示例：为物理接口上的聚合流量配置物理接口监管器

分步过程

要在物理接口上配置逻辑接口，请执行以下操作：

1. 启用逻辑接口的配置。

   content_copy zoom_out_map

   [edit]
   user@host# edit interfaces so-1/0/0
   

2. 在逻辑单元 0 上配置协议族。

   content_copy zoom_out_map

   [edit interfaces so-1/0/0]
   user@host# set unit 0 family inet address 192.168.1.1/24
   user@host# set unit 0 family vpls
   

3. 在逻辑单元 1 上配置协议族。

   content_copy zoom_out_map

   [edit interfaces so-1/0/0]
   user@host# set unit 1 family mpls
   

结果

通过输入 show interfaces 配置模式命令确认防火墙过滤器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。

[edit]
user@host# show interfaces
so-1/0/0 {
    unit 0 {
        family inet {
            address 192.168.1.1/24;
        }
        family vpls;
    }
    unit 1 {
        family mpls;
    }
}

分步过程

要配置物理接口监管器，请执行以下操作：

1. 启用双色监管器的配置。

   content_copy zoom_out_map

   [edit]
   user@host# edit firewall policer shared-policer-A
   

2. 配置双色监管器的类型。

   content_copy zoom_out_map

   [edit firewall policer shared-policer-A]
   user@host# set physical-interface-policer
   

3. 为不符合流量流中的数据包配置流量限制和操作。

   content_copy zoom_out_map

   [edit firewall policer shared-policer-A]
   user@host# set if-exceeding bandwidth-limit 100m burst-size-limit 500k
   user@host# set then discard
   

   对于物理接口过滤器，您可以为不符合信息流中的数据包配置的操作是丢弃数据包、分配转发类、分配 PLP 值或同时分配转发类和 PLP 值。

结果

通过输入 show firewall 配置模式命令确认监管器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。

[edit]
user@host# show firewall
policer shared-policer-A {
    physical-interface-policer;
    if-exceeding {
        bandwidth-limit 100m;
        burst-size-limit 500k;
    }
    then discard;
}

分步过程

要将物理接口监管器配置为 IPv4 物理接口监管器中术语的操作，请执行以下操作：

1. 在特定协议家族下配置标准无状态防火墙过滤器。

   content_copy zoom_out_map

   [edit]
   user@host# edit firewall family inet filter ipv4-filter
   

   不能为 配置 family any物理接口防火墙过滤器。

2. 将过滤器配置为物理接口过滤器，以便您可以将物理接口监管器作为操作应用。

   content_copy zoom_out_map

   [edit firewall family inet filter ipv4-filter]
   user@host# set physical-interface-filter
   

3. 配置第一个术语以将通过 TCP 接收的 IPv4 数据包与 IP 优先级字段 critical-ecp、 immediate进行匹配，或者 priority 将物理接口监管器作为过滤器操作进行应用。

   content_copy zoom_out_map

   [edit firewall family inet filter ipv4-filter]
   user@host# set term tcp-police-1 from precedence [ critical-ecp immediate priority ]
   user@host# set term tcp-police-1 from protocol tcp
   user@host# set term tcp-police-1 then policer shared-policer-A
   

4. 配置第一个术语以将通过 TCP 接收的 IPv4 数据包与 IP 优先级字段 internet-control 进行匹配，或者 routine 将物理接口监管器应用为过滤器操作。

   content_copy zoom_out_map

   [edit firewall family inet filter ipv4-filter]
   user@host# set term tcp-police-2 from precedence [ internet-control routine ]
   user@host# set term tcp-police-2 from protocol tcp
   user@host# set term tcp-police-2 then policer shared-policer-A
   

结果

通过输入 show firewall 配置模式命令确认防火墙过滤器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。

[edit]
user@host# show firewall
family inet {
    filter ipv4-filter {
        physical-interface-filter;
        term tcp-police-1 {
            from {
                precedence [ critical-ecp immediate priority ];
                protocol tcp;
            }
            then policer shared-policer-A;
        }
        term tcp-police-2 {
            from {
                precedence [ internet-control routine ];
                protocol tcp;
            }
            then policer shared-policer-A;
        }
    }
}
policer shared-policer-A {
    physical-interface-policer;
    if-exceeding {
        bandwidth-limit 100m;
        burst-size-limit 500k;
    }
    then discard;
}

分步过程

要应用物理接口过滤器，使其引用物理接口监管器，请执行以下操作：

1. 在逻辑接口上启用 IPv4 配置。

   content_copy zoom_out_map

   [edit]
   user@host# edit interfaces so-1/0/0 unit 0 family inet
   

2. 在输入方向上应用 IPv4 物理接口过滤器。

   content_copy zoom_out_map

   [edit interfaces so-1/0/0 unit 0 family inet]
   user@host# set filter input ipv4-filter
   

结果

通过输入 show interfaces 配置模式命令确认防火墙过滤器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。

[edit]
user@host# show interfaces
so-1/0/0 {
    unit 0 {
        family inet {
            filter {
                input ipv4-filter;
            }
            address 192.168.1.1/24;
        }
        family vpls;
    }
    unit 1 {
        family mpls;
    }
}

如果完成设备配置，请从配置模式输入 commit。

目的

验证防火墙过滤器 ipv4-filter 是否已应用于逻辑接口 so-1/0/0.0上的 IPv4 输入流量。

操作

show interfaces statistics对逻辑接口 so-1/0/0.0使用操作模式命令，并包括该detail选项。在 Protocol inet 命令输出部分中，该 Input Filters 字段显示防火墙过滤器 ipv4-filter 在输入方向上应用。

user@host> show interfaces statistics so-1/0/0 detail
  Logical interface so-1/0/0.0 (Index 79) (SNMP ifIndex 510) (Generation 149)
    Flags: Hardware-Down Point-To-Point SNMP-Traps 0x4000 Encapsulation: PPP
    Protocol inet, MTU: 4470, Generation: 173, Route table: 0
      Flags: Sendbcast-pkt-to-re, Protocol-Down
      Input Filters: ipv4-filter
      Addresses, Flags: Dest-route-down Is-Preferred Is-Primary
        Destination: 10.39/16, Local: 10.39.1.1, Broadcast: 10.39.255.255, Generation: 163

目的

验证通过逻辑接口的信息流，以及在逻辑接口上收到数据包时是否评估监管器。

操作

show firewall对应用于逻辑接口的过滤器使用操作模式命令。

user@host> show firewall filter ipv4-filter
Filter: ipv4-filter                                          
Policers:
Name                                              Packets 
shared-policer-A-tcp-police-1                       32863
shared-policer-A-tcp-police-2                        3870

命令输出显示监管器 （shared-policer-A） 的名称、指定监管器操作的过滤器术语 （police-1） 的名称以及与过滤器术语匹配的数据包数。这只是不规范（不规范）数据包计数，而不是监管器监管的所有数据包。