Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

MPLSトラフィックのファイアウォールフィルター一致条件

MPLS トラフィック(family mpls)の一致条件があるファイアウォールフィルターを設定できます。

  • mplsプロトコルファミリーのファイアウォールフィルターの input-list filter-names および output-list filter-names ステートメントは、管理インターフェイスと内部イーサネットインターフェイス(fxpまたはem0)、ループバックインターフェイス(lo0)、およびUSBモデムインターフェイス(umd)を除くすべてのインターフェイスでサポートされています

  • (QFX5100、QFX5110、QFX5200、QFX5210)ループバックインターフェイスでMPLSフィルターを適用している場合、フィルタリングできるのは、 label、 exp、 ttl=1、およびレイヤー4の tcp と udp ポート番号フィールドのみです。TTLの場合、TTL=1 パケットで照合するには、family mpls の下の ttl=1 を明示的に指定する必要があります。構成できるアクションは、 accept、 discard、および count のみです。フィルターはイングレス方向にのみ適用できます。

  • MPCとMICを搭載したMXシリーズルーターでは、内部ペイロード一致条件を使用して、MPLSタグ付きのIPv4およびIPv6パラメータに基づいてMPLSファミリーのインバウンドおよびアウトバウンドフィルターを適用し、監視デバイスへのMPLSトラフィックの選択的ポートミラーリングを有効にすることができます(Junos OSリリース18.4R1以降)。IP ベースのフィルタリングでは、MPLS フィルタ条件 from パラメータで追加の一致条件を使用でき、ポート ミラーリングをサポートするために、フィルタ条件 thenパラメーターで追加のアクション(ポートミラーやポートミラーインスタンスなど)を使用できます。

表 1 はmatch-conditions、 階[edit firewall family mpls filter filter-name term term-name from]層レベルで設定できる を説明します。

表 1: MPLSトラフィックのファイアウォールフィルター一致条件
一致条件 説明

apply-groups

設定データを継承するグループを指定します。複数のグループ名を指定できます。継承する優先度順に一覧化する必要があります。最初のグループの設定データは、以降のグループのデータよりも優先されます。

apply-groups-except

設定データを継承しないグループを指定します。複数のグループ名を指定できます。

destination-port number

UDPまたはTCP宛先ポート フィールドで一致します。

数値の代わりに、以下のテキスト （ポート番号も記載されています）のいずれかを指定します。afs (1483), bgp (179), biff (512), bootpc (68), bootps (67), cmd (514), cvspserver (2401), dhcp (67), domain (53), eklogin (2105), ekshell (2106), exec (512), finger (79), ftp (21), ftp-data (20), http (80), https (443), ident (113), imap (143), kerberos-sec (88), klogin (543), kpasswd (761), krb-prop (754), krbupdate (760), kshell (544), ldap (389), ldp (646), login (513), mobileip-agent (434), mobilip-mn (435), msdp (639), netbios-dgm (138), netbios-ns (137), netbios-ssn (139), nfsd (2049), nntp (119), ntalk (518), ntp (123), pop3 (110), pptp (1723), printer (515), radacct (1813), radius (1812), rip (520), rkinit (2108), smtp (25), snmp (161), snmptrap (162), snpp (444), socks (1080), ssh (22), sunrpc (111), syslog (514), tacacs (49), tacacs-ds (65), talk (517), telnet (23), tftp (69), timed (525), who (513), or xdmcp (177).

exp number

パケットの MPLS ヘッダー内の実験(EXP)ビット番号またはビット番号の範囲。

number の場合、次に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。

  • 単一の EXP ビット—例えば、 exp 3

  • 複数の EXP ビット - 例えば、 exp 0,4

  • EXP ビットの範囲( exp [0-5] など。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

注:

この一致条件は、PTX10001-36MR、PTX10003、PTX10004、PTX10008、およびPTX10016デバイスでは非推奨となり、 exp0 numberに置き換えられます。

exp-except number

MPLS ヘッダーの EXP ビット番号またはビット番号の範囲では一致しません。number の場合、0 から 7 までの 1 つ以上の値を指定できます。

注:

この一致条件は、PTX10001-36MR、PTX10003、PTX10004、PTX10008、およびPTX10016デバイスでは非推奨となり、 exp0-exceptに置き換えられます。

exp0 number

パケットの TOS MPLS ヘッダー内の実験(EXP)ビット数またはビット数の範囲。

number の場合、次に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。

  • 単一の EXP ビット—例えば、 exp0 3

  • 複数の EXP ビット - 例えば、 exp0 0,4

  • EXP ビットの範囲( exp0 [0-5] など。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

exp0-except number

パケットのTOS MPLSヘッダーのEXPビット番号またはビット番号の範囲に一致しません。

number の場合、次に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。

  • 単一の EXP ビット—例えば、 exp0-except 3

  • 複数の EXP ビット - 例えば、 exp0-except 0,4

  • EXP ビットの範囲( exp0-except [0-5] など。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

exp1 number

TOS(トップオブスタック)MPLSヘッダーの隣にあるMPLSヘッダー内の実験(EXP)ビット番号またはビット番号の範囲。

number の場合、次に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。

  • 単一の EXP ビット—例えば、 exp1 3

  • 複数の EXP ビット - 例えば、 exp1 0,4

  • EXP ビットの範囲( exp1 [0-5] など。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

exp1-except number

TOS MPLSヘッダーの横にあるMPLSヘッダーのEXPビット番号またはビット番号の範囲では一致しません。

number の場合、次に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。

  • 単一の EXP ビット—例えば、 exp1-except 3

  • 複数の EXP ビット - 例えば、 exp1-except 0,4

  • EXP ビットの範囲( exp1-except [0-5] など。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

forwarding-class class

転送クラス。assured-forwarding、best-effort、expedited-forwarding、 またはnetwork-control を指定します。

注:

PTX10001-36MRでは、PTX10003、PTX10004、PTX10008、PTX10016ルーター、 exp0 ビットまたは exp1 ビットを使用して転送クラスを取得します。

forwarding-class-except class

転送クラスでは一致しません。assured-forwarding、best-effort、expedited-forwarding、 またはnetwork-control を指定します。

interface interface-name

パケットを受信したインターフェイス。受信したインターフェイスに基づいて、パケットを照合する一致条件を設定できます。

注:

存在しないインターフェイスでこの一致条件を設定する場合、条件はパケットに一致しません。

interface-set interface-set-name

指定されたインターフェイスセットにパケットを受信したインターフェイスを一致させます。

インターフェイスセットを定義するには、[edit firewall]階層レベルで interface-set ステートメントを含めます。

注:

この一致条件は、PTXシリーズのパケットトランスポートルーターではサポートされていません。

詳細については、インターフェイス セットで受信したパケットのフィルタリングの概要を参照してください。

ip-version number

内部 IP バージョンに一致します。例えば、MPLSタグ付きのIPv4パケットを照合するには、テキスト同義語 ipv4 で照合します。ip-version number内では、送信元と宛先のアドレスとポートに基づいて、パケットをさらに一致させることができます。表 1と表 2を参照してください。

label number

パケットのMPLSヘッダー内のMPLSラベル値またはラベル値の範囲。

number の場合、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進形式または 16 進数形式で指定できます。

  • 1 つのラベル - 例えば、 label 3

  • 複数のラベル - 例えば、 label 0,4

  • ラベルの範囲 ( label [0-5] など)。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

注:

このオプションは、PTX10001-36MR、PTX10003、PTX10004、PTX10008、およびPTX10016デバイスでは非推奨であり、 label0に置き換えられます。

label0 number

パケットのTOS MPLSヘッダー内のMPLSラベル値またはラベル値の範囲。

number の場合、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進形式または 16 進数形式で指定できます。

  • 1 つのラベル - 例えば、 label0 3

  • 複数のラベル - 例えば、 label0 0,4

  • ラベルの範囲 ( label0 [0-5] など)。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

label0-except number

パケットのTOS MPLSヘッダーのMPLSラベル値またはラベル値の範囲に一致しません。

number の場合、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進形式または 16 進数形式で指定できます。

  • 1 つのラベル - 例えば、 label0-except 3

  • 複数のラベル - 例えば、 label0-except 0,4

  • ラベルの範囲 ( label0-except [0-5] など)。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

label1 number

TOS MPLSヘッダーの隣にあるMPLSヘッダーのMPLSヘッダーラベルのMPLSラベル値またはラベル値の範囲に一致します。

number の場合、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進形式または 16 進数形式で指定できます。

  • 1 つのラベル - 例えば、 label1 3

  • 複数のラベル - 例えば、 label1 0,4

  • ラベルの範囲 ( label1 [0-5] など)。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

label1-except number

TOS MPLSヘッダーの隣にあるMPLSヘッダーのMPLSヘッダーラベルのMPLSラベル値またはラベル値の範囲で一致しません。

number の場合、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進形式または 16 進数形式で指定できます。

  • 1 つのラベル - 例えば、 label1-except 3

  • 複数のラベル - 例えば、 label1-except 0,4

  • ラベルの範囲 ( label1-except [0-5] など)。これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。
label number top | bottom | offset offset-value

受信MPLSパケットのトップラベル、ボトムラベル、または指定されたオフセット(ラベルスタックの上部または下部から)のラベルに一致します。

  • top - スタックのトップを参照して、スタックの最下部に向かって一致します。

  • bottom - トップオブスタックに向かってボトムオブスタックを参照して一致します。

  • offset<offset-value> - スタックの上部または下部を基準にして MPLS スタックの深さを基準にして一致します( offset-value = (0..15)。

    • label number top offset offset-value - MPLSトップラベルフィルターは、0から15までのスタックサンディングへのオフセットと一致します。0 は、暗黙的フィルターと CLI フィルターの両方について、スタックの先頭から最初のラベル位置です。

    • label number bottom offset offset-value - MPLSボトムラベルフィルターは、0から15までのスタックサンディングへのオフセットと一致します。0 は、暗黙的フィルターと CLI フィルターの両方について、スタックの一番下から最初のラベル位置です。

    • label number offset offset-value - label number の横にオプション(トップまたはボトム)が指定されていない場合、デフォルトの一致は指定されたオフセットを持つスタックのトップから開始されます。つまり、ラベル番号のオフセット [n = 0..15] は、ラベル番号のトップ オフセット [n = 0..15] と同等です。

  • label number - label number の横にオプションが指定されていない場合、デフォルトの一致はトップラベルで行われます(暗黙的なオフセット0とアンカーポイントはスタックの最上位です)。

注:

  • MPLS スタックの深さからオフセットのあるラベルのフィルター一致では、期待した動作が得られない場合があります。

    • 位置が bottom のフィルター ラベル マッチングの場合、オフセットが MPLS スタックの深さから外れている場合、フィルターは常にスタック終了ラベルで一致します。

    • 位置を先頭とするフィルター一致の場合、オフセットがMPLSスタックの深さから外れている場合、設定されたラベルと照合するために負荷を支払うことを指します。
注:

設定コマンド オプションは、Junos リリース 22.3R1 で導入されています。

loss-priority level

PLP（パケット損失の優先度）レベルに一致します。

単一のレベルまたは複数のレベルを指定します。low、medium-low、medium-high、またはhigh。

M120およびM320ルーターでサポートされています。拡張CFEB(CFEB-E)を搭載したM7iおよびM10iルーター。およびMXシリーズルーターとEXシリーズスイッチ。

拡張II FPC(フレキシブルPICコンセントレータ)を搭載したM320、MX シリーズ、T Seriesルーター、EXシリーズスイッチのIPトラフィックについては、指定された4つのレベルのいずれかでPLP設定をコミットするには、[edit class-of-service]階層レベルに tri-color ステートメントを含める必要があります。tri-colorステートメントが有効になっていない場合、highおよび lowレベルのみを設定できます。これは、すべてのプロトコルファミリーに適用されます。

tri-colorステートメントに関する情報については、トライカラーマーキングポリサーの設定と適用を参照してください。動作集約(BA)分類子を使用して着信パケットのPLPレベルを設定する方法については、 転送クラスが出力キューにクラスを割り当てる方法についてを参照してください。

注:

PTX10001-36MR では、PTX10003、PTX10004、PTX10008、PTX10016 ルータ、 exp0 ビットまたは exp1 ビットを使用して損失の優先度を取得します。

loss-priority-except level

PLPレベルに一致しません。詳細については、 loss-priority一致条件を参照してください。

注:

この一致条件は、PTXシリーズのパケットトランスポートルーターではサポートされていません。

source-port number

TCPまたはUDP送信元ポート フィールドで一致します。

同じ項に portおよび source-port一致条件を指定することはできません。

IPv4 トラフィックのこの一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で protocol udpまたは protocol tcp一致ステートメントを設定することもお勧めします。

数値 フィールドの代わりに、 の下に記載されているテキスト シノニムの 1 つを指定しますdestination-port。

ttl0 number

パケットのTTL番号またはTOS MPLSヘッダーの番号の範囲に一致します。TTL(Time To Live)は、MPLSラベルの8ビットフィールドで、パケットのライフが終了してドロップされるまでの残り時間を示します。

number の場合、0 から 255 の値を指定できます。

ttl0-except number

パケットの TOS MPLS ヘッダーの TTL 番号または番号の範囲が一致しません。TTL(Time To Live)は、MPLSラベルの8ビットフィールドで、パケットのライフが終了してドロップされるまでの残り時間を示します。

number の場合、0 から 255 の値を指定できます。

ttl1 number

パケットのTOS MPLSヘッダーの隣にあるMPLSヘッダーのTTL番号または番号の範囲に一致します。TTL(Time To Live)は、MPLSラベルの8ビットフィールドで、パケットのライフが終了してドロップされるまでの残り時間を示します。

number の場合、0 から 255 の値を指定できます。

ttl1-except number

パケットのTOS MPLSヘッダーの隣にあるMPLSヘッダーのTTL番号または数字の範囲に一致しません。TTL(Time To Live)は、MPLSラベルの8ビットフィールドで、パケットのライフが終了してドロップされるまでの残り時間を示します。

number の場合、0 から 255 の値を指定できます。
注:

exp0、 exp0-except、 exp1、 exp1-except、 ip-version、 label0、 label0-except、 label1、 label1-except、 ttl0、 ttl0-except、 ttl1、および ttl1-except は、PTX10001-36MR、PTX10003、PTX10004、PTX10008、PTX10016でのみサポートされています。

表 2 では、 [edit firewall family mpls filter filter-name term term-name then] 階層レベルで MPLS ファイアウォール フィルターに設定できるアクションについて説明します。

表 2: MPLS ファイアウォールフィルターでサポートされるアクション

アクション

説明

accept

パケットを受け取る

count counter-name

このフィルターまたは条件を通過したパケットの数をカウントします。

注:

各フィルター条件で指定された条件に一致するパケットの数を監視できるように、ファイアウォールフィルターの各条件にカウンターを設定することをお勧めします。

discard

インターネット 制御メッセージ プロトコル(ICMP)メッセージを送信せずに、気付かれることなくパケットを破棄する

policer

Junos OS 13.2X51-D15 以降、MPLS フィルターに一致するトラフィックを 2 色ポリサーに送信できるようになりました。

three-color-policer

Junos OS 13.2X51-D15以降、MPLSフィルターに一致するトラフィックを3カラーポリサーに送信できるようになりました。

関連項目