Condiciones y acciones de coincidencia del filtro de firewall (conmutadores QFX10000)

Cada término de un filtro de firewall consta de condiciones de coincidencia y una acción. Las condiciones de coincidencia son los campos y valores que debe contener un paquete para que se considere una coincidencia. Puede definir condiciones de coincidencia única o múltiple en instrucciones de coincidencia. También puede incluir ninguna instrucción de coincidencia, en cuyo caso el término coincide con todos los paquetes.

Cuando un paquete coincide con un filtro, el conmutador realiza la acción especificada en el término. Además, puede especificar modificadores de acción para contar, reflejar, limitar la velocidad y clasificar paquetes. Si no se especifica ninguna condición de coincidencia para el término, el conmutador acepta el paquete de forma predeterminada.

En este tema se describen las distintas condiciones de coincidencia, acciones y modificadores de acción que puede definir en los filtros de firewall de QFX10000 conmutadores. Para obtener información similar acerca de otros conmutadores QFX, consulte Condiciones y acciones de coincidencia del filtro de firewall (conmutadores de las series QFX y EX).

Tabla 1 Describe las condiciones de coincidencia que puede especificar al configurar un filtro de firewall. Algunas de las condiciones de coincidencia de rango numérico y campo de bits permiten especificar un sinónimo de texto. Para ver una lista de todos los sinónimos de una condición de coincidencia, escriba ? en el lugar apropiado de una instrucción.
Tabla 2 muestra las acciones que puede especificar en un término.
Tabla 3 muestra los modificadores de acción que puede utilizar para contar, reflejar, limitar la velocidad y clasificar paquetes.

Tabla 1: Condiciones de coincidencia admitidas (conmutadores QFX10000)
Condición de coincidencia	Description	Dirección e interfaz
`destination-address ip-address`	Campo Dirección de destino IP, que es la dirección del nodo de destino final.	Entrada de interfaces IPv4 (inet) e IPv6 (inet6). Salida de interfaces IPv4 (inet) e IPv6 (inet6). Interfaz IRB de entrada para estructura EVPN/VXLAN, cuando corresponda
`destination-mac-address mac-address`	Dirección MAC (control de acceso a medios de destino) del paquete.	Puertos de entrada y VLAN. Puertos de salida y VLAN.
`destination-port value`	Campo Puerto de destino TCP o UDP. Normalmente, esta coincidencia se especifica junto con la instrucción coincidencia `protocol` . Para los siguientes puertos conocidos, puede especificar sinónimos de texto (también se enumeran los números de puerto): `afs (1483)`, `bgp (179)`, `biff (512)`, `bootpc (68)`, `bootps (67)`, , `cmd (514)`, `cvspserver (2401)`, `dhcp (67)`, `domain (53)`, `eklogin (2105)`, `ekshell (2106)`, `exec (512)`, `finger (79)`, `ftp (21)`, `ftp-data (20)`, `http (80)`, `https (443)`, `ident (113)`, `imap (143)`, `kerberos-sec (88)`, `klogin (543)`, `kpasswd (761)`, `krb-prop (754)`, `krbupdate (760)`, `kshell (544)`, `ldap (389)`, `login (513)`, `mobileip-agent (434)`, `mobilip-mn (435)`, `msdp (639)`, `netbios-dgm (138)`, `netbios-ns (137)`, `netbios-ssn (139)`, , `nntp (119)nfsd (2049)`, `ntalk (518)`, `ntp (123)`, , `pop3 (110)`, `pptp (1723)`, `printer (515)`, `radacct (1813)`,`radius (1812)`, `rip (520)`, , `rkinit (2108)`, `smtp (25)`, `snmp (161)`, , `snpp (444)snmptrap (162)`, `socks (1080)`, `ssh (22)`, `sunrpc (111)`, , `syslog (514)` `tacacs-ds (65)`, `talk (517)`, `telnet (23)`, `tftp (69)`, `timed (525)`, , `who (513)`, `xdmcp (177)`, `zephyr-clt (2103)`, `zephyr-hm (2104)`	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Puertos de salida, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Interfaz IRB de entrada para estructura EVPN/VXLAN, cuando corresponda
`destination-prefix-list prefix-list`	Campo Lista de prefijos de destino IP. Puede definir una lista de prefijos de direcciones IP en un alias de lista de prefijos para uso frecuente. Defina esta lista en el nivel jerárquico `[edit policy-options]` .	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Puertos de salida, VLAN, interfaces IPv4 (inet) e IPv6 (inet6).
`dscp value`	Punto de código de servicios diferenciados (DSCP). El protocolo DiffServ utiliza el byte de tipo de servicio (ToS) en el encabezado IP. Los 6 bits más significativos de este byte forman el DSCP. Puede especificar DSCP en formato hexadecimal, binario o decimal. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): `be`—Mejor esfuerzo (predeterminado) `ef (46)`—como se define en RFC 3246, Un PHB de reenvío acelerado. `af11 (10)`, `af12 (12)`, `af13 (14)`; `af21 (18)`, `af22 (20)`, `af23 (22)`; `af31 (26)`, `af32 (28)`, `af33 (30)`; `af41 (34)`, `af42 (36)`, `af43 (38)` Estas cuatro clases, con tres precedencias de caída en cada clase, para un total de 12 puntos de código, se definen en RFC 2597, PHB de reenvío asegurado. `cs0`, `cs1`, , `cs3cs2`, `cs4`, `cs5`, `cs6`, , `cs7cs5`	Puertos de entrada, VLAN e interfaces IPv4 (inet). Puertos de salida, VLAN e interfaces IPv4 (inet).
`ether-type value`	Campo de tipo Ethernet de un paquete. El valor EtherType especifica qué protocolo se transporta en la trama Ethernet. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): `aarp (0x80F3)`—Valor de EtherType AARP `appletalk (0x809B)`—Valor de EtherType AppleTalk `arp (0x0806)`—ARP del valor EtherType `fcoe (0x8906)`—Valor FCoE de EtherType `fip (0x8914)`—EtherType valor FIP `ipv4 (0x0800)`—Valor de EtherType IPv4 `ipv6 (0x08DD)`—Valor de EtherType IPv6 `mpls-multicast (0x8848)`—Valor de EtherType Multidifusión MPLS `mpls-unicast (0x8847)`—Unidifusión MPLS del valor EtherType `oam (0x88A8)`—Valor de EtherType OAM `ppp (0x880B)`—Valor PPP de EtherType `pppoe-discovery (0x8863)`—Valor de EtherType Etapa de descubrimiento de PPPoE `pppoe-session (0x8864)`—Valor de EtherType Etapa de sesión PPPoE `sna (0x80D5)`—Valor EtherType SNA	Puertos de entrada y VLAN. Puertos de salida y VLAN.
`forwarding-class class`	Clasifique el paquete en una de las siguientes clases de reenvío predeterminadas o en una clase de reenvío definida por el usuario: `best-effort` `fcoe` `network-control` `no-loss`	Interfaces IPv4 (inet) e IPv6 (inet6) de salida.
`fragment-flags value`	Indicadores de fragmentación IP. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores hexadecimales): `is-fragment` `dont-fragment (0x4000)` `more-fragments (0x2000)` `reserved (0x8000)`	Puertos de entrada, VLAN e interfaces IPv4 (inet).
`hop-limit value`	Coincidir con el límite de salto especificado o el conjunto de límites de salto. Especifique un único valor o un rango de valores del 0 al 255.	Interfaces IPv6 (inet6) de entrada y salida.
`icmp-code value`	Campo de código ICMP. Dado que el significado del valor depende del valor asociado `icmp-type`, debe especificar un valor para `icmp-type` junto con un valor para `icmp-code`. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo). Las palabras clave se agrupan por el tipo de ICMP con el que están asociadas: IPv4: parámetro-problema—`ip-header-bad (0)`, `required-option-missing (1)` IPv6: parámetro-problema—`ip6-header-bad (0)`, `unrecognized-next-header (1)`, `unrecognized-option (2)` `redirect`—`redirect-for-network (0)`, `redirect-for-host (1)`, `redirect-for-tos-and-net (2)`, `redirect-for-tos-and-host (3)` `time-exceeded`—`ttl-eq-zero- during-reassembly (1)`, `ttl-eq-zero-during-transit (0)` IPv4: inalcanzable—`network-unreachable (0)`, `host-unreachable (1)`, `protocol-unreachable (2)port-unreachable (3)fragmentation-needed (4)source-route-failed (5)destination-network-unknown (6)destination-host-unknown (7)source-host-isolated (8)destination-network-prohibited (9)destination-host-prohibited (10)network-unreachable-for-TOS (11)host-unreachable-for-TOS (12)communication-prohibited-by-filtering (13)host-precedence-violation (14)precedence-cutoff-in-effect (15)` IPv6: inalcanzable—`address-unreachable (3)`, `administratively-prohibited (1)`, `no-route-to-destination (0)`, , `port-unreachable (4)`	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Puertos de salida, VLAN, interfaces IPv4 (inet) e interfaces IPv6 (inet6)
`icmp-type value`	Campo de tipo de mensaje ICMP. Normalmente, esta coincidencia se especifica junto con la instrucción coincidencia `protocol` para determinar qué protocolo se está utilizando en el puerto. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): IPv4: `echo-reply (0)`, `destination unreachable (3)`, , `source-quench (4)`, `echo-request (8)time-exceeded (11)IPv4 (inet)-solicit (10)redirect (5)IPv4 (inet)-advertisement (9)`, `parameter-problem (12)`, , `timestamp (13)timestamp-reply (14)info-request (15)info-reply (16)mask-request (17)mask-reply (18)` IPv6: `destination-unreachable (1)`, `packet-too-big (2)`, `time-exceeded (3)membership-query (130)membership-report (131)membership-termination (132)parameter-problem (4)router-solicit (133)echo-reply (129)echo-request (128)`, , `router-advertisement (134)neighbor-solicit (135)neighbor-advertisement (136)redirect (137)router-renumbering (138)node-information-request (139)node-information-reply (140)` Consulte también `icmp-code variable`.	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Puertos de salida, VLAN, interfaces IPv4 (inet) e IPv6 (inet6).
`interface interface-name`	Interfaz en la que se recibe el paquete, incluida la unidad lógica. Puede incluir el carácter comodín (`*`) como parte de un nombre de interfaz o unidad lógica. Nota: Una interfaz desde la que se envía un paquete no se puede utilizar como condición de coincidencia.	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Salida de interfaces IPv4 (inet) e IPv6 (inet6).
`ip-destination-address address`	Dirección IPv4 que es la dirección del nodo de destino final del paquete.	Puertos de entrada, puertos de salida y VLAN. Interfaz IRB de entrada para estructura EVPN/VXLAN, cuando corresponda
`ip-options`	Especifique `any` para crear una coincidencia si se especifica algo en el campo de opciones del encabezado IP.	Puertos de entrada, VLAN e interfaces IPv4 (inet).
`ip-precedence ip-precedence-field`	Campo de prioridad de IP. En lugar del valor de campo numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): `critical-ecp` (0xa0), `flash` (0x60), `flash-override` (0x80), `immediate` (0x40), `internet-control` (0xc0), `net-control` (0xe0), `priority` (0x20) o `routine` (0x00).	Puertos de entrada y VLAN. Puertos de salida y VLAN.
`ip-protocol number`	Campo de protocolo IP.	Puertos de entrada y VLAN. Puertos de salida y VLAN. Interfaz IRB de entrada para estructura EVPN/VXLAN, cuando corresponda
`ip-source-address` `address`	Dirección IPv4 del nodo de origen que envía el paquete.	Puertos de entrada y VLAN. Puertos de salida y VLAN. Interfaz IRB de entrada para estructura EVPN/VXLAN, cuando corresponda
`ip-version address`	Versión IP del paquete. Utilice esta condición para hacer coincidir los campos de encabezado IPv4 o IPv6 en el tráfico que llega a un puerto de capa 2 o a una interfaz VLAN.	Puertos de entrada y VLAN. Puertos de salida y VLAN.
`is-fragment`	El uso de esta condición provoca una coincidencia si el indicador Más fragmentos está habilitado en el encabezado IP o si el desplazamiento del fragmento no es cero.	Puertos de entrada, VLAN e interfaces IPv4 (inet). Interfaces IPv4 de salida (inet).
`learn-1p-priority number`	Hace coincidir los bits de prioridad VLAN IEEE 802.1p especificados en el rango `0-7`.	Puertos de entrada y VLAN. Puertos de salida y VLAN.
`learn-vlan-id number`	Hace coincidir el ID de una VLAN normal o el ID de la VLAN externa (de servicio) (para VLAN Q-in-Q). Para usar la memoria de filtro de la manera más eficaz y maximizar el número de filtros posibles, utilice esta condición además `user-id` de cuando desee coincidir en el ID de VLAN interno (cliente). Los valores aceptables son 1-4095.	Puertos de entrada y VLAN. Puertos de salida y VLAN. Interfaz IRB de entrada para estructura EVPN/VXLAN, cuando corresponda
`loss-priority (low \| medium-low \| medium-high \| high)`	Establezca la prioridad de pérdida de paquetes (PLP). Nota: El `loss-priority` modificador de acción no se admite en combinación con la `policer` acción.	Interfaces IPv4 (inet) e IPv6 (inet6) de salida.
`next-header value`	Valor del protocolo IPv4 o IPv6. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores numéricos): `hop-by-hop (0)`,`icmp (1)`, `icmp6 (58)`, `igmp (2)no-next-header (59)ipip (4)fragment (44)routing (43)rsvp (46)ipv6 (41)gre (47)udp (17)esp (50)ah (51)egp (8)tcp (6)dstopts (60)ospf (89)icmp6 (58)pim (103)`, , `vrrp (112)sctp (132)`	Interfaces IPv6 de entrada (inet6). Interfaces IPv6 de salida (inet6).
`packet-length number`	Longitud del paquete en bytes. Debe introducir un número entre 0 y 65535.	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Interfaces IPv4 de salida (inet).
`precedence value`	Bits de precedencia IP en el byte de tipo de servicio (ToS) del encabezado IP. (Este byte también se puede utilizar para el DSCP de DiffServ.) En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores numéricos): `routine (0)` `priority (1)` `immediate (2)` `flash (3)` `flash-override (4)` `critical-ecp (5)` `internet-control (6)` `net-control (7)`	Interfaces IPv4 de entrada (inet). Interfaces IPv4 de salida (inet).
`protocol type`	Valor del protocolo IPv4 o IPv6. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores numéricos): `hop-by-hop (0)`,`icmp (1)`, `icmp6`, `igmp (2)no-next-header (59)ipip (4)fragment (44)routing (43)rsvp (46)ipv6 (41)gre (47)udp (17)esp (50)ah (51)egp (8)tcp (6)dstopts (60)ospf (89)icmp6 (58)pim (103)`, , `vrrp (112)sctp (132)`	Interfaces IPv4 de entrada (inet). Interfaces IPv4 de salida (inet).
`source-address ip-address`	Campo Dirección IP de origen, que es la dirección del nodo que envió el paquete.	Entrada de interfaces IPv4 (inet) e IPv6 (inet6). Salida de interfaces IPv4 (inet) e IPv6 (inet6). Interfaz IRB de entrada para estructura EVPN/VXLAN, cuando corresponda
`source-mac-address mac-address`	Dirección MAC (control de acceso a medios de origen) del paquete.	Puertos de entrada y VLAN. Puertos de salida y VLAN.
`source-port value`	Puerto de origen TCP o UDP. Normalmente, esta coincidencia se especifica junto con la instrucción coincidencia `protocol` . En lugar del campo numérico, puede especificar uno de los sinónimos de texto enumerados en `destination-port`.	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Puertos de salida, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Interfaz IRB de entrada para estructura EVPN/VXLAN, cuando corresponda
`source-prefix-list prefix-list`	Lista de prefijos de origen IP. Puede definir una lista de prefijos de direcciones IP en un alias de lista de prefijos para uso frecuente. Defina esta lista en el nivel jerárquico `[edit policy-options]` .	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Puertos de salida, VLAN, interfaces IPv4 (inet) e IPv6 (inet6).
`tcp-established`	Coincidir paquetes de una conexión TCP establecida. Esta condición coincide con paquetes distintos de los utilizados para configurar una conexión TCP, es decir, los paquetes de protocolo de enlace de tres vías no coinciden. Cuando se especifica `tcp-established`, un modificador no comprueba implícitamente que el protocolo es TCP. También debe especificar la condición de `protocol tcp` coincidencia.	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Interfaces IPv4 de salida (inet).
`tcp-flags value`	Uno o más indicadores TCP: `ack (0x10)` `fin (0x01)` `push (0x08)` `rst (0x04)` `syn (0x02)` `urgent (0x20)`	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Interfaces IPv4 de salida (inet).
`tcp-initial`	Hacer coincidir el primer paquete TCP de una conexión. Se produce una coincidencia cuando se establece el indicador `SYN` TCP y no se establece el indicador `ACK` TCP. Cuando se especifica `tcp-initial`, un modificador no comprueba implícitamente que el protocolo es TCP. También debe especificar la condición de `protocol tcp` coincidencia.	Puertos de entrada, VLAN, interfaces IPv4 (inet) e IPv6 (inet6). Interfaces IPv4 de salida (inet).
`traffic-class value`	Campo de 8 bits que especifica la prioridad de clase de servicio (CoS) del paquete. El campo traffic-class se utiliza para especificar un valor de punto de código DiffServ (DSCP). Este campo se usaba anteriormente como el campo de tipo de servicio (ToS) en IPv4 y la semántica de este campo (por ejemplo, DSCP) es idéntica a la de IPv4. Puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): `af11 (10)`, `af12 (12)`, , `af21 (18)af13 (14)`, `af22 (20)af23 (22)`, `af31 (26)`, `af33 (30)af32 (28)`, , `af41 (34)`, `af42 (36)`, `af43 (38)`, , `cs0 (0)`, `cs1 (8)cs3 (24)cs4 (32)cs5 (40)cs2 (16)cs6 (48)`, , , `cs7 (56)ef (46)`	Interfaces IPv6 de entrada (inet6). Interfaces IPv6 de salida (inet6).
`ttl value`	Campo IP Tiempo de vida (TTL) en decimal. El valor puede ser 1-255.	Interfaces IPv4 de entrada (inet). Interfaces IPv4 de salida (inet). Interfaz IRB de entrada para estructura EVPN/VXLAN, cuando corresponda
`user-vlan-id number`	Hace coincidir el ID de la VLAN interna (cliente) en una VLAN Q-in-Q. Para usar la memoria de filtro de la manera más eficiente y maximizar la cantidad de filtros posibles, úsela en combinación con `learn-vlan-id` para que coincida con el ID de VLAN externo (de servicio). Los valores aceptables son 1-4095.	Puertos de entrada y VLAN. Puertos de salida y VLAN.

Utilice then instrucciones para definir las acciones que deben producirse si un paquete coincide con todas las condiciones de una from instrucción. Tabla 2 muestra las acciones que puede especificar en un término. (Si no incluye una then instrucción, el sistema acepta paquetes que coincidan con el filtro).

Tabla 2: Acciones
Acción	Description
`accept`	Aceptar un paquete. Esta es la acción predeterminada para los paquetes que coinciden con un término.
`discard`	Descartar un paquete silenciosamente sin enviar un mensaje de Protocolo de mensajes de control de Internet (ICMP).
`reject message-type`	Descarte un paquete y envíe un mensaje ICMPv4 de "destino inalcanzable" (tipo 3). Para registrar los paquetes rechazados, configure el modificador de acción `syslog` . Puede especificar uno de los siguientes tipos de mensajes: `administratively-prohibited (default), bad-host-tos, bad-network-tos, host-prohibited, host-unknown, host-unreachable, network-prohibited, network-unknown, network-unreachable, port-unreachable, precedence-cutoff, precedence-violation, protocol-unreachable, source-host-isolated, source-route-failed,` o `tcp-reset`. Si especifica `tcp-reset`, el sistema envía un restablecimiento TCP si el paquete es un paquete TCP; de lo contrario, no se envía nada. Si no especifica un tipo de mensaje, la notificación ICMP "destino inalcanzable" se envía con el mensaje predeterminado "comunicación filtrada administrativamente". Nota: La `reject` acción solo se admite en las interfaces de entrada.
`routing-instance instance-name`	Reenvíe paquetes coincidentes a una instancia de enrutamiento virtual. (El único tipo de instancia admitido es `virtual-router`.) Los paquetes se pueden reenviar a la instancia predeterminada.
`vlan VLAN-name`	Reenvíe paquetes coincidentes a una VLAN específica. Nota: La `vlan` acción solo se admite en las interfaces de entrada. Nota: Esta acción no se admite en los conmutadores de la serie OCX.

También puede especificar los modificadores de acción enumerados en Tabla 3 para contar, reflejar, limitar la velocidad y clasificar paquetes.

Tabla 3: Modificadores de acción
Modificador de acción	Description
`count counter-name`	Cuente el número de paquetes que coincidan con el término.
`forwarding-class class`	Clasifique el paquete en una de las siguientes clases de reenvío predeterminadas o en una clase de reenvío definida por el usuario: `best-effort` `fcoe` `mcast` `network-control` `no-loss` Nota: Para configurar una clase de reenvío, también debe configurar la prioridad de pérdida.
`log`	Registre la información del encabezado del paquete en el motor de enrutamiento. Para ver esta información, ingrese el comando del `show firewall log` modo operativo. Nota: El `log` modificador de acción solo se admite en las interfaces de entrada.
`loss-priority (low \| medium-low \| medium-high \| high)`	Establezca la prioridad de pérdida de paquetes (PLP). Nota: El `loss-priority` modificador de acción solo se admite en las interfaces de entrada. Nota: El `loss-priority` modificador de acción no se admite en combinación con la `policer` acción.
`policer policer-name`	Enviar paquetes a un policía (con el fin de aplicar la limitación de velocidad). Puede especificar un aplicador de políticas para los filtros de firewall del puerto de entrada y salida, VLAN, IPv4 (inet) e IPv6 (inet6). Nota: El `policer` modificador de acción no se admite en combinación con la `loss-priority` acción.
`port-mirror`	(Plataformas ELS) Tráfico de espejo (copiar paquetes) a una interfaz de salida configurada en una instancia de creación de reflejo de puertos en el nivel de `[edit forwarding-options port-mirroring]` jerarquía. Puede especificar la creación de reflejo de puertos para los filtros de firewall de puertos de entrada y salida, VLAN, IPv4 (inet) e IPv6 (inet6).
`port-mirror-instance port-mirror-instance-name`	(Plataformas ELS) Reflejar el tráfico a una instancia de creación de reflejo de puertos configurada en el nivel jerárquico `[edit forwarding-options port-mirroring]` . Puede especificar la creación de reflejo de puertos para los filtros de firewall de puertos de entrada y salida, VLAN, IPv4 (inet) e IPv6 (inet6). Nota:
`syslog`	Registre una alerta para este paquete. Nota: El `syslog` modificador de acción solo se admite en las interfaces de entrada.
`three-color-policer three-color-policer-name`	Envíe paquetes a un controlador de tres colores (con el fin de aplicar la limitación de velocidad). Puede especificar un aplicador de tres colores para los filtros de puerto de entrada y salida, VLAN, IPv4 (inet) e IPv6 (inet6). Nota: El `policer` modificador de acción no se admite en combinación con la `loss-priority` acción.

Condiciones y acciones de coincidencia del filtro de firewall (conmutadores QFX10000)

Temas relacionados