勧めします。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

  • family mpls

prefix-action action-name

指定されたアクション名に基づいてパケットをカウントまたはポリサーします。

注:

このアクションは、PTXシリーズパケットトランスポートルーターではサポートされていません。

family inet

routing-instance routing-instance-name

指定されたルーティング インスタンスにパケットをダイレクトします。

  • family inet

  • family inet6

sample

パケットをサンプルします。

注:

Junos OS は、ルーターから発信されたパケットをサンプリングしません。フィルターを設定してインターフェイスの出力側に適用すると、そのインターフェイスを通過するトランジットパケットのみがサンプリングされます。ルーティング エンジンからパケット転送エンジンに送信されるパケットはサンプリングされません。

  • family inet

  • family inet6

  • family mpls

service-accounting

加入者のサービスごとの統計をキャプチャする場合、インラインカウントメカニズムを使用します。

サービスアカウンティングのパケットをカウントします。このカウントは、RADIUSが取得できる特定の名前付きカウンター(__junos-dyn-service-counter)に適用されます。

と service-accounting-deferred のservice-accountingキーワードは、条件ごと、フィルター単位の両方で相互に排他的です。

注:

このアクションは、T4000タイプ5 FPCおよびPTXシリーズパケットトランスポートルーターではサポートされていません。

  • family any

  • family inet

  • family inet6

service-accounting- deferred

加入者のサービスごとの統計をキャプチャする場合は、据え置きカウントメカニズムを使用します。このカウントは、RADIUSが取得できる特定の名前付きカウンター(__junos-dyn-service-counter)に適用されます。

と service-accounting-deferred のservice-accountingキーワードは、条件ごと、フィルター単位の両方で相互に排他的です。

注:

このアクションは、T4000タイプ5 FPCおよびPTXシリーズパケットトランスポートルーターではサポートされていません。

  • family any

  • family inet

  • family inet6

service-filter-hit

(現在のタイプの service-filter-hit チェーン フィルターで以前のフィルターによってフラグがマークされている場合のみ)次のタイプのフィルターにパケットを誘導します。

パケットが既に処理されたことをチェーン内の後続のフィルターに示します。このアクションとフィルタの service-filter-hit 受信の一致条件を組み合わせることで、フィルター処理を効率化できます。

注:

このアクションは、T4000タイプ5 FPCおよびPTXシリーズパケットトランスポートルーターではサポートされていません。

  • family any

  • family inet

  • family inet6

slice slice-name

ルールの一致条件を通過したパケットを、サービスネットワークスライシング設定に対応するスライス識別子でマークします。スライス(ファイアウォールフィルターアクション)を参照してください。

  • family any

  • family bridge

  • family ccc

  • family evpn

  • family inet

  • family inet6

  • family mpls

  • family vpls

syslog

パケットをシステム ログ ファイルに記録します。

既存 inet および inet6 ファミリーのsyslogファイアウォールアクションと syslog L2ファミリーフィルターのアクションには、以下のL2情報が含まれています。

入力インターフェイス、アクション、VLAN ID1、VLAN ID2、イーサネット タイプ、送信元と宛先の MAC アドレス、プロトコル、送信元と宛先の IP アドレス、送信元と宛先のポート、パケット数。

注:

L2ファミリーsyslogアクションは、MPCを搭載したMXシリーズルーターでのみ使用できます(ルーターにMPCのみの場合はMPCモード、MPCとDCPがある場合はミックスモード)。DPCを搭載したMXシリーズルーターでは、L2ファミリーのsyslogアクションは設定されていれば無視されます。

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

three-color-policer (single-rate | two-rate) policer-name

指定された単一レートまたは 2 レートの 3 カラー ポリサーを使用してパケットをポリサーします。

注:

また、同じファイアウォールフィルター条件に loss-priority 対して アクションを設定することはできません。これら 2 つのアクションは相互に排他的です。

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

traffic-class value

トラフィッククラスコードポイントを指定します。から 063までの数値を指定できます。16進法で値を指定するには、プレフィックスとしてを含 0x めます。値を 2 進形式で指定するには、プレフィックスとして を含 b めます。

デフォルトのトラフィッククラス値はベストエフォート、つまり be または 0です。

数値の代わりに、以下のテキスト シノニムのいずれかを指定します。

  • af11—保証された転送クラス1、低ドロップ優先度

  • af12—保証された転送クラス1、中ドロップ優先度

  • af13—保証された転送クラス1、高損失の優先順位

  • af21—保証された転送クラス2、低ドロップ優先度

  • af22—保証された転送クラス2、中ドロップ優先度

  • af23—保証された転送クラス2、高ドロップ優先度

  • af31—保証された転送クラス3、低ドロップ優先度

  • af32—保証された転送クラス3、中ドロップ優先度

  • af33—保証された転送クラス3、高損失の優先順位

  • af41—保証された転送クラス4、低ドロップ優先度

  • af42—保証された転送クラス4、中ドロップ優先度

  • af43—保証された転送クラス4、高損失の優先順位

  • beベストエフォート

  • cs0クラスセレクター0

  • cs1クラスセレクター1

  • cs2クラスセレクター2

  • cs3—クラスセレクター3

  • cs4クラスセレクター4

  • cs5—クラスセレクター5

  • cs6クラスセレクター 6

  • cs7クラスセレクター 7

  • ef—転送の迅速化

注:

アクション traffic-class 0と traffic-class be は、TシリーズおよびM320ルーター、およびMXシリーズルーターの10ギガビットイーサネットモジュラーポートコンセントレータ(MPC)、60ギガビットイーサネットMPC、60ギガビットイーサネットキューイングMPC、および60ギガビットイーサネット拡張キューイングMPCでのみサポートされています。ただし、これらのアクションは、M320ルーターの拡張IIIフレキシブルPICコンセントレータ(FPC)ではサポートされていません。

family inet6

関連項目