- play_arrow 配置防火墙过滤器
- play_arrow 了解防火墙过滤器如何保护您的网络
- play_arrow 防火墙过滤器匹配条件和操作
- 防火墙过滤器概述（OCX 系列）
- ACX 系列路由器上的防火墙过滤器配置文件概述（Junos OS 演化版）
- 了解防火墙过滤器匹配条件
- 了解防火墙过滤器规划
- 了解如何评估防火墙过滤器
- 了解防火墙过滤器匹配条件
- 防火墙过滤器灵活匹配条件
- 防火墙过滤器非终止操作
- 防火墙过滤器终止操作
- 防火墙过滤器匹配条件和操作（ACX 系列路由器）
- ACX 系列路由器中的防火墙过滤器匹配条件和操作 （Junos OS 演化版）
- 与协议无关的流量的防火墙过滤器匹配条件
- IPv4 流量的防火墙过滤器匹配条件
- IPv6 流量的防火墙过滤器匹配条件
- 基于数字或文本别名的防火墙过滤器匹配条件
- 基于位字段值的防火墙过滤器匹配条件
- 基于地址字段的防火墙过滤器匹配条件
- 基于地址类的防火墙过滤器匹配条件
- 了解 MPLS 流量的基于 IP 的过滤和选择性端口镜像
- MPLS 流量的防火墙过滤器匹配条件
- MPLS 标记的 IPv4 或 IPv6 流量的防火墙过滤器匹配条件
- VPLS 流量的防火墙过滤器匹配条件
- 第 2 层 CCC 流量的防火墙过滤器匹配条件
- 第 2 层桥接流量的防火墙过滤器匹配条件
- 环路接口上的防火墙过滤器支持
- play_arrow 将防火墙过滤器应用于路由引擎流量
- 在第 3 层 VPN 中的路由实例的环路接口上配置逻辑单元
- 示例：配置过滤器以根据前缀列表限制对端口的 TCP 访问
- 示例：配置无状态防火墙过滤器以接受来自可信源的流量
- 示例：配置过滤器以阻止 Telnet 和 SSH 访问
- 示例：配置过滤器以阻止 TFTP 访问
- 示例：配置过滤器以接受基于 IPv6 TCP 标志的数据包
- 示例：配置过滤器以阻止对端口的 TCP 访问（来自指定 BGP 对等方除外）
- 示例：配置无状态防火墙过滤器以防止 TCP 和 ICMP 泛滥
- 示例：使用每秒数据包数速率限制过滤器保护路由引擎
- 示例：配置过滤器以排除 LAC 订阅者的 DHCPv6 和 ICMPv6 控制流量
- DHCP 防火墙过滤器的端口号要求
- 示例：配置 DHCP 防火墙过滤器以保护路由引擎
- play_arrow 将防火墙过滤器应用于传输流量
- 示例：配置过滤器以用作入口队列过滤器
- 示例：配置过滤器以匹配 IPv6 标志
- 示例：配置过滤器以匹配端口和协议字段
- 示例：配置过滤器以计算接受和拒绝的数据包
- 示例：配置过滤器以计数和丢弃 IP 选项数据包
- 示例：配置过滤器以对 IP 选项数据包进行计数
- 示例：配置过滤器以对接受的数据包进行计数和采样
- 示例：配置过滤器以将 DSCP 位设置为零
- 示例：配置过滤器以将 DSCP 位设置为零
- 示例：将筛选器配置为匹配两个不相关的条件
- 示例：将过滤器配置为基于地址接受 DHCP 数据包
- 示例：配置过滤器以接受来自前缀的 OSPF 数据包
- 示例：配置无状态防火墙过滤器以处理片段
- 配置防火墙过滤器以防止或允许 IPv4 数据包分段
- 配置防火墙过滤器以丢弃带有移动扩展标头的入口 IPv6 数据包
- 示例：基于 IPv6 源或目标 IP 地址配置出口过滤器
- 示例：基于目标类配置速率限制过滤器
- play_arrow 在逻辑系统中配置防火墙过滤器
- play_arrow 配置防火墙过滤器记帐和日志记录
- play_arrow 将多个防火墙过滤器连接到单个接口
- play_arrow 将单个防火墙过滤器连接到多个接口
- play_arrow 配置跨 IP 网络的基于过滤器的隧道
- play_arrow 配置服务过滤器
- play_arrow 配置简单筛选器
- play_arrow 配置第 2 层防火墙过滤器
- play_arrow 为转发、分段和监管配置防火墙过滤器
- play_arrow 配置防火墙过滤器（EX 系列交换机）
- EX 系列交换机的防火墙过滤器概述
- 了解防火墙过滤器的规划
- 了解防火墙过滤器匹配条件
- 了解防火墙过滤器如何控制数据包流
- 了解如何评估防火墙过滤器
- 了解 EX 系列交换机上桥接数据包和路由数据包的防火墙过滤器处理点
- EX 系列交换机的防火墙过滤器匹配条件、操作和操作修改符
- EX 系列交换机上防火墙过滤器匹配条件、操作和操作修饰符的平台支持
- 支持交换机上环路防火墙过滤器的匹配条件和操作
- 配置防火墙过滤器（CLI 过程）
- 了解防火墙过滤器如何测试数据包的协议
- 了解 EX 系列交换机基于过滤器的转发
- 示例：为 EX 系列交换机上的端口、VLAN 和路由器流量配置防火墙过滤器
- 示例：在 EX 系列交换机的管理接口上配置防火墙过滤器
- 示例：使用基于过滤器的转发将应用程序流量路由到安全设备
- 示例：将防火墙过滤器应用于启用了 802.1X 或 MAC RADIUS 身份验证的接口上的多个请求方
- 验证监管器是否正常运行
- 防火墙过滤器故障排除
- play_arrow 配置防火墙过滤器（QFX 系列交换机、EX4600 交换机、PTX 系列路由器）
- 防火墙过滤器概述（QFX 系列）
- 了解防火墙过滤器规划
- 规划要创建的防火墙过滤器数量
- 防火墙过滤器匹配条件和操作（QFX 和 EX 系列交换机）
- 防火墙过滤器匹配条件和操作（QFX10000交换机）
- 防火墙过滤器匹配条件和操作（PTX 系列路由器）
- PTX 系列数据包传输路由器和 T 系列矩阵路由器之间的防火墙和监管差异
- 配置防火墙过滤器
- 将防火墙过滤器应用于接口
- 环路接口上的 MPLS 防火墙过滤器概述
- 在交换机上配置 MPLS 防火墙过滤器和监管器
- 在路由器上配置 MPLS 防火墙过滤器和监管器
- 配置 MPLS 防火墙过滤器和监管器
- 了解防火墙过滤器如何测试协议
- 了解桥接和路由数据包的防火墙过滤器处理点
- 了解基于过滤器的转发
- 示例：使用基于过滤器的转发将应用程序流量路由到安全设备
- 配置防火墙过滤器以解封装 GRE 或 IPIP 流量
- 验证防火墙过滤器是否正常运行
- 监控防火墙过滤器流量
- 防火墙过滤器配置疑难解答
- play_arrow 配置防火墙过滤器计费和日志记录（EX9200 交换机）
-
- play_arrow 配置流量监管器
- play_arrow 了解流量监管器
- 监管器实施概述
- ARP 监管器概述
- 示例：配置 ARP 监管器
- 了解监管器和令牌桶算法的优势
- 确定流量监管器的适当突发大小
- 使用流量监管控制网络访问概述
- 流量监管器类型
- 监管器和防火墙过滤器操作的顺序
- 了解监管数据包的帧长度
- 支持的监管标准
- 分层监管器配置概述
- 了解增强型分层监管器
- 基于每秒数据包数 （pps） 的监管器概述
- 应用流量监管器的准则
- 聚合以太网接口的监管器支持概述
- 示例：为物理接口上的聚合流量配置物理接口监管器
- PTX 系列数据包传输路由器和 T 系列矩阵路由器之间的防火墙和监管差异
- ACX 系列路由器上的分层监管器概述
- 在 ACX 系列路由器上配置分层监管器的准则
- ACX 系列路由器上的分层监管器模式
- 处理 ACX 系列路由器上的分层监管器
- 对 ACX 系列路由器上的分层监管器执行的操作
- 在 ACX 系列路由器上配置聚合父监管器和子监管器
- play_arrow 配置监管器速率限制和操作
- play_arrow 配置第 2 层监管器
- play_arrow 在第 3 层配置双色和三色流量监管器
- play_arrow 在第 3 层配置逻辑和物理接口流量监管器
- play_arrow 在交换机上配置监管器
-
- play_arrow 配置语句和操作命令
- play_arrow 故障排除
- play_arrow 知识库
-
条件播发 启用有条件的前缀安装用例
网络通常细分为更易于管理的小型单元，称为自治系统 (AS)。当路由器使用 BGP 在同一 AS 中形成对等关系时，该 BGP 称为内部 BGP (IBGP)。当路由器使用 BGP 在不同的 AS 中形成对等关系时，它被称为外部 BGP （EBGP）。
执行路由健全性检查后，BGP 路由器接受从其对等方收到的路由并将其安装到路由表中。默认情况下，IBGP 和 EBGP 会话中的所有路由器都遵循标准 BGP 通告规则。IBGP 会话中的路由器仅通告从其直接对等方获知的路由，而 EBGP 会话中的路由器通告从其直接和间接对等方（对等方的对等方）获知的所有路由。因此，在配置了 EBGP 的典型网络中，路由器将从 EBGP 对等方接收的所有路由添加到其路由表中，并将几乎所有路由通告给所有 EBGP 对等方。
在互联网上与客户和对等方交换 BGP 路由的服务提供商面临恶意和意外威胁的风险，这些威胁可能会危及流量的正确路由以及路由器的操作。
这有几个缺点：
Non-aggregated route advertisements— 客户可能会错误地将其所有前缀播发给 ISP，而不是其地址空间的聚合。考虑到互联网路由表的大小，必须仔细控制这一点。边缘路由器可能只需要一条通向互联网的默认路由，而是从其上游对等方接收整个 BGP 路由表。
BGP route manipulation— 如果恶意管理员更改 BGP 路由表的内容，则可能会阻止流量到达其预期目标。
BGP route hijacking— BGP 对等方的恶意管理员可能会恶意宣布网络的前缀，试图将发往受害网络的流量重新路由到管理员的网络，从而访问流量内容或阻止受害者的在线服务。
BGP denial of service (DoS)— 如果恶意管理员向路由器发送意外或不需要的 BGP 流量，试图使用路由器的所有可用 BGP 资源，则可能会导致路由器处理有效 BGP 路由信息的能力受损。
前缀的条件安装可用于解决前面提到的所有问题。如果客户需要访问远程网络，则可以在与远程网络连接的路由器的路由表中安装特定路由。这在典型的EBGP网络中不会发生，因此，有条件地安装前缀变得至关重要。
AS 不但受物理关系约束，而且还受业务或其他组织关系的约束。AS 可以向其他组织提供服务，或充当其他两个 AS 之间的过渡 AS。这些中转 AS 受双方之间合同协议的约束，其中包括有关如何相互连接的参数，最重要的是，它们相互承载的流量类型和数量。因此，出于法律和财务原因，服务提供商必须实施策略来控制 BGP 路由如何与邻接方交换、接受来自这些邻接方的路由以及这些路由如何影响 AS 之间的流量。
有许多不同的选项可用于过滤从 BGP 对等方收到的路由，以实施 AS 间策略并降低接收潜在有害路由的风险。传统的路由过滤检查路由的属性，并根据这些属性接受或拒绝路由。策略或过滤器，可以检查 AS 路径、下一跃点值、社区值、前缀列表、路由地址族等的内容。
在某些情况下，匹配特定属性值的标准“接受条件”是不够的。服务提供商可能需要使用路由本身之外的其他条件，例如路由表中的另一个路由。例如，可能需要安装从上游对等方接收的默认路由，前提是可以验证此对等方可访问到上游的其他网络。此条件路由安装可避免安装用于向此对等方发送流量的默认路由，此时对等方可能已丢失其上游路由，从而导致黑洞流量。为此，可以将路由器配置为在路由表中搜索是否存在特定路由，并基于此知识接受或拒绝另一个前缀。
示例：为条件播发配置路由策略 在路由表中 启用前缀的条件安装说明如何配置和验证前缀的条件安装。
