Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ファイアウォール フィルター非終端処理アクション

ファイアウォール フィルターは、暗黙的な受け入れアクションを含む、プロトコル ファミリーごとに異なる終端処理以外のアクションセットをサポートします。この文脈では、 終端処理以外 のアクションは、他のアクションが終端アクションに従うことができるのに対して、他のアクションは、これらのアクション 従うことができることを意味します。そのため、同じフィルタ条件で next term 終了アクションを使用 して アクションを設定することはできません。ただし、同じフィルタ条件で別のnext term終端処理以外のアクションを使用してアクションを設定することはできます。

注:

Junos OS Evolvedでは、 next term アクションの最後の期間として表示できません。アクションとして指定されているが next term 、一致条件が設定されていないフィルタ条件はサポートされていません。

表 1 は、ファイアウォール フィルタ条件に対して設定できる終端処理以外のアクションについて説明しています。

表 1: ファイアウォール フィルターの終端処理以外のアクション

終端処理以外のアクション

説明

プロトコル ファミリー

bgp-output-queue-priority priority (expedited | (1-16))

パケットを優先する 17 の BGP 出力キューのいずれかに割り当てます。

  • family evpn

  • family inet

  • family inet-mdt

  • family inet-mvpn

  • family inet-vpn

  • family inet6

  • family inet6-mvpn

  • family inet6-vpn

  • family iso-vpn

  • family l2vpn

  • family route-target

  • family traffic-engineering

count counter-name

名前付きカウンターでパケットをカウントします。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

dont-fragment (set | clear)

データグラムをフラグメント化できるかどうかを指定するには、IPv4 ヘッダーの Don't Fragment ビット(フラグ)の値を設定します。

  • set—フラグ値を 1 に変更し、フラグメント化を防止します。

  • clear—フラグ値を 0 に変更し、フラグメント化を許可します。

注:

アクションは dont-fragment (set | clear) MPC でのみサポートされます。

family inet

dscp value

IPv4 DSCP(差別化サービス コード ポイント)ビットを設定します。からまでの63数値0を指定できます。16 進形式で値を指定するには、プレフィックスとして含めます 0x 。バイナリ形式で値を指定するには、プレフィックスとして含めます b

デフォルトの DSCP 値は be (ベスト エフォート)、または 0です。

次のいずれかのテキスト シノニムを指定することもできます。

  • af11—保証された転送クラス 1、低ドロップの優先度(1)

  • af12—保証された転送クラス 1、中程度のドロップ優先度(2)

  • af13—保証された転送クラス1、高ドロップ優先度(3)、などによって af43、保証された転送クラス 4、高いドロップ優先度

  • be—ベストエフォート

  • cs0—クラス セレクター 0;クラスセレクタ0を介して cs7など

  • ef—迅速な転送

注:

このアクションは、PTX シリーズ ルーターではサポートされていません。

注:

MX シリーズ ルーターで実行される MPC ライン カードは、ファイアウォール フィルター アクションと共に、任意の値(0~63)を set dscp サポートします。

注:

このアクションdscp 0dscp beは、T320、T640、T1600、TX マトリクス、TX マトリクス プラス、M320 ルーター、および 10 ギガビット イーサネット モジュラー ポート コンセントレータ(MPC)でのみサポートされます。ただし、これらのアクションは、M320 ルーターの FPC(Enhanced III Flexible PIC Concentrators)ではサポートされていません。T4000 ルーターでは、 dscp 0 T1600 拡張拡張タイプ 4 FPC と T4000 タイプ 5 FPC 間の相互運用では、このアクションはサポートされていません。

family inet

force-premium

デフォルトでは、階層ポリサーは、受信したトラフィックをトラフィックの転送クラスに従って処理します。プレミアムで迅速な転送トラフィックは、総ベストエフォート型トラフィックよりも帯域幅を優先します。このフィルターにより force-premium 、転送クラスに関係なく、その条件に一致するトラフィックが後続の階層ポリサーによってプレミアム トラフィックとして扱われます。このトラフィックは、ポリサーが受信した集約トラフィックよりも優先されます。

注:

force-premiumフィルター オプションは MPC でのみサポートされています。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family VPLS

forwarding-class class-name

パケットを名前付き転送クラスに分類します。

  • 転送クラス名

  • assured-forwarding

  • best-effort

  • expedited-forwarding

  • network-control

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

hierarchical-policer

指定された階層ポリサーを使用してパケットをポリサー

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

ipsec-sa ipsec-sa

指定された IPsec セキュリティ アソシエーションを使用します。

注:

このアクションは、MXシリーズルーター、T4000ルーターのタイプ5 FPC、PTXシリーズパケットトランスポートルーターではサポートされていません。

family inet

load-balance group-name

指定したロード バランシング グループを使用します。

注:

このアクションは、MX シリーズ ルーターまたは PTX シリーズ パケット トランスポート ルーターではサポートされていません。

family inet

log

パケット 転送エンジン内のバッファーにパケット ヘッダー情報をログします。この情報にアクセスする場合は、CLI(コマンドライン インターフェイス)でコマンドを発行 show firewall log します。

注:

レイヤー 2(L2)シリーズ ログ アクションは、MPC を搭載した MX シリーズ ルーターでのみ使用できます(MPC モードは MPC のみ、MPC と DCP がある場合は混在モード)。DPC を搭載した MX シリーズ ルーターの場合、L2 シリーズのログ アクションは設定されている場合は無視されます。

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

logical-system logical-system-name

パケットを特定の論理システムに送信します。

  • family inet

  • family inet6

loss-priority (high | medium-high | medium-low | low)

パケット損失優先度(PLP)レベルを設定します。

また、同じファイアウォール フィルタ条件に three-color-policer 対して終端処理以外のアクションを設定することもできません。これら 2 つの終端処理以外のアクションは、相互に排他的です。

このアクションは、M120およびM320ルーターでサポートされています。拡張 CFEB(CFEB-E)を搭載した M7i および M10i ルーター。MXシリーズルーターです

FPC(Enhanced II Flexible PIC Concentrators)を備えた M320、MX シリーズ、T シリーズ ルーターの IP トラフィックの場合、指定された 4 つのレベルのいずれかを使用して PLP 設定をコミットするには、階層レベルにステートメント[edit class-of-service]を含めるtri-color必要があります。ステートメントがtri-color有効でない場合は、レベルとlowレベルのみを設定highできます。これは、すべてのプロトコル ファミリーに適用されます。

ステートメントの詳細と、受信パケットの tri-color PLP レベルの設定に動作集約(BA)分類子を使用する方法については、「 動作集約分類子の優先度を設定する方法」を参照してください。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

next-hop-group group-name

指定されたネクスト ホップ グループを使用します。

同じファイアウォール フィルターでアクションとport-mirrorアクションをport-mirror-instance使用next-hop-groupしないことをお勧めします。

  • family any

  • family inet

next-interface interface-name

(MXシリーズ)指定された送信インターフェイスにパケットを送信します。

  • family inet

  • family inet6

next-ip ip-address

(MXシリーズ)指定された宛先 IPv4 アドレスにパケットを転送します。

family inet

next-ip6 ipv6-address

(MXシリーズ)指定された宛先 IPv6 アドレスにパケットを転送します。

family inet6

packet-mode

フローベースの転送をバイパスするトラフィックを指定するパケット キー バッファのビット フィールドを更新します。アクション修飾子を持つパケットは packet-mode 、パケットベースの転送パスに従い、フローベースの転送を完全にバイパスします。SRX100、SRX210、SRX220、SRX240、SRX650 のデバイスにのみ適用されます。選択的ステートレスパケットベースサービスの詳細については、 Junos OSセキュリティ設定ガイドを参照してください。

family any

policer policer-name

トラフィックのレート制限に使用するポリサーの名前。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

policy-map policy-map-name

(MXシリーズ)特定の顧客に特定の書き換えルールを割り当てるために使用されるポリシー マップの名前。

  • family any

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

port-mirror instance-name

指定されたファミリーに基づいてパケットをポート ミラーリングします。このアクションは、M120 ルーター、拡張 III FPC、MX シリーズ ルーター、PTX シリーズ パケット トランスポート ルーターで構成された M320 ルーターでのみサポートされます。

同じファイアウォール フィルターでアクションとアクションのport-mirror両方next-hop-groupを使用しないことをお勧めします。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

  • family mpls

port-mirror-instance instance-name

インスタンスのパケットをポート ミラーリングします。このアクションは、MX シリーズ ルーターでのみサポートされています。

同じファイアウォール フィルターでアクションとアクションのport-mirror-instance両方next-hop-groupを使用しないことをお勧めします。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

  • family mpls

prefix-action action-name

指定されたアクション名に基づいてパケットをカウントまたはポリサーします。

注:

このアクションは、PTX シリーズ パケット トランスポート ルーターではサポートされていません。

family inet

routing-instance routing-instance-name

指定されたルーティング インスタンスにパケットを転送します。

  • family inet

  • family inet6

sample

パケットをサンプルします。

注:

Junos OS は、ルーターから送信されたパケットをサンプリングしません。フィルタを設定してインターフェイスの出力側に適用すると、そのインターフェイスを通過するトランジット パケットのみがサンプリングされます。ルーティング エンジンからパケット転送エンジンに送信されるパケットはサンプリングされません。

  • family inet

  • family inet6

  • family mpls

service-accounting

加入者のサービスごとの統計をキャプチャする場合は、インラインカウントメカニズムを使用します。

サービス アカウンティング用のパケットをカウントします。このカウントは、RADIUS が取得できる特定の名前付きカウンター(__junos-dyn-service-counter)に適用されます。

キーワード service-accountingservice-accounting-deferred キーワードは、条件ごととフィルター単位の両方で、相互に排他的です。

注:

このアクションは、T4000 タイプ 5 FPC および PTX シリーズ パケット トランスポート ルーターではサポートされていません。

  • family any

  • family inet

  • family inet6

service-accounting- deferred

加入者のサービスごとの統計をキャプチャする場合は、繰延カウント メカニズムを使用します。このカウントは、RADIUS が取得できる特定の名前付きカウンター(__junos-dyn-service-counter)に適用されます。

キーワード service-accountingservice-accounting-deferred キーワードは、条件ごととフィルター単位の両方で、相互に排他的です。

注:

このアクションは、T4000 タイプ 5 FPC および PTX シリーズ パケット トランスポート ルーターではサポートされていません。

  • family any

  • family inet

  • family inet6

service-filter-hit

(現在のタイプの service-filter-hit チェーン フィルタでフラグが前のフィルタによってマークされている場合のみ)パケットを次のタイプのフィルタに誘導します。

パケットが既に処理されたことをチェーン内の後続のフィルターに示します。このアクションは、フィルターを受信する際の service-filter-hit 一致条件と組み合わせることで、フィルター処理を合理化するのに役立ちます。

注:

このアクションは、T4000 タイプ 5 FPC および PTX シリーズ パケット トランスポート ルーターではサポートされていません。

  • family any

  • family inet

  • family inet6

syslog

パケットをシステム ログ ファイルにログします。

既存 inet および inet6 ファミリーのsyslogファイアウォールアクションと syslog L2ファミリーフィルタでのアクションには、次のL2情報が含まれています。

入力インターフェイス、アクション、VLAN ID1、VLAN ID2、イーサネット タイプ、送信元と宛先の MAC アドレス、プロトコル、送信元と宛先の IP アドレス、送信元と宛先のポート、パケット数。

注:

L2 ファミリー syslog アクションは、MPC を搭載した MX シリーズ ルーターでのみ使用できます(MPC モードの場合は MPC モード、MPC と DCP がある場合はミックス モード)。DPC を搭載した MX シリーズ ルーターの場合、L2 シリーズの syslog アクションは設定されている場合は無視されます。

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

three-color-policer (single-rate | two-rate) policer-name

指定された単一レートまたは 2 レートの 3 カラー ポリサーを使用してパケットをポリサーします。

注:

また、同じファイアウォール フィルタ条件に loss-priority 対してアクションを設定することはできません。これら 2 つのアクションは、相互に排他的です。

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

traffic-class value

トラフィッククラスのコード ポイントを指定します。からまでの63数値0を指定できます。16 進形式で値を指定するには、プレフィックスとして含めます 0x 。バイナリ形式で値を指定するには、プレフィックスとして含めます b

デフォルトのトラフィッククラス値はベストエフォート、beつまり.0

数値の代わりに、次のいずれかのテキストシノニムを指定できます。

  • af11—保証された転送クラス1、低ドロップの優先度

  • af12—保証された転送クラス1、中程度のドロップ優先度

  • af13—保証された転送クラス1、高ドロップの優先度

  • af21—保証された転送クラス2、低ドロップの優先度

  • af22—保証された転送クラス2、中程度のドロップ優先度

  • af23—保証された転送クラス2、高ドロップの優先度

  • af31—保証された転送クラス3、低ドロップの優先度

  • af32—保証された転送クラス3、中程度のドロップ優先度

  • af33—保証された転送クラス3、高損失の優先度

  • af41—保証された転送クラス4、低ドロップの優先度

  • af42—保証された転送クラス4、中程度のドロップ優先度

  • af43—保証された転送クラス4、高ドロップの優先度

  • be—ベストエフォート

  • cs0—クラス セレクター 0

  • cs1—クラス セレクター 1

  • cs2—クラス セレクター 2

  • cs3—クラス セレクター 3

  • cs4—クラス セレクター 4

  • cs5—クラス セレクター 5

  • cs6— クラス セレクター 6

  • cs7— クラス セレクター 7

  • ef—迅速な転送

注:

このアクションtraffic-class 0traffic-class beは、T シリーズおよび M320 ルーター、および MX シリーズ ルーターの 10 ギガビット イーサネット モジュラー ポート コンセントレータ(MPC)、60 ギガビット イーサネット MPC、60 ギガビット イーサネット キューイング MPC、60 ギガビット イーサネット拡張キューイング MPC でのみサポートされます。ただし、これらのアクションは、M320 ルーターの FPC(Enhanced III Flexible PIC Concentrators)ではサポートされていません。

family inet6