Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

MPLSトラフィックのファイアウォールフィルター一致条件

MPLSトラフィック()の一致条件があるファイアウォールフィルターを設定できます。family mpls

  • プロトコルファミリーのファイアウォールフィルターの および ステートメントは、管理インターフェイスと内部イーサネットインターフェイス(または)、ループバックインターフェイス()、USBモデムインターフェイス()を除くすべてのインターフェイスでサポートされていますinput-list filter-namesoutput-list filter-namesmplsfxpem0lo0umd

  • (QFX5100、QFX5110、QFX5200、QFX5210)ループバックインターフェイスでMPLSフィルターを適用している場合、フィルタリングできるのは、 、 、およびレイヤー4とポート番号フィールドのみです。labelexpttl=1tcpudp TTLの場合、TTL=1 パケットで照合するには、 の下に明示的に指定する必要があります。ttl=1family mpls 設定できるアクションは、 のみです。acceptdiscardcount フィルターはイングレス方向にのみ適用できます。

  • MPCとMICを搭載したMXシリーズルーターでは、内部ペイロード一致条件を使用して、MPLSタグ付きのIPv4およびIPv6パラメータに基づいてMPLSファミリーのインバウンドおよびアウトバウンドフィルターを適用し、監視デバイスへのMPLSトラフィックの選択的ポートミラーリングを有効にすることができます(Junos OSリリース18.4R1以降)。IP ベースのフィルタリングでは、MPLS フィルター条件パラメータで追加の一致条件を使用でき、ポート ミラーリングをサポートするために、フィルタ条件パラメータで追加アクション(ポートミラーやポートミラーインスタンスなど)を使用できます。fromthen

表 1 はmatch-conditions、 階[edit firewall family mpls filter filter-name term term-name from]層レベルで設定できる を説明します。

表 1: MPLSトラフィックのファイアウォールフィルター一致条件
一致条件 説明

apply-groups

設定データを継承するグループを指定します。複数のグループ名を指定できます。継承する優先度順に一覧化する必要があります。最初のグループの設定データは、以降のグループのデータよりも優先されます。

apply-groups-except

設定データを継承しないグループを指定します。複数のグループ名を指定できます。

destination-port number

UDPまたはTCP宛先ポート フィールドで一致します。

数値の代わりに、以下のテキスト （ポート番号も記載されています）のいずれかを指定します。afs (1483)、 (bgp179)、 (512)、 (68)、 (67bootps)、 (514)、 (2401)、 (67)、 (53)、 (2domaineklogin105)dhcp、 (2106)、 ekshell(512)、 (79exec)、 (21)、 (20)、 (80)、 (443)、 (113)、 (143)、 (88)、 (543)、 (761)、 (7finger54)、 (760)http、 (5krb-prop44https)、 (389)、 krbupdatekshellldap(646)、 (513)、 (434)、 (435)、 (639)、loginmobileip-agentmobilip-mnmsdpnetbios-dgm (138)、 (137)、 (139)、 (2049)、 (119)、 (518)、 biff(123)、 (110)、 (1nntpntalkntppop3723)、 bootpc(515sunrpcsyslogtacacs)、 (1813)、cmd (1812)、 (520)、 pptp(2108)、 (25)、 (161)、 (162)nfsd、 (444)、radiusriprkinitsmtpsnmpsnmptrapsnppsocksssh (netbios-ssn1080printerradacct)、 (22)、 (111)、 (514)、 (49)、 (65)、 (517)、 (23)、 (69)、 (525)、 (513)、oimapkerberos-seckloginkpasswdr  (177).identtacacs-dstalktelnettftptimedcvspserverwhoxdmcpnetbios-nsftpftp-dataldp

exp number

パケットの MPLS ヘッダー内の実験(EXP)ビット番号またはビット番号の範囲。

の場合 、以下に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。number

  • 単一の EXP ビット—例えば、 exp 3

  • 複数の EXP ビット - 例えば、 exp 0,4

  • EXP ビットの範囲—例えば、 .exp [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

注:

この一致条件は、PTX10001-36MR、PTX10003、PTX10004、PTX10008、および PTX10016デバイスで は非推奨であり、 に置き換えられます。exp0 number

exp-except number

MPLS ヘッダーの EXP ビット番号またはビット番号の範囲では一致しません。については、 から までの 1 つ以上の値を指定できます。number07

注:

この一致条件は、PTX10001-36MR、PTX10003、PTX10004、PTX10008、および PTX10016デバイスで は非推奨であり、 に置き換えられます。exp0-except

exp0 number

パケットの TOS MPLS ヘッダー内の実験(EXP)ビット数またはビット数の範囲。

の場合 、以下に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。number

  • 単一の EXP ビット—例えば、 exp0 3

  • 複数の EXP ビット - 例えば、 exp0 0,4

  • EXP ビットの範囲—例えば、 .exp0 [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

exp0-except number

パケットのTOS MPLSヘッダーのEXPビット番号またはビット番号の範囲に一致しません。

の場合 、以下に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。number

  • 単一の EXP ビット—例えば、 exp0-except 3

  • 複数の EXP ビット - 例えば、 exp0-except 0,4

  • EXP ビットの範囲—例えば、 .exp0-except [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

exp1 number

TOS(トップオブスタック)MPLSヘッダーの隣にあるMPLSヘッダー内の実験(EXP)ビット番号またはビット番号の範囲。

の場合 、以下に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。number

  • 単一の EXP ビット—例えば、 exp1 3

  • 複数の EXP ビット - 例えば、 exp1 0,4

  • EXP ビットの範囲—例えば、 .exp1 [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

exp1-except number

TOS MPLSヘッダーの横にあるMPLSヘッダーのEXPビット番号またはビット番号の範囲では一致しません。

の場合 、以下に示すように、0 から 7 までの 1 つ以上の値を 2 進数、10 進数、または 16 進数形式で指定できます。number

  • 単一の EXP ビット—例えば、 exp1-except 3

  • 複数の EXP ビット - 例えば、 exp1-except 0,4

  • EXP ビットの範囲—例えば、 .exp1-except [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

forwarding-class class

転送クラス。assured-forwarding、best-effort、expedited-forwarding、 またはnetwork-control を指定します。

注:

PTX10001-36MRでは、PTX10003、PTX10004、PTX10008、PTX10016ルーター、またはビットを使用して転送クラスを取得します。exp0exp1

forwarding-class-except class

転送クラスでは一致しません。assured-forwarding、best-effort、expedited-forwarding、 またはnetwork-control を指定します。

interface interface-name

パケットを受信したインターフェイス。受信したインターフェイスに基づいて、パケットを照合する一致条件を設定できます。

注:

存在しないインターフェイスでこの一致条件を設定する場合、条件はパケットに一致しません。

interface-set interface-set-name

指定されたインターフェイスセットにパケットを受信したインターフェイスを一致させます。

インターフェイスセットを定義するには、 階層レベルに ステートメントを含め ます 。interface-set[edit firewall]

注:

この一致条件は、PTXシリーズのパケットトランスポートルーターではサポートされていません。

詳細については、インターフェイス セットで受信したパケットのフィルタリングの概要を参照してください。

ip-version number

内部 IP バージョンに一致します。例えば、MPLSタグ付きIPv4パケットを照合するには、テキスト同義語 で照合します。ipv4 内で は、送信元と宛先のアドレスとポートに基づいて、パケットをさらに一致させることができます。ip-version number および を参照してください。表 1表 2

label number

パケットのMPLSヘッダー内のMPLSラベル値またはラベル値の範囲。

の場合 、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進数または 16 進数形式で指定できます。number

  • 1 つのラベル - 例えば、 label 3

  • 複数のラベル - 例えば、 label 0,4

  • ラベルの範囲 - 例えば、 .label [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

注:

このオプションは、PTX10001-36MR、PTX10003、PTX10004、PTX10008、およびPTX10016デバイスでは非推奨であり、に置き換えられ ます。label0

label0 number

パケットのTOS MPLSヘッダー内のMPLSラベル値またはラベル値の範囲。

の場合 、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進数または 16 進数形式で指定できます。number

  • 1 つのラベル - 例えば、 label0 3

  • 複数のラベル - 例えば、 label0 0,4

  • ラベルの範囲 - 例えば、 .label0 [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

label0-except number

パケットのTOS MPLSヘッダーのMPLSラベル値またはラベル値の範囲に一致しません。

の場合 、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進数または 16 進数形式で指定できます。number

  • 1 つのラベル - 例えば、 label0-except 3

  • 複数のラベル - 例えば、 label0-except 0,4

  • ラベルの範囲 - 例えば、 .label0-except [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

label1 number

TOS MPLSヘッダーの隣にあるMPLSヘッダーのMPLSヘッダーラベルのMPLSラベル値またはラベル値の範囲に一致します。

の場合 、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進数または 16 進数形式で指定できます。number

  • 1 つのラベル - 例えば、 label1 3

  • 複数のラベル - 例えば、 label1 0,4

  • ラベルの範囲 - 例えば、 .label1 [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。

label1-except number

TOS MPLSヘッダーの隣にあるMPLSヘッダーのMPLSヘッダーラベルのMPLSラベル値またはラベル値の範囲で一致しません。

の場合 、以下に示すように、0 から 1048575 までの 1 つ以上の値を 10 進数または 16 進数形式で指定できます。number

  • 1 つのラベル - 例えば、 label1-except 3

  • 複数のラベル - 例えば、 label1-except 0,4

  • ラベルの範囲 - 例えば、 .label1-except [0-5] これらの値は、ループバックインターフェイスに適用されるフィルターではサポートされていません。
| | label number topbottomoffsetoffset-value

受信MPLSパケットのトップラベル、ボトムラベル、または指定されたオフセット(ラベルスタックの上部または下部から)のラベルに一致します。

  • top - スタックのトップを参照して、スタックの最下部に向かって一致します。

  • bottom - トップオブスタックに向かってボトムオブスタックを参照して一致します。

  • - スタックの上部または下部を基準にして MPLS スタックの深さを基準にして一致します(= ( 0..15)。offset<offset-value>offset-value

    • label number top offset offset-value - MPLS トップラベル フィルターは、0 から 15 までのスタック サンディングへのオフセットと一致します。0 は、暗黙的フィルタと CLI フィルタの両方で、スタックの先頭からの最初のラベル位置です。

    • label number bottom offset offset-value - MPLS ボトムラベル フィルターは、0 から 15 までのスタック サンディングへのオフセットと一致します。0 は、暗黙的フィルタと CLI フィルタの両方で、スタックの一番下から最初のラベル位置です。

    • - 上部または下部のオプションが横に指定されていない場合、デフォルトの一致は指定されたオフセットを持つスタックの先頭から開始されます。labelnumberoffsetoffset-valuelabelnumber つまり、ラベル番号のオフセット [n = 0..15] は、ラベル番号のトップ オフセット [n = 0..15] と同等です。

  • - の横にオプションが指定されていない場合次に、デフォルトの一致がトップラベルで行われます(暗黙的なオフセット0とアンカーポイントはスタックの最上位です)。labelnumberlabelnumber

注:

  • MPLS スタックの深さからオフセットのあるラベルのフィルター一致では、期待した動作が得られない場合があります。

    • 位置が bottom のフィルター ラベル マッチングの場合、オフセットが MPLS スタックの深さから外れている場合、フィルターは常にスタック終了ラベルで一致します。

    • 位置を先頭とするフィルター一致の場合、オフセットがMPLSスタックの深さから外れている場合、設定されたラベルと照合するために負荷を支払うことを指します。
注:

設定コマンド オプションは、Junos リリース 22.3R1 で導入されています。

loss-priority level

PLP（パケット損失の優先度）レベルに一致します。

単一のレベルまたは複数のレベルを指定します。low、medium-low、medium-high、またはhigh。

M120およびM320ルーターでサポートされています。拡張CFEB(CFEB-E)を搭載したM7iおよびM10iルーター。およびMXシリーズルーターとEXシリーズスイッチ。

拡張II FPC(フレキシブルPICコンセントレータ)を搭載したM320、MXシリーズ、Tシリーズルーター、EXシリーズスイッチのIPトラフィックについては、指定された4つのレベルのいずれかでPLP設定をコミットするには、 階層レベルに ステートメントを含める必要があります。 tri-color [edit class-of-service]tri-colorステートメントが有効になっていない場合、high および lowレベルのみを設定できます。これは、すべてのプロトコルファミリーに適用されます。

tri-colorステートメントに関する情報については、トライカラーマーキングポリサーの設定と適用を参照してください。動作集約(BA)分類子を使用して着信パケットのPLPレベルを設定する方法については、 転送クラスが出力キューにクラスを割り当てる方法についてを参照してください。Understanding How Forwarding Classes Assign Classes to Output Queues

注:

PTX10001-36MRでは、損失優先度を取得するために、PTX10003、PTX10004、PTX10008、PTX10016ルーター、 または ビットが使用されます。exp0exp1

loss-priority-except level

PLPレベルに一致しません。詳細については、 loss-priority一致条件を参照してください。

注:

この一致条件は、PTXシリーズのパケットトランスポートルーターではサポートされていません。

source-port number

TCPまたはUDP送信元ポート フィールドで一致します。

同じ項に portおよび source-port一致条件を指定することはできません。

IPv4 トラフィックのこの一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で protocol udpまたは protocol tcp一致ステートメントを設定することもお勧めします。

数値 フィールドの代わりに、 の下に記載されているテキスト シノニムの 1 つを指定しますdestination-port。

ttl0 number

パケットのTTL番号またはTOS MPLSヘッダーの番号の範囲に一致します。TTL(Time To Live)は、MPLSラベルの8ビットフィールドで、パケットのライフが終了してドロップされるまでの残り時間を示します。

には 、0 から 255 までの値を指定できます。number

ttl0-except number

パケットの TOS MPLS ヘッダーの TTL 番号または番号の範囲が一致しません。TTL(Time To Live)は、MPLSラベルの8ビットフィールドで、パケットのライフが終了してドロップされるまでの残り時間を示します。

には 、0 から 255 までの値を指定できます。number

ttl1 number

パケットのTOS MPLSヘッダーの隣にあるMPLSヘッダーのTTL番号または番号の範囲に一致します。TTL(Time To Live)は、MPLSラベルの8ビットフィールドで、パケットのライフが終了してドロップされるまでの残り時間を示します。

には 、0 から 255 までの値を指定できます。number

ttl1-except number

パケットのTOS MPLSヘッダーの隣にあるMPLSヘッダーのTTL番号または数字の範囲に一致しません。TTL(Time To Live)は、MPLSラベルの8ビットフィールドで、パケットのライフが終了してドロップされるまでの残り時間を示します。

には 、0 から 255 までの値を指定できます。number
注:

、 、 、 、 、 、 、およびは、PTX10001-36MR、PTX10003、PTX10004、PTX10008、PTX10016でのみサポートされています。 exp0exp0-exceptexp1exp1-exceptip-versionlabel0label0-exceptlabel1label1-exceptttl0ttl0-exceptttl1ttl1-except

では、 階層レベルで MPLS ファイアウォール フィルターに設定できるアクションを説明します。表 2[edit firewall family mpls filter filter-name term term-name then]

表 2: MPLS ファイアウォールフィルターでサポートされるアクション

アクション

説明

accept

パケットを受け取る

count counter-name

このフィルターまたは条件を通過したパケットの数をカウントします。

注:

各フィルター条件で指定された条件に一致するパケットの数を監視できるように、ファイアウォールフィルターの各条件にカウンターを設定することをお勧めします。

discard

インターネット 制御メッセージ プロトコル(ICMP)メッセージを送信せずに、気付かれることなくパケットを破棄する

policer

Junos OS 13.2X51-D15 以降、MPLS フィルターに一致するトラフィックを 2 色ポリサーに送信できるようになりました。

three-color-policer

Junos OS 13.2X51-D15以降、MPLSフィルターに一致するトラフィックを3カラーポリサーに送信できるようになりました。

関連項目