Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ファイアウォールフィルター終端以外のアクション

ファイアウォール フィルターは、プロトコル ファミリーごとに異なるセットの非定型アクションをサポートします。これは暗黙的な受け入れアクションも含まれます。このコンテキストでは、終端以外のアクションがこれらのアクションを実行でき、他のアクションが終了アクションをたどることができないことを意味します。そのため、同じフィルタ条件 next term で終了アクションを使用してアクションを設定することはできません。ただし、同じフィルタ条件で next term 別の非 条件 アクションを使用してアクションを設定することができます。

注:

Junos OS 進化するとnext term 、そのアクションの最後の条件としては表示できません。フィルター条件がアクションnext termとして指定されていますが、合致する範囲が構成されていない場合、サポートされていません。

表 1ファイアウォールフィルタ条件に設定できる終端以外のアクションについて説明します。

表 1: ファイアウォールフィルターの終端以外のアクション

終端以外のアクション

説明

プロトコルファミリー

bgp-output-queue-priority priority (expedited | (1-16))

17個の優先度が設定された BGP 出力キューのいずれかにパケットを割り当てます。

  • family evpn

  • family inet

  • family inet-mdt

  • family inet-mvpn

  • family inet-vpn

  • family inet6

  • family inet6-mvpn

  • family inet6-vpn

  • family iso-vpn

  • family l2vpn

  • family route-target

  • family traffic-engineering

count counter-name

指定されたカウンターでパケットをカウントします。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

dont-fragment (set | clear)

IPv4 ヘッダーの Don't Fragment ビット(フラグ)の値を設定して、データグラムをフラグメント化できるかどうかを指定します。

  • set—フラグ値を 1 に変更して、フラグメント化を防止します。

  • clear—フラグ値をゼロに変更して、フラグメント化を許可します。

注:

これらdont-fragment (set | clear)のアクションは、mpcs でのみサポートされています。

family inet

dscp value

IPv4 差別化サービスコードポイント (DSCP) ビットを設定します。1からの0数値を指定でき63ます。16進形式で値を指定するに0xは、接頭辞として含めます。バイナリ形式で値を指定するにはb 、接頭辞として含めます。

DSCP のデフォルト値はbe (ベストエフォート)、また0はです。

また、次のいずれかのテキストシノニムを指定することもできます。

  • af11—Assured forwarding class 1、低ドロップの優先順位(1)

  • af12—Assured forwarding class 1、medium drop precedence(2)

  • af13—Assured forwarding class 1、高ドロップ の優先順位(3)~、Assured af43 forwarding class 4、高ドロップの優先順位

  • be—ベスト ベスト な取り組み

  • cs0—クラス セレクター 0;クラス セレクター cs7 0 を介して

  • ef—転送の迅速化

注:

このアクションは、PTX シリーズルーターではサポートされていません。

注:

MX シリーズルーター上で動作する MPC ラインカードはset dscp 、ファイアウォールフィルタアクションとともに、任意の値 (0 ~ 63) をサポートします。

注:

T320、 dscp 0 T640 dscp be 、T1600、TX マトリクス、tx matrix Plus、M320 ルーター、10ギガビットイーサネットモジュラーポートコンセントレーター (MPC) でのみ、アクションがサポートされています。ただし、これらのアクションは M320 ルーター上の3つの高度な PIC コンセントレーター (FPCs) ではサポートされていません。T4000 ルーターでは、 dscp 0 T1600 の拡張スケーリングタイプ 4 fpc と T4000 タイプ 5 fpc の間の操作では、アクションがサポートされません。

family inet

force-premium

デフォルトでは、階層型ポリシーにより、受信したトラフィックをトラフィックの転送クラスに従って処理します。プレミアムと優先転送のトラフィックは、アグリゲート、ベストエフォート型トラフィックの帯域幅の優先度を持っています。このforce-premiumフィルターによって、転送クラスに関係なく、条件に一致するトラフィックが、後続の階層のポリサーによってプレミアムトラフィックとして扱われるようにします。このトラフィックは、そのポリサーが受信する集約トラフィックよりも優先度が与えられます。

注:

フィルター force-premiumオプションは、mpcs でのみサポートされています。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family VPLS

forwarding-class class-name

パケットを指定された転送クラスに分類します。

  • 転送クラス名

  • assured-forwarding

  • best-effort

  • expedited-forwarding

  • network-control

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

hierarchical-policer

指定された階層のポリサーを使用してパケットを設定します。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

ipsec-sa ipsec-sa

指定された IPsec セキュリティアソシエーションを使用します。

注:

このアクションは、MX シリーズルーター、T4000 ルーター上の5台の FPCs、および PTX シリーズパケットトランスポートルーターではサポートされていません。

family inet

load-balance group-name

指定された負荷分散グループを使用します。

注:

このアクションは、MX シリーズルーターまたは PTX シリーズパケットトランスポートルーターではサポートされていません。

family inet

log

パケット転送エンジン内のバッファーにパケットヘッダー情報を記録します。この情報にアクセスするには、 show firewall log CLI (コマンドラインインターフェイス) でコマンドを発行します。

注:

レイヤー 2 (L2) シリーズのログアクションは、MPCs (ルーターが mpcs を使用している場合は MPC モード、MPCs および Dcp がある場合は混合モード) でのみ使用できます。Dpc を使用した MX シリーズルーターの場合、L2 ファミリのログアクションは、構成されている場合は無視されます。

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

logical-system logical-system-name

特定の論理システムへのダイレクトパケット

  • family inet

  • family inet6

loss-priority (high | medium-high | medium-low | low)

パケットロス優先度 (PLP) レベルを設定します。

また、同じファイアウォールthree-color-policerフィルタ条件に対して終端以外のアクションを設定することはできません。これら2つの終端以外のアクションは相互に排他的です。

このアクションは、現在のM120およびM320でサポートされています。M7i CFEB(CFEB-E M10i使用したルーターのルーティングと設定)ネットワークMX シリーズルーターをサポートします

M320、MX シリーズ、T Series ルーターで拡張 II フレキシブル PIC コンセントレータ(FPC)を使用する場合、階層レベルにステートメントを含め、4 つのレベルが指定されている任意の tri-color PLP 設定をコミットする必要があります。 [edit class-of-service]tri-color明細書が有効になっていない場合は、 highおよびlowレベルのみを設定できます。これは、すべてのプロトコルファミリーに適用されます。

この文のtri-color詳細と、行動集約 (BA) 分類子を使用して受信パケットの PLP レベルを設定する方法については、「振る舞い集約分類子が信頼できるトラフィックの優先順位を付ける方法を理解する」を参照してください。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

next-hop-group group-name

指定された次ホップグループを使用します。

同じファイアウォールフィルタでnext-hop-groupport-mirror-instance or port-mirrorアクションのアクションを使用しないことをお勧めします。

  • family any

  • family inet

next-interface interface-name

(MX シリーズ)指定されたアウトゴーイングインターフェイスへのダイレクトパケット

  • family inet

  • family inet6

next-ip ip-address

(MX シリーズ)指定された宛先 IPv4 アドレスへのダイレクトパケット

family inet

next-ip6 ipv6-address

(MX シリーズ)指定された宛先 IPv6 アドレスへのダイレクトパケット

family inet6

packet-mode

フローベースの転送をバイパスするトラフィックを指定する、パケットキーバッファーのビットフィールドを更新します。packet-mode Action 修飾子を使用したパケットは、パケットベースの転送パスに従い、フローベースの転送を完全にバイパスします。SRX100、SRX210、SRX220、SRX240、SRX650 デバイスのみに適用されます。選択的なステートレス パケットベース サービスの詳細については、 セキュリティー構成ガイド Junos OS を参照してください

family any

policer policer-name

レート制限トラフィックに使用されるポリサーの名前。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

policy-map policy-map-name

(MX シリーズ)特定のお客様に特定の書き換えルールを割り当てるために使用されるポリシーマップの名前。

  • family any

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

port-mirror instance-name

Port-指定されたファミリに基づいてパケットをミラーリングします。このアクションは、強化された III FPCs、MX シリーズルーター、および PTX シリーズパケットトランスポートルーターのみを構成した、M120 ルーター、M320 ルーターでサポートされています。

同一のファイアウォールフィルタでは、 next-hop-group and port-mirrorアクションを両方とも使用しないことをお勧めします。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

  • family mpls

port-mirror-instance instance-name

ポートがインスタンス用のパケットをミラーリングします。このアクションは、一部のルーター MX シリーズサポートされています。

同一のファイアウォールフィルタでは、 next-hop-group and port-mirror-instanceアクションを両方とも使用しないことをお勧めします。

  • family any

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

  • family mpls

prefix-action action-name

指定されたアクション名に基づいて、そのパケットをカウントまたは設定します。

注:

このアクションは PTX シリーズパケットトランスポートルーターではサポートされていません。

family inet

routing-instance routing-instance-name

指定されたルーティングインスタンスにパケットをダイレクトします。

  • family inet

  • family inet6

sample

パケットをサンプリングします。

注:

Junos OS発信パケットをサンプリングしません。フィルターを構成し、インターフェイスの出力側に適用した場合、そのインターフェイスを通過する通過パケットのみがサンプリングされます。ルーティングエンジンからパケット転送エンジンに送信されたパケットはサンプリングされません。

  • family inet

  • family inet6

  • family mpls

service-accounting

加入者ごとのサービス統計情報を収集する場合は、インラインカウント方式を使用します。

サービスアカウンティング用のパケットをカウントします。このカウントは、RADIUS 取得できる特定の名前__junos-dyn-service-counter付きカウンター () に適用されます。

service-accounting And service-accounting-deferredキーワードは、用語とフィルターごとに同時には限定されていません。

注:

このアクションは T4000 タイプ 5 FPCs および PTX シリーズパケットトランスポートルーターではサポートされていません。

  • family any

  • family inet

  • family inet6

service-accounting- deferred

加入者ごとのサービス統計情報を収集する場合は、遅延カウントメカニズムを使用します。このカウントは、RADIUS 取得できる特定の名前__junos-dyn-service-counter付きカウンター () に適用されます。

service-accounting And service-accounting-deferredキーワードは、用語とフィルターごとに同時には限定されていません。

注:

このアクションは T4000 タイプ 5 FPCs および PTX シリーズパケットトランスポートルーターではサポートされていません。

  • family any

  • family inet

  • family inet6

service-filter-hit

(現在の連鎖service-filter-hitフィルターで、以前のフィルタによってフラグがマークされている場合のみ)パケットを次の種類のフィルターに直接送信します。

パケットがすでに処理済みであるチェーンの後続のフィルターに指定します。このアクションとフィルタリングの条件service-filter-hitを組み合わせることで、フィルタの処理を効率化できます。

注:

このアクションは T4000 タイプ 5 FPCs および PTX シリーズパケットトランスポートルーターではサポートされていません。

  • family any

  • family inet

  • family inet6

syslog

パケットをシステムログファイルに記録します。

既存inetおよびinet6ファミリの syslog ファイアウォールアクションと、l2 syslogシリーズフィルタのアクションには、以下の l2 情報が含まれています。

入力インターフェイス, アクション, VLAN ID1, VLAN ID2, イーサネットタイプ, 送信元および宛先の MAC アドレス, プロトコル, 送信元および宛先 IP アドレス, 送信元および宛先のポート, およびパケット数

注:

L2 シリーズの syslog アクションは、MPCs (ルーターが mpcs のみの場合は MPC モード、MPCs および Dcp を使用している場合は混合モード) の MX シリーズルーターに対してのみ使用できます。Dpc を使用した MX シリーズルーターの場合、L2 ファミリの syslog アクションは、構成されている場合は無視されます。

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family vpls

three-color-policer (single-rate | two-rate) policer-name

指定されたシングルレートまたは2レートの3カラーポリサーを使用して、パケットを事前設定します。

注:

同じファイアウォールフィルター条件loss-priorityのアクションを構成することはできません。これらの2つのアクションは相互に排他的です。

  • family bridge

  • family ccc

  • family inet

  • family inet6

  • family mpls

  • family vpls

traffic-class value

トラフィッククラスのコードポイントを指定します。1からの0数値を指定でき63ます。16進形式で値を指定するに0xは、接頭辞として含めます。バイナリ形式で値を指定するにはb 、接頭辞として含めます。

デフォルトのトラフィッククラス値は、ベストエフォート、つまり、 beまた0はです。

数値の代わりに、次のいずれかのテキストシノニムを指定できます。

  • af11—Assured forwarding class 1、低ドロップの優先順位

  • af12:Assured forwarding class 1、medium drop precedence

  • af13—Assured forwarding class 1、高ドロップ の優先順位

  • af21—Assured forwarding class 2、低ドロップの優先順位

  • af22:Assured forwarding class 2、medium drop precedence

  • af23—Assured forwarding class 2、高ドロップ の優先順位

  • af31—Assured forwarding class 3、低ドロップの優先順位

  • af32:Assured forwarding class 3、medium drop precedence

  • af33:Assured forwarding class 3、高ドロップ の優先順位

  • af41—Assured forwarding class 4、低ドロップの優先順位

  • af42:Assured forwarding class 4、medium drop precedence

  • af43:Assured forwarding class 4、高ドロップ の優先順位

  • be—ベスト ベスト な取り組み

  • cs0—クラス セレクター 0

  • cs1—クラス セレクター 1

  • cs2—クラス セレクター 2

  • cs3—クラス セレクター 3

  • cs4—クラス セレクター 4

  • cs5—クラス セレクター 5

  • cs6—クラス セレクター 6

  • cs7—クラス セレクター 7

  • ef—転送の迅速化

注:

これらのtraffic-class 0アクションtraffic-class beは、T Series および M320 ルーターでのみサポートされ、10ギガビットイーサネットモジュラーポートコンセントレーター (MPC)、60ギガビットイーサネット・ Mpc、60-ギガビット ethernet キューイングの Mpc、60ギガビット・イーサネット・エンハンスキュー・ mpc (MX シリーズ)ルーター. ただし、これらのアクションは M320 ルーター上の3つの高度な PIC コンセントレーター (FPCs) ではサポートされていません。

family inet6