forwarding-options (Security)
Sintaxis
forwarding-options {
allow-dataplane-sleep;
family {
inet6 {
mode(drop | flow-based | packet-based);
}
iso {
mode packet-based;
}
mpls {
mode(flow-based | packet-based);
}
}
mirror-filter name {
destination-port(afs | bgp | biff | bootpc | bootps | cmd | cvspserver | dhcp | domain | eklogin | ekshell | exec | finger | ftp | ftp-data | http | https | ident | imap | kerberos-sec | klogin | kpasswd | krb-prop | krbupdate | kshell | ldap | ldp | login | mobileip-agent | mobilip-mn | msdp | netbios-dgm | netbios-ns | netbios-ssn | nfsd | nntp | ntalk | ntp | pop3 | pptp | printer | radacct | radius | range | rip | rkinit | smtp | snmp | snmptrap | snpp | socks | ssh | sunrpc | syslog | tacacs | tacacs-ds | talk | telnet | tftp | timed | who | xdmcp | zephyr-clt | zephyr-hm | zephyr-srv);
destination-prefix destination-prefix;
interface-in interface-in;
interface-out interface-out;
output {
destination-mac destination-mac;
interface interface;
}
protocol(ah | egp | esp | gre | icmp | icmp6 | igmp | ipip | number | ospf | pim | rsvp | sctp | tcp | udp);
source-port(afs | bgp | biff | bootpc | bootps | cmd | cvspserver | dhcp | domain | eklogin | ekshell | exec | finger | ftp | ftp-data | http | https | ident | imap | kerberos-sec | klogin | kpasswd | krb-prop | krbupdate | kshell | ldap | ldp | login | mobileip-agent | mobilip-mn | msdp | netbios-dgm | netbios-ns | netbios-ssn | nfsd | nntp | ntalk | ntp | pop3 | pptp | printer | radacct | radius | range | rip | rkinit | smtp | snmp | snmptrap | snpp | socks | ssh | sunrpc | syslog | tacacs | tacacs-ds | talk | telnet | tftp | timed | who | xdmcp | zephyr-clt | zephyr-hm | zephyr-srv);
source-prefix source-prefix;
}
mode {
tap {
inspect-pass-through-tunnel {
gre;
ipip;
}
interface [ interface ... ];
}
}
receive-side-scaling {
nic-rss {
modedisable;
}
software-rss {
io-thread-number io-thread-number;
mode(automatic | disable | enable);
}
}
resource-manager {
cpu {
re re;
}
enhanced-logging;
}
secure-wire name {
interface [ interface ... ];
}
security-service {
fail-open;
}
}forwarding-options {
family {
inet6 {
mode (drop | flow-based | packet-based);
}
iso {
mode packet-based;
}
mpls {
mode (flow-based | packet-based);
}
}
mode {
tap {
inspect-pass-through-tunnel {
gre;
ipip;
}
interface [ interface ... ];
}
}
resource-manager {
cpu {
re re;
}
}
secure-wire name {
interface [ interface ... ];
}
}
Nivel de jerarquía
[edit security]
Descripción
Determine cómo las familias de protocolos y mpls , administran las inet6, isoopciones de reenvío de seguridad.
El procesamiento basado en paquetes no se admite en los siguientes firewalls serie SRX: SRX5400, SRX5600 y SRX5800.
En los firewalls serie SRX, el modo predeterminado para procesar el tráfico es el modo de flujo. Puede configurar firewalls serie SRX para que funcionen en modo de paquete para procesar paquetes MPLS.
Para configurar el modo de paquete en el firewall de la serie SRX, utilice el siguiente comando:
user@host# set security forwarding-options family mpls mode packet-basedLos servicios seleccionados sin estado basados en paquetes le permiten configurar el dispositivo para que proporcione solo procesamiento basado en paquetes para el tráfico seleccionado según los términos del filtro de entrada.
A partir de Junos OS versión 20.3R1, puede habilitar o deshabilitar el sueño del plano de datos mediante la opción
no-allow-dataplane-sleep.
Opciones
| mode | Especifique el modo TAP. |
| inspect-pass-through-tunnel | Especifique el modo TAP para inspeccionar el paso a través del túnel IP-IP o GRE. |
| interface | Especifique el nombre de interfaz del modo TAP. Puede configurar hasta ocho interfaces TAP. |
| no-allow-dataplane-sleep | Desactive el sueño del plano de datos configurando esta opción. Para habilitar el sueño en el plano de datos, elimine esta configuración. |
| resource-manager | Muestra el estado de las opciones de reenvío y la CPU y la memoria asignadas para los servicios avanzados y para verificar la asignación de vCPU entre el motor de enrutamiento y los subprocesos de flujo RT. |
| secure-wire | Especifique un nombre para la asignación de interfaz de cable seguro. |
| interface-name-1 interface-name-2 | Especifique un par de interfaces lógicas par que constituyan la asignación de cable seguro. |
El resto de las instrucciones se explican por separado. Consulte Explorador de CLI.
Nivel de privilegio requerido
security: para ver esta instrucción en la configuración.
security-control: para agregar esta instrucción a la configuración.
Información de versión
Declaración introducida en la versión 8.5 de Junos OS.
secure-wire opción introducida en Junos OS versión 19.3R1.
resource-manager opción introducida en la versión 19.4R1 de Junos OS para el firewall virtual vSRX.
mode opción introducida en Junos OS versión 20.1R1.
no-allow-dataplane-sleep opción introducida en Junos OS versión 20.3R1 para el firewall virtual vSRX 3.0.
Recurso de CPU dedicado asignado para iniciar sesión en caja en Junos OS versión 23.1R1.