Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ACXシリーズルーター(Junos OS Evolved)のファイアウォールフィルター一致条件とアクション

Junos OS Evolvedを実行しているACXシリーズルーターのイングレスおよびエグレス方向でサポートされているファイアウォールフィルターの一致条件とアクション

ファイアウォールフィルターの各条件は、 一致条件 と アクションで構成されます。一致条件とは、一致と見なされるためにパケットに含める必要があるフィールドと値です。 一致ステートメントでは、単一または複数の一致条件を定義できます。また、すべてのパケットに一致する条件である、一致しないステートメントを含めることもできます。

パケットがフィルターに一致すると、スイッチは条件で指定されたアクションを実行します。さらに、アクション修飾子を指定して、パケットのカウント、ミラーリング、レート制限、分類を行うことができます。条件に一致条件が指定されていない場合、スイッチはデフォルトでパケットを受け入れます。 表1 および 表2をご覧ください。

制限事項

  • VLAN でのファイアウォール フィルターの設定はサポートされていません。

  • FUF(高速更新フィルター)はサポートされていません。

  • カウント/ポリサーアクションを含むegressファイアウォールフィルタールールは、BUMトラフィックではスキップされ、ヒットしません。これは、L2、L3、EVPNなどのすべてのサービスに適用されます。

  • counterとpolicerの2つのアクションが設定されている場合、counterはプロファイル内(赤色以外のパケット)のみを示し、policerはプロファイル外(赤色パケット)を示します。

  • MPLSファイアウォールフィルター機能は、LSR(ラベルスイッチルーター)イングレスシナリオでのみ機能します。エグレス方向ではサポートされていません。

  • 「入力チェーン/出力チェーン」タイプのフィルターバインディングはサポートされていません。

  • Egressファイアウォールフィルターでは使用可能なルックアップ幅が限られているため、「family-any」と「family ethernet-switching/ccc/vpls/inet6」を共存させることはできません。

  • 特定のパケットに対して、ingressステージで使用できるカウンターセット(red パケット、非red パケット、バイト)とegressステージで使用できるカウンターセットは1つだけです。パケットが2つ以上のファイアウォールエントリにヒットし、すべてのエントリに「カウント」アクションがある場合、有効なカウンターセットは1つだけです。これは、次のリストに示すように、優先度の高いファイアウォールアプリケーションになります(リストの上部は「高」、リストの下部は「低」)。(注:ACX7332には適用されません)

    • すべてのファイアウォールファミリーフィルター

    • VPLSファイアウォールファミリーフィルター

    • BDファイアウォールファミリーフィルター

    • CCCファイアウォールファミリーフィルター

    • IPv6ファイアウォールファミリーフィルター

    • IPv4ファイアウォールファミリーフィルター

    • Lo0-IPv6ファイアウォールファミリーフィルター

    • Lo0-IPv4ファイアウォールファミリーフィルター

    • MPLSファイアウォールファミリーフィルター

    • システムフィルター(コントロールトラップ)

    ACX7332では、ingressステージで使用できる2つのカウンターセット(赤/非赤のパケットとバイト)があります。そのため、ingressに適用されたファイアウォールに基づいて、2つの「カウント」アクションを有効にすることができます。

    以下の表は、ファミリー ANY およびファミリー IFF に適用した場合に、カウント アクションおよび/またはポリサー アクションがサポートされるかどうかを示しています。

    設定済み

    サポート/サポートされていない

    ファミリー任意

    ファミリーIFF

    ファミリー いずれかのカウンター

    ファミリー Any Policer

    ファミリーIFFカウンター

    家族IFFカウンター

    カウント

    カウント

    supported(カウンター)

    		 -

    対応(カウンター)

    		 -

    カウント

    ポリサー

    対応(カウンター)

    		 - -

    未対応

    カウント

    カウントとポリサー

    対応(カウンター)

    		 -

    対応(カウンターオールカラー)

    未対応

    ポリサー

    カウント

    対応(ポリサーカウンター)

    対応

    対応(カウンター)

    		 -

    ポリサー

    ポリサー

    対応(ポリサーカウンター)

    対応

    		 -

    未対応

    ポリサー

    カウントとポリサー

    対応(ポリサーカウンター)

    対応

    サポート対象(ファミリー、任意のカウンター)

    未対応

    カウントとポリサー

    カウント

    対応(ポリサーカウンター)

    対応

    対応(カウンター - 全色)

    		 -

    カウントとポリサー

    ポリサー

    対応(ポリサーカウンター)

    対応

    		 -

    未対応

    カウントとポリサー

    カウントとポリサー

    対応(ポリサーカウンター)

    対応

    サポート対象(ファミリー、任意のカウンター)

    未対応

    以下の表は、Lo0/Lo06ファイアウォールフィルターとファミリーIFFに適用されるカウントアクションおよび/またはポリサーアクションのサポートまたは非サポートを示しています。

    設定済み

    		  

    サポート/サポートされていない

    		      

    ファミリーIFF

    lo0/lo6

    ファミリーIFFカウンター

    ファミリーIFFポリサー

    lo0/lo6カウンタ

    lo0/lo6 ポリサー

    カウント

    カウント

    対応(カウンター)

    		 -

    対応(カウンター)

    		 -

    カウント

    ポリサー

    対応(カウンター)

    		 -

    対応(ポリサーカウンター)

    対応

    カウント

    カウントとポリサー

    対応(カウンター)

    		 -

    対応(カウンター)

    対応

    ポリサー

    カウント

    対応(ポリサーカウンター)

    対応

    未対応

    		 -

    ポリサー

    ポリサー

    対応(ポリサーカウンター)

    対応

    		 -

    未対応

    ポリサー

    カウントとポリサー

    対応(ポリサーカウンター)

    対応

    未対応

    未対応

    カウントとポリサー

    カウント

    対応(ポリサーカウンター)

    対応

    未対応

    		 -

    カウントとポリサー

    ポリサー

    対応(ポリサーカウンター)

    対応

    		 -

    未対応

    カウントとポリサー

    カウントとポリサー

    対応(ポリサーカウンター)

    対応

    未対応

    未対応
表1:Junos OS Evolvedを実行しているACXシリーズルーターのイングレスおよびエグレス方向でサポートされているファイアウォールフィルター一致条件

一致条件

説明

イングレス

エグレス

ファイアウォールフィルターファミリー(ingress)

ファイアウォールフィルターファミリー(エグレス)

住所

IP送信元または宛先アドレスを一致させます

はい

はい

IPv4、IPv6

IPv4、IPv6

宛先アドレス

IP宛先アドレス

パケットの最終宛先ノードアドレスであるIPv4アドレス。

イーサネットスイッチングおよびCCCファミリーに ip-destination-address を使用

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC

IPv4 および IPv6

送信元アドレス

IP送信元アドレス

パケットを送信する送信元ノードのIPv4アドレス。

イーサネットスイッチングおよびCCCファミリーに ip-source-address を使用

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC

IPv4

宛先プレフィックスリスト

IP 宛先プレフィックスリスト フィールドです。頻繁に使用できるように、プレフィックスリストエイリアスの下にIPアドレスプレフィックスのリストを定義できます。このリストを [edit policy-options] 階層レベルで定義します。

はい

はい

IPv4、IPv6、イーサネットスイッチング

IPv4、IPv6

ソースプレフィックスリスト

IP 送信元プレフィックス リスト。頻繁に使用できるように、プレフィックスリストエイリアスの下にIPアドレスプレフィックスのリストを定義できます。このリストを [edit policy-options] 階層レベルで定義します。

はい

はい

IPv4、IPv6、イーサネットスイッチング

IPv4

宛先ポート

TCP または UDP 宛先ポート フィールド。通常、この一致は protocol 一致ステートメントと組み合わせて指定します。以下の既知のポートでは、テキスト同義語を指定できます(ポート番号もリストされています)。

afs (1483)、 bgp (179)、 biff (512)、 bootpc (68)、 bootps (67)、

cmd (514)、 cvspserver (2401)、

dhcp (67)、 domain (53)、

eklogin (2105)、 ekshell (2106)、 exec (512)、

finger (79)、 ftp (21)、 ftp-data (20)、

http (80)、 https (443)、

ident (113)、 imap (143)、

kerberos-sec (88)、 klogin (543)、 kpasswd (761)、 krb-prop (754)、 krbupdate (760)、 kshell (544)、

ldap (389)、 login (513)、

mobileip-agent (434)、 mobilip-mn (435)、 msdp (639)、

netbios-dgm (138)、 netbios-ns (137)、 netbios-ssn (139)、 nfsd (2049)、 nntp (119)、 ntalk (518)、 ntp (123)、

pop3 (110)、 pptp (1723)、 printer (515)、

radacct (1813)、radius (1812)、 rip (520)、 rkinit (2108)、

smtp (25)、 snmp (161)、 snmptrap (162)、 snpp (444)、 socks (1080)、 ssh (22)、 sunrpc (111)、 syslog (514)、

tacacs-ds (65)、 talk (517)、 telnet (23)、 tftp (69)、 timed (525)、

who (513),

xdmcp (177),

zephyr-clt (2103), zephyr-hm (2104)

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC

IPv4、IPv6、イーサネットスイッチング、CCC

注:

ファイアウォール ファミリの IRB インターフェイスではサポートされていません。VXLAN トンネル終端ありの IPv6

ソースポート

TCP または UDP 送信元ポート。通常、この一致は protocol 一致ステートメントと組み合わせて指定します。数値フィールドの代わりに、 destination-portの下に記載されているテキスト同義語の1つを指定します。

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC

IPv4、IPv6、イーサネットスイッチング、CCC

注:

ファイアウォールファミリのIRBインターフェイスではサポートされていません VXLANトンネル終端付きIPv6

プロトコル

IPプロトコル

IPプロトコルフィールド

イーサネットスイッチングおよびCCCファミリーに ip-protocol を使用

はい

はい

IPv4、イーサネットスイッチング、CCC

IPv4、イーサネットスイッチング、CCC

ポート

TCP/UDP送信元または宛先ポートに一致

はい

はい

IPv4、IPv6

IPv4、IPv6

最初のフラグメント

パケットがフラグメントパケットの最初のフラグメントである場合に一致します。フラグメントパケットの追跡フラグメントである場合、パケットの一致を回避します。フラグメントパケットの最初のフラグメントのフラグメントオフセット値は0です。

この一致条件は、ビットフィールド一致条件フラグメントオフセット0一致条件のエイリアスです。

最初のフラグメントと最後のフラグメントの両方を一致させるには、異なる一致条件を指定する2つの条件を使用できます: first-fragment と is-fragment。

はい

いいえ

IPv4

NA

icmpコード

ICMP コード フィールドです。値の意味は関連する icmp-typeに依存するため、 icmp-type の値と icmp-codeの値を指定する必要があります。数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。キーワードは、それらが関連するICMPタイプによってグループ化されます。

  • IPv4: parameter-problem—ip-header-bad (0)、 required-option-missing (1)

  • IPv6: parameter-problem—ip6-header-bad (0)、 unrecognized-next-header (1)、 unrecognized-option (2)

  • redirect—redirect-for-network (0)、 redirect-for-host (1)、 redirect-for-tos-and-net (2)、 redirect-for-tos-and-host (3)

  • time-exceeded—ttl-eq-zero- during-reassembly (1)、 ttl-eq-zero-during-transit (0)

  • IPv4: 到達不能—network-unreachable (0)、 host-unreachable (1)、 protocol-unreachable (2)、 port-unreachable (3)、 fragmentation-needed (4)、 source-route-failed (5)、 destination-network-unknown (6)、 destination-host-unknown (7)、 source-host-isolated (8)、 destination-network-prohibited (9)、 destination-host-prohibited (10)、 network-unreachable-for-TOS (11)、 host-unreachable-for-TOS (12)、 communication-prohibited-by-filtering (13)、 host-precedence-violation (14)、 precedence-cutoff-in-effect (15)

  • IPv6: 到達不能—address-unreachable (3)、 administratively-prohibited (1)、 no-route-to-destination (0)、 port-unreachable (4)

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC

IPv4、IPv6、イーサネットスイッチング、CCC

ICMPタイプ

ICMPメッセージタイプフィールドです。通常、この一致を protocol 一致ステートメントと組み合わせて指定して、ポートで使用されているプロトコルを決定します。数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。

IPv4:echo-reply (0)、destination unreachable (3)、source-quench (4)、redirect (5)、echo-request (8)、IPv4 (inet)-advertisement (9)、IPv4 (inet)-solicit (10)、time-exceeded (11)、parameter-problem (12)、timestamp (13)、timestamp-reply (14)、info-request (15)、info-reply (16)、mask-request (17)mask-reply (18)

IPv6:destination-unreachable (1)、packet-too-big (2)、time-exceeded (3)、parameter-problem (4)、echo-request (128)、echo-reply (129)、membership-query (130)、membership-report (131)、membership-termination (132)、router-solicit (133)、router-advertisement (134)、neighbor-solicit (135)、neighbor-advertisement (136)、redirect (137)、router-renumbering (138)、node-information-request (139)、node-information-reply (140)

icmp-code variableも参照してください。

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC

IPv4、IPv6、イーサネットスイッチング、CCC

ipオプション

IPヘッダーのオプションフィールドに何かが指定されている場合に、一致を作成する any を指定します。

はい

いいえ

IPv4

NA

優先順位

IP優先順位

IP precedence フィールドです。数字フィールド値の代わりに、 critical-ecp (0xa0)、 flash (0x60)、 flash-override (0x80)、 immediate (0x40)、 internet-control (0xc0)、 net-control (0xe0)、 priority (0x20)、または routine (0x00)のいずれかのテキスト同義語を指定できます。

イーサネットスイッチング、およびCCCファミリに ip-precedence を使用します。

はい

いいえ

IPv4、イーサネットスイッチング、CCC

NA

is-fragment

この条件を使用すると、IPヘッダーでMore Fragmentsフラグが有効になっている場合、またはフラグメントオフセットがゼロでない場合に一致します。

はい

いいえ

IPv4

NA

TCP確立済み

確立されたTCPスリーウェイハンドシェイク接続(SYN、SYN-ACK、ACK)のパケットを照合します。SYNビットのみが設定されているため、一致しない唯一のパケットはハンドシェイクの最初のパケットです。このパケットでは、一致条件として tcp-initial を指定する必要があります。

tcp-establishedを指定した場合、スイッチはプロトコルがTCPであることを暗黙的に検証しません。protocol tcp一致条件も指定する必要があります。

はい

はい

IPv4 および IPv6

IPv4 および IPv6

TCPフラグ

1つ以上のTCPフラグ:

  • ack (0x10)

  • fin (0x01)

  • push (0x08)

  • rst (0x04)

  • syn (0x02)

  • urgent (0x20)

はい

いいえ

IPv4 および IPv6

NA

TCP初期

接続の最初のTCPパケットに一致します。TCPフラグ SYN が設定されており、TCPフラグ ACK が設定されていない場合に一致が発生します。

tcp-initialを指定した場合、スイッチはプロトコルがTCPであることを暗示的に検証しません。また、protocol tcp一致条件も指定する必要があります。

はい

いいえ

IPv4 および IPv6

NA

TTL

IP TTL(Time-to-live)フィールド(10進数)。値は1から255です。

はい

はい

IPv4

IPv4

宛先MACアドレス

パケットの宛先 MACアドレス。

はい

はい

イーサネットスイッチングとCCC

イーサネットスイッチングとCCC

ソースMACアドレス

パケットの送信元MAC(メディアアクセス制御)アドレス。

はい

はい

イーサネットスイッチングとCCC

イーサネットスイッチングとCCC

DSCP

差別化されたサービスコードポイント(DSCP)。DiffServプロトコルは、IPヘッダーでサービスタイプ(ToS)バイトを使用します。このバイトの最上位の6ビットがDSCPを形成します。

DSCPは、16進法、2進法、または10進法で指定できます。

数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。

  • be—ベストエフォート(デフォルト)

  • ef (46)— RFC 3246、 An Expedited Forwarding PHBで定義されています。

  • af11 (10)、 af12 (12)、 af13 (14);

    af21 (18)、 af22 (20)、 af23 (22);

    af31 (26)、 af32 (28)、 af33 (30);

    af41 (34)、 af42 (36)、 af43 (38)

    これら 4 つのクラスは、各クラスに 3 つのドロップ優先順位があり、合計 12 個のコード ポイントがあり、 RFC 2597、 Assured Forwarding PHB で定義されています。

  • cs0、 cs1、 cs2、 cs3、 cs4、 cs5、 cs6、 cs7、 cs5

はい

はい

IPv4、イーサネットスイッチング、CCC

IPv4、イーサネットスイッチング、CCC

イーサタイプ

パケットのイーサネット タイプ フィールド。EtherType値は、イーサネットフレームで転送するプロトコルを指定します。数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。

  • aarp (0x80F3)—EtherType値AARP

  • appletalk (0x809B)—EtherType値AppleTalk

  • arp (0x0806)—EtherType値ARP

  • fcoe (0x8906)—EtherType値FCoE

  • fip (0x8914)—EtherType値FIP

  • ipv4 (0x0800)—EtherType値IPv4

  • ipv6 (0x08DD)—EtherType値IPv6

  • mpls-multicast (0x8848)—EtherType値MPLSマルチキャスト

  • mpls-unicast (0x8847)—EtherType 値 MPLS ユニキャスト

  • oam (0x88A8)—EtherType値OAM

  • ppp (0x880B)—EtherType値PPP

  • pppoe-discovery (0x8863)—EtherType値PPPoEディスカバリーステージ

  • pppoe-session (0x8864)—EtherType値PPPoEセッションステージ

  • sna (0x80D5)—EtherType値SNA

はい

はい

イーサネットスイッチングとCCC

イーサネットスイッチングとCCC

learn-vlan-1p-priority

プロバイダVLANタグ(802.1Q VLANタグを持つシングルタグフレーム内の唯一のタグ、または802.1Q VLANタグを持つデュアルタグフレーム内の外部タグ)のIEEE 802.1p学習VLAN優先度ビットに一致します。0〜7の単一の値または複数の値を指定します。

はい

はい

イーサネットスイッチングとCCC

イーサネットスイッチングとCCC

ユーザーvlan-1p-priority

範囲 0-7で指定された802.1p VLAN優先度に一致します。

はい

はい

イーサネットスイッチングとCCC

イーサネットスイッチングとCCC

経験値

MPLS EXPビットで一致します。

はい

いいえ

MPLS

NA

ラベル

MPLSラベルビットで一致します。

はい

いいえ

MPLS

NA

トラフィッククラス

パケットのサービスクラス(CoS)優先度を指定する8ビットフィールド。traffic-classフィールドは、DSCP(DiffServコードポイント)値を指定するために使用されます。このフィールドは、以前はIPv4のサービスタイプ(ToS)フィールドとして使用されており、このフィールド(DSCPなど)のセマンティクスはIPv4のセマンティクスと同じです。

以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

af11 (10)、 af12 (12)、 af13 (14)、 af21 (18)、 af22 (20)、 af23 (22)、 af31 (26)、 af32 (28)、 af33 (30)、 af41 (34)、 af42 (36)、 af43 (38)、 cs0 (0)、 cs1 (8)、 cs2 (16)、 cs3 (24)、 cs4 (32)、 cs5 (40)、 cs6 (48)、 cs7 (56)、 ef (46)

はい

はい

IPv6

IPv6

ホップ制限

指定されたホップ制限またはホップ制限のセットに一致します。単一の値または0〜255の値の範囲を指定します。

はい

はい

IPv6

IPv6

ネクストヘッダー

IPv4またはIPv6プロトコル値。数値の代わりに、以下のテキスト同義語(数値も記載されています)のいずれかを指定します。

hop-by-hop (0)、icmp (1)、 icmp6 (58)、 igmp (2)、 ipip (4)、 tcp (6)、 egp (8)、 udp (17)、 ipv6 (41)、 routing (43)、 fragment (44)、rsvp (46)、 gre (47)、 esp (50)、 ah (51)、 icmp6 (58)、 no-next-header (59)、 dstopts (60)、 ospf (89)、 pim (103)、 vrrp (112)、 sctp (132)

はい

はい

IPv6

IPv6
注:

except と next-term は一致条件としてサポートされていません。
表2:Junos OS Evolvedを実行しているACXプラットフォームのイングレスおよびエグレス方向でサポートされているファイアウォールフィルターアクション

アクション

説明

イングレス

エグレス

ファイアウォールフィルターファミリー(ingress)

ファイアウォールフィルターファミリー(エグレス)

カウント

条件に一致するパケットの数をカウントします。

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC、MPLS、その他

IPv4、IPv6、イーサネットスイッチング、CCC、その他

破棄

インターネット制御メッセージプロトコル(ICMP)メッセージを送信せずに、気付かれることなくパケットを無効にします。

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC、MPLS、その他

IPv4、IPv6、イーサネットスイッチング、CCC、その他

拡張階層型ポリサー

トラフィックの優先度に基づいて分類されたパケットに基づいてトラフィックのレートを制限します

はい

はい

IPv4、IPv6、イーサネットスイッチング

IPv4、IPv6、イーサネットスイッチング

ログ

パケットのヘッダー情報をルーティングエンジンに記録します。この情報を表示するには、 show firewall log 動作モードコマンドを入力します。

はい

いいえ

IPv4 および IPv6

NA

転送クラス

パケットを以下のデフォルト転送クラスのいずれか、またはユーザー定義の転送クラスに分類します。

  • best-effort

  • fcoe

  • mcast

  • network-control

  • no-loss

    • 注:

転送クラスを設定するには、損失の優先度も設定する必要があります。

はい

いいえ

IPv4、IPv6、イーサネットスイッチング、CCC、MPLS

NA

ネクストインターフェイス

指定された発信インターフェイスにパケットをダイレクトします。

はい

いいえ

IPv4 および IPv6

NA

損失の優先度

PLP(パケット損失の優先度)レベルを設定します。

また、同じファイアウォールフィルター条件に対して、 three-color-policer または policer 非終了アクションを設定することはできません。これら 2 つの非終了アクションは相互に排他的です。

はい

いいえ

IPv4、IPv6、イーサネットスイッチング、CCC、MPLS

NA

ネクストIP

指定された宛先IPv4アドレスにパケットをダイレクトします。

注:

EVPNのネクストホップではサポートされていません

はい

いいえ

IPv4

NA

ネクストIP6

指定された宛先IPv6アドレスにパケットをダイレクトします。

注:

EVPNのネクストホップではサポートされていません

はい

いいえ

IPv6

NA

ポリサー

トラフィックのレート制限に使用するポリサーの名前。

注:

ポリサーアクション forwarding-classingressとegressではサポートされません。 loss-priority high ポリサーアクションはingressでサポートされます。egressでは、 discard ポリサーアクションのみがサポートされます。この制限は、すべての種類のポリサー(TwoColor、SrTcm、TrTcm)に適用されます

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC、MPLS、その他

IPv4、IPv6、イーサネットスイッチング、CCC、その他

ポートミラー、ポートミラーインスタンス

指定されたファミリーに基づいてパケットをポートミラーリングします。

注:

lo0インターフェイスではサポートされていません。

レート、パケット長などの入力パラメータはサポートされていません。

LIとミラーが共存する場合、ミラーアクションは優先度が低くなります。

破棄アクションまたはスプリット ホライズンなどの機能が原因でパイプラインでパケットがドロップした場合、egressミラーは機能しません。

はい

はい

注:

有効にすると、システム全体で許可されるインスタンスは 3 つだけです

IPv4、IPv6、イーサネットスイッチング

IPv4、IPv6、イーサネットスイッチング

拒否する

パケットを破棄し、「宛先に到達できません」ICMPv4メッセージ(タイプ3)を送信します。拒否されたパケットをログに記録するには、 syslog アクション修飾子を設定します。

メッセージタイプは、 
administratively-prohibited (default),
bad-host-tos, bad-network-tos, host-prohibited,
host-unknown, host-unreachable, network-prohibited,
network-unknown, network-unreachable,
port-unreachable, precedence-cutoff, 
precedence-violation, protocol-unreachable,
        source-host-isolated, source-route-failed,
または tcp-resetのいずれかを指定できます。

tcp-resetを指定した場合、パケットがTCPパケットである場合、システムはTCPリセットを送信し、それ以外の場合は何も送信されません。

メッセージタイプを指定しない場合、ICMP通知「宛先に到達できません」がデフォルトメッセージ「communication administratically filtered」とともに送信されます。

はい

いいえ

IPv4 および IPv6

NA

syslog

このパケットのアラートを記録します。

はい

いいえ

IPv4 および IPv6

NA

サンプル

パケットトラフィックをサンプリングします。このオプションは、トラフィックサンプリングを有効にしている場合にのみ適用してください。

注:

sample また、egressでの mirror アクションは共存できません

はい

はい

IPv4 および IPv6

NA

3 色ポリサー

3カラーポリサーにパケットを送信します(レート制限を適用するため)。

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC、MPLS、その他

IPv4、IPv6、イーサネットスイッチング、CCC、その他
注:

count、discard、log、policer、reject、syslog、およびthree-color-policerのみが、イングレス方向のloobackインターフェイスに適用されるIPv4/IPv6ファイアウォールフィルターでサポートされます。
表3:ingressおよびegressでサポートされているフィルターフィルタータイプ

ファイアウォールフィルタータイプ

イングレス

エグレス

ファミリー

インターフェイス固有

はい

はい

IPv4、IPv6、イーサネットスイッチング、CCC、MPLS、およびANY

物理インターフェイスフィルター

はい

いいえ

IPv4、IPv6、イーサネットスイッチング

グローバルフィルター

はい

いいえ

IPv4、IPv6、イーサネットスイッチング

ポリサーの制限

  • 「default-arp-policer」はサポートされていません。

  • ARPポリサーは、イングレス方向のIFL/AE/IRBインターフェイスでのみサポートされています。
  • ARPポリサーは、NNIインターフェイスおよびRARPパケットではサポートされていません。
  • アグリゲートポリシングはサポートされていません。
  • IPヘッダーとIPペイロードは、エグレスポリシングのL3パケットのパケットサイズと見なされます。
  • 複数のユニット/コアにまたがるポートを持つAE/FTF/IRBに適用されるポリサーには、トラフィックの不均衡があります。

  • フィルター固有のノブは、拡張階層型ポリサーを除き、ポリサー設定ではサポートされていません。

ファイアウォールセマンティクスの制限

  • リソースが不足しているため、7つの共有フィルター(グローバルフィルターとphysical-interface-shared)しか作成できません。
  • 共有グローバル/IFD フィルターは、IRB およびループバック インターフェイスには適用できません。
  • IRB の基盤となる L2 インターフェイスは、リソースが不足しているため、L2 共有フィルターを設定できません。
  • 同じグローバルフィルターを転送テーブル(FTF)とインターフェイス(IFF)に適用することはできません。
  • 同じグローバルフィルターを異なるFTF(転送テーブル)に適用することはできません。