特定于前缀的计数和监管操作

每个 IPv4 地址范围单独计数和监管

通过特定于前缀的计数和监管，您可以配置 IPv4 防火墙过滤器 术语，该术语与源地址或目标地址匹配，应用单速率双色监管器作为术语操作，但根据数据包标头中的源或目标将匹配的数据包与特定的计数器和监管器实例相关联。您可以为单个地址或一组地址隐式创建单独的计数器或监管器实例。

特定于前缀的计数和监管使用 特定于前缀 的操作配置，该配置指定要应用的监管器的名称、是否启用特定于前缀的计数以及源地址或目标地址前缀范围。

前缀范围指定 IPv4 地址掩码的 1 到 16 个连续集位。前缀范围的长度决定了计数器和监管 器集的大小，它由少至 2 个或多达 65,536 个计数器和监管器实例组成。前缀范围中位的位置决定了将过滤器匹配的数据包索引到实例集中。

要将特定于前缀的操作应用于接口上的流量，请配置与源地址或目标地址匹配的防火墙过滤器术语，然后将防火墙过滤器应用于接口。使用特定于前缀的计数器和监管器实例（根据过滤数据包标头中的源地址或目标地址为每个数据包选择）来限制已过滤流量的流的速率。

特定于前缀的操作配置

要配置特定于前缀的操作，请指定以下信息：

• 特定于前缀的操作名称 — 可作为与源地址或目标地址上的数据包匹配的 IPv4 标准防火墙过滤器术语的操作引用的名称。

• 监管器名称 — 要为其隐式创建特定于前缀的实例的单速率双色监管器的名称。

  注：

  对于聚合以太网接口，您可以配置引用逻辑接口监管器（也称为聚合监管器）的特定于前缀的操作。您可以从 IPv4 标准防火墙过滤器引用此类特定于前缀的操作，然后在接口的聚合级别应用过滤器。

• 计数选项 - 如果要启用特定于前缀的计数器，则包含的选项。

• 特定于过滤器的选项 — 如果您希望在防火墙过滤器中的所有术语之间共享单个计数器和监管器集，则可选择包括该选项。以这种方式运行的特定于前缀的操作称为在 特定于筛选器的模式下运行。如果不启用此选项，则特定于前缀的操作将在 特定于术语 的模式下运行，这意味着将为引用特定于前缀的操作的每个过滤器术语创建一个单独的计数器和监管器集。

• 源地址前缀长度 — 地址前缀的长度，从 0 到 32，用于源地址上匹配的数据包。

• 目标地址前缀长度 — 地址前缀的长度，从 0 到 32，用于与目标地址匹配的数据包一起使用。

• 子网前缀长度 — 子网前缀的长度，从 0 到 32，用于与源地址或目标地址匹配的数据包一起使用。

您必须将源地址和目标地址前缀长度配置为比子网前缀长度长 1 到 16 位。如果将源地址或目标地址前缀长度配置为比配置的子网前缀长度高 16 位以上，则在尝试提交配置时会发生错误。

计数器和监管器集大小和索引

为特定于前缀的操作隐式创建的特定于前缀的操作（计数器或监管器）的数量由地址前缀的长度和子网前缀的长度决定：

1. Size of Counter and Policer Set = 2^(source-or-destination-prefix-length - subnet-prefix-length)

表 1 显示了计数器和监管器集大小和索引的示例。

操作的前缀长度和过滤数据包中地址的前缀长度

表 2 描述在特定于前缀的操作中指定的前缀长度与引用特定于前缀的操作的防火墙过滤器术语匹配的地址的前缀长度之间的关系。

场景 1：防火墙过滤器术语匹配多个地址

完整的示例 示例：配置特定于前缀的计数和监管显示了特定于前缀的操作的最简单情况，其中单术语 防火墙过滤器 在一个地址上进行匹配，其前缀长度与前缀特定操作中指定的子网前缀长度相同。与示例不同，此方案描述的配置中，单期限防火墙过滤器在两个 IPv4 源地址上匹配。此外，附加条件在前缀长度不同于特定于前缀的操作中定义的子网前缀长度的源地址上进行匹配。在这种情况下，附加条件在源地址10.11.0.0的子网上/16匹配。

传递到计数器和监管器集中的特定于前缀的操作索引的过滤器匹配数据包，以便计数和监管实例由包含跨和10.10.10.0/2410.11.0.0/16子网的源地址的数据包共享，如下所示：

• 集合中的第一个计数器和监管器按具有源地址 10.10.10.0 和 10.11.x.0的数据包编制索引，其中 x 范围从 0 到 255。

• 集合中的第二个计数器和监管器按具有源地址 10.10.10.1 和 10.11.x.1的数据包编制索引，其中 x 范围从 0 到 255。

• 集合中的第 256 个（最后一个）计数器和监管器按具有源地址 10.10.10.255 和 10.11.x.255的数据包编制索引，其中 x 范围从 0 到 255。

以下配置显示了用于配置单速率双色监管器、引用监管器的前缀特定操作以及引用前缀特定操作的 IPv4 标准无状态防火墙过滤器的语句：

场景 2：子网前缀比筛选器匹配条件中的前缀长

完整示例 显示了 示例：配置特定于前缀的计数和监管特定于前缀的操作的最简单情况，其中单术语防火墙过滤器在一个地址上进行匹配，其前缀长度与前缀特定操作中指定的子网前缀长度相同。与示例不同，此方案描述的配置中，特定于前缀的操作定义的子网前缀长度长于防火墙过滤器匹配的源地址的前缀。在这种情况下，特定于前缀的操作将定义子网前缀值 25，而防火墙过滤器会匹配子网中的 /24 源地址。

传递到特定于前缀的操作索引到计数器和监管器集中的过滤器匹配数据包，以便计数和监管实例由子网中包含 10.10.10.0/24 两个源地址之一的数据包共享：

• 集合中的第一个计数器和监管器按具有源地址 10.10.10.0 和 的 10.10.10.128数据包编制索引。

• 集合中的第二个计数器和监管器由具有源地址 10.10.10.1 和 10.10.10.129的数据包编制索引。

• 集合中的第 128 个（最后一个）计数器和监管器按具有源地址 10.10.10.127 和 10.10.10.255的数据包编制索引。

以下配置显示了用于配置单速率双色监管器、引用监管器的前缀特定操作以及引用前缀特定操作的 IPv4 标准无状态防火墙过滤器的语句：

场景 3：子网第 128 个计数器和监管器前缀短于防火墙过滤器匹配条件中的前缀

完整示例 显示了 示例：配置特定于前缀的计数和监管特定于前缀的操作的最简单情况，其中单术语防火墙过滤器在一个地址上进行匹配，其前缀长度与前缀特定操作中指定的子网前缀长度相同。与示例不同，此方案描述的配置中，特定于前缀的操作定义的子网前缀长度短于防火墙过滤器匹配的源地址的前缀。在这种情况下，过滤器术语在源地址10.10.10.0的子网上/25匹配。

传递到特定于前缀的操作索引的匹配数据包仅进入计数器和监管器集的下半部分：

• 集合中的第一个计数器和监管器按具有源地址 10.10.10.0的数据包编制索引。

• 集合中的第二个计数器和监管器按具有源地址 10.10.10.1 和 10.10.10.129的数据包编制索引。

• 集合中的第 128 个计数器和监管器按具有源地址 10.10.10.127的数据包进行索引。

• 集合的上半部分（编号为 128 到 255 的实例）不会由从此特定防火墙过滤器传递到特定于前缀的操作的数据包编制索引。

以下配置显示了用于配置单速率双色监管器、引用监管器的前缀特定操作以及引用前缀特定操作的 IPv4 标准无状态防火墙过滤器的语句：