示例：为物理接口上的聚合流量配置物理接口监管器
此示例说明了如何将单速率双色监管器配置为物理接口监管器。
要求
配置此示例之前，不需要除设备初始化之外的特殊配置。
概述
物理接口监管器用于指定聚合流量的速率限制，其中包括物理接口上配置的所有协议家族和逻辑接口，即使这些接口属于不同的路由实例也是如此。
只有通过从无状态防火墙过滤器中引用监管器，才能将物理接口监管器应用于第 3 层 输入或输出流量，该过滤器是针对特定协议家族（不用于 family any）配置的，并配置为物理 接口过滤器。您可以使用匹配条件来配置过滤器条款，以选择要速率限制的数据包类型，并将物理接口监管器指定为要应用于匹配数据包的操作。
列表过滤器不支持物理接口监管器/过滤器。
拓扑结构
此例 shared-policer-A中的物理接口监管器速率限制为 10,000,000 bps，并允许最大突发流量 500,000 字节。您可以将监管器配置为丢弃不合规流中的数据包，但也可以将监管器配置为使用转发类和/或数据包丢失优先级 （PLP） 级别重新标记不合规流量。
为了能够使用监管器对 IPv4 流量进行速率限制，请从 IPv4 物理接口过滤器引用监管器。在此示例中，您可将过滤器配置为传递满足以下任一匹配项的监管器 IPv4 数据包：
-
通过 TCP 接收的数据包，IP 优先级字段
critical-ecp为 （0xa0）、immediate（0x40） 或priority（0x20） -
通过 TCP 接收的数据包，IP 优先级字段
internet-control为 （0xc0） 或routine（0x00）
您还可以从其他协议家族的物理接口过滤器中引用监管器。
配置
下面的示例要求您在各个配置层级中进行导航。有关导航 CLI 的信息，请参阅在 配置模式下使用 CLI 编辑器。
要配置此示例，请执行以下操作：
CLI 快速配置
要快速配置此示例，请将以下配置命令复制到文本文件中，删除所有换行符，然后将命令粘贴到层次结构级别的 [edit] CLI 中。
set interfaces so-1/0/0 unit 0 family inet address 192.168.1.1/24 set interfaces so-1/0/0 unit 0 family vpls set interfaces so-1/0/0 unit 1 family mpls set firewall policer shared-policer-A physical-interface-policer set firewall policer shared-policer-A if-exceeding bandwidth-limit 100m burst-size-limit 500k set firewall policer shared-policer-A then discard set firewall family inet filter ipv4-filter physical-interface-filter set firewall family inet filter ipv4-filter term tcp-police-1 from precedence [ critical-ecp immediate priority ] set firewall family inet filter ipv4-filter term tcp-police-1 from protocol tcp set firewall family inet filter ipv4-filter term tcp-police-1 then policer shared-policer-A set firewall family inet filter ipv4-filter term tcp-police-2 from precedence [ internet-control routine ] set firewall family inet filter ipv4-filter term tcp-police-2 from protocol tcp set firewall family inet filter ipv4-filter term tcp-police-2 then policer shared-policer-A set interfaces so-1/0/0 unit 0 family inet filter input ipv4-filter
在物理接口上配置逻辑接口
分步程序
要在物理接口上配置逻辑接口，请执行以下操作：
启用逻辑接口的配置。
[edit] user@host# edit interfaces so-1/0/0
在逻辑单元 0 上配置协议族。
[edit interfaces so-1/0/0] user@host# set unit 0 family inet address 192.168.1.1/24 user@host# set unit 0 family vpls
在逻辑单元 1 上配置协议族。
[edit interfaces so-1/0/0] user@host# set unit 1 family mpls
结果
输入配置模式命令， show interfaces 确认防火墙过滤器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
[edit]
user@host# show interfaces
so-1/0/0 {
unit 0 {
family inet {
address 192.168.1.1/24;
}
family vpls;
}
unit 1 {
family mpls;
}
}
配置物理接口监管器
分步程序
要配置物理接口监管器，请执行以下操作：
启用双色监管器的配置。
[edit] user@host# edit firewall policer shared-policer-A
配置双色监管器的类型。
[edit firewall policer shared-policer-A] user@host# set physical-interface-policer
配置流量限制和不合格流量流中数据包的操作。
[edit firewall policer shared-policer-A] user@host# set if-exceeding bandwidth-limit 100m burst-size-limit 500k user@host# set then discard
对于物理接口过滤器，您可以为不合格流量流中的数据包配置的操作包括丢弃数据包、分配转发类、分配 PLP 值，或者同时分配转发类和 PLP 值。
结果
输入配置模式命令，确认 show firewall 监管器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
[edit]
user@host# show firewall
policer shared-policer-A {
physical-interface-policer;
if-exceeding {
bandwidth-limit 100m;
burst-size-limit 500k;
}
then discard;
}
配置 IPv4 物理接口过滤器
分步程序
要将物理接口监管器配置为 IPv4 物理接口监管器中术语的操作：
在特定协议家族下配置标准无状态防火墙过滤器。
[edit] user@host# edit firewall family inet filter ipv4-filter
您无法为
family any配置物理接口防火墙过滤器。将过滤器配置为物理接口过滤器，以便可以将物理接口监管器应用为操作。
[edit firewall family inet filter ipv4-filter] user@host# set physical-interface-filter
将第一个术语配置为将通过 TCP 接收的 IPv4 数据包与 IP 优先级字段
critical-ecp、immediate或priority进行匹配，以将物理接口监管器应用为过滤操作。[edit firewall family inet filter ipv4-filter] user@host# set term tcp-police-1 from precedence [ critical-ecp immediate priority ] user@host# set term tcp-police-1 from protocol tcp user@host# set term tcp-police-1 then policer shared-policer-A
配置第一个术语，以便将通过 TCP 接收的 IPv4 数据包与 IP 优先级字段
internet-control进行匹配，或者routine和 将物理接口监管器应用为过滤操作。[edit firewall family inet filter ipv4-filter] user@host# set term tcp-police-2 from precedence [ internet-control routine ] user@host# set term tcp-police-2 from protocol tcp user@host# set term tcp-police-2 then policer shared-policer-A
结果
输入配置模式命令， show firewall 确认防火墙过滤器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
[edit]
user@host# show firewall
family inet {
filter ipv4-filter {
physical-interface-filter;
term tcp-police-1 {
from {
precedence [ critical-ecp immediate priority ];
protocol tcp;
}
then policer shared-policer-A;
}
term tcp-police-2 {
from {
precedence [ internet-control routine ];
protocol tcp;
}
then policer shared-policer-A;
}
}
}
policer shared-policer-A {
physical-interface-policer;
if-exceeding {
bandwidth-limit 100m;
burst-size-limit 500k;
}
then discard;
}
应用 IPv4 物理接口过滤器以引用物理接口监管器
分步程序
要应用物理接口过滤器，使其引用物理接口监管器，请执行以下操作：
在逻辑接口上启用 IPv4 配置。
[edit] user@host# edit interfaces so-1/0/0 unit 0 family inet
在输入方向上应用 IPv4 物理接口过滤器。
[edit interfaces so-1/0/0 unit 0 family inet] user@host# set filter input ipv4-filter
结果
输入配置模式命令， show interfaces 确认防火墙过滤器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
[edit]
user@host# show interfaces
so-1/0/0 {
unit 0 {
family inet {
filter {
input ipv4-filter;
}
address 192.168.1.1/24;
}
family vpls;
}
unit 1 {
family mpls;
}
}
如果完成设备配置，请从配置模式进入。commit
验证
确认配置工作正常。
显示应用于接口的防火墙过滤器
目的
验证防火墙过滤器 ipv4-filter 是否已应用于逻辑接口 so-1/0/0.0上的 IPv4 输入流量。
行动
对 show interfaces statistics 逻辑接口 so-1/0/0.0使用操作模式命令，并包括该 detail 选项。在命令输出的部分中 Protocol inet ，该 Input Filters 字段显示在输入方向上应用了防火墙过滤器 ipv4-filter 。
user@host> show interfaces statistics so-1/0/0 detail
Logical interface so-1/0/0.0 (Index 79) (SNMP ifIndex 510) (Generation 149)
Flags: Hardware-Down Point-To-Point SNMP-Traps 0x4000 Encapsulation: PPP
Protocol inet, MTU: 4470, Generation: 173, Route table: 0
Flags: Sendbcast-pkt-to-re, Protocol-Down
Input Filters: ipv4-filter
Addresses, Flags: Dest-route-down Is-Preferred Is-Primary
Destination: 10.39/16, Local: 10.39.1.1, Broadcast: 10.39.255.255, Generation: 163
显示监管器在逻辑接口上处理的数据包数
目的
验证通过逻辑接口的流量，以及当逻辑接口上收到数据包时是否评估监管器。
行动
对 show firewall 应用于逻辑接口的过滤器使用操作模式命令。
user@host> show firewall filter ipv4-filter Filter: ipv4-filter Policers: Name Packets shared-policer-A-tcp-police-1 32863 shared-policer-A-tcp-police-2 3870
命令输出显示监管器 （）shared-policer-A 的名称、指定监管器操作的过滤器术语 （police-1） 的名称以及与过滤器术语匹配的数据包数。这只是不符合规范（不符合规格）数据包计数的数量，而不是监管器监管的所有数据包。