路由引擎保护（EX 和 QFX 系列交换机）

路由引擎保护功能可确保路由引擎仅接受来自可信系统的流量。启用此功能将创建无状态防火墙过滤器，丢弃发往路由引擎的所有流量，但来自指定可信来源的流量除外。保护路由引擎涉及过滤路由器 lo0 接口上的传入流量。建议在瞻博网络交换机上启用此功能作为最佳实践。

配置路由引擎的保护

启用路由引擎保护后，Mist 默认确保允许以下服务（如果已配置）与交换机通信：BGP、BFD、NTP、DNS、SNMP、TACACS、RADIUS 和 Mist 云连接。

如果要额外配置 ICMP 或 SSH 以从接入交换机，可以在“受信任的服务”下启用它们。请注意，启用 ICMP 和 SSH 会向所有网络开放这些协议。

如果要配置要从中访问交换机的常用 IP 网络，可以在“可信网络”下进行配置。如果要从整个网络访问交换机，请使用此选项。

Configuration interface for Protection of Routing Engine settings. Override Site/Template Settings checkbox selected. Protect Routing Engine enabled. Trusted Networks field contains 192.168.1.1. Trusted Services icmp and ssh not selected. Trusted IPProtocolPort section empty.

如果您有其他自定义服务（即 IP、端口和协议的特定组合）要接入交换机，可以在“可信 IP/端口/协议”下进行配置。此选项允许您使用特定的端口和协议来访问交换机。

Add Trusted IP/Protocol/Port dialog box for configuring network settings; fields for IP addresses, protocol selection, port range, and Add or Cancel buttons.

您可以在组织级别（“组织>交换机模板”）、站点级别（“站点>交换机配置”）和交换机级别（交换机>交换机名称）配置路由引擎保护。

以下过程列出了在交换机级别配置路由引擎保护的步骤。

要在交换机级别配置路由引擎保护：

单击交换机 > switch name 以导航至交换机详细信息页面。
向下滚动到 Management 部分中的 PROTECTION OF ROUTING ENGINE 磁贴。
选中 “覆盖站点/模板设置 ”复选框。
选中 “已启用” 复选框。

启用路由引擎保护后，Mist 会自动解析配置并允许终端主机（BGP 邻居、DNS/NTP/TACACS/RADIUS 服务器、SNMP 客户端等）与交换机通信。如果要添加希望交换机与之通信的其他 IP 或 IP 子网，请在下一步中提到的“可信网络”部分中添加这些网络。
要添加希望交换机与之通信的其他 IP 或 IP 子网，请在 “可信网络” 字段中以逗号分隔的格式输入 IP 地址。
如果希望交换机响应 SSH 和 ICMP 服务，请选中 SSH 和 ICMP 复选框。
如果您希望交换机响应自定义服务（IP、端口和协议的特定组合），请按照以下步骤操作：
1. 单击添加 IP/协议/端口。
  此时将显示“添加可信 IP/协议/端口”窗口。
2. 在“添加可信 IP/协议/端口”窗口中，指定 IP 地址、协议和适用的端口范围。
3. 单击添加。
保存配置。

配置命令（CLI）

保护路由引擎（可信网络配置）

配置命令（CLI）

API

使用命令 show bgp summary 获取 BGP 连接状态的摘要：

要测试可信网络功能，请从交换机 ping 100.100.100.2，如下所示。您可以看到，所有传输的数据包都已接收到，没有任何数据包丢失。

此外，还可以对受信任网络以外的网络使用 ping 或 ssh 连接。如下所示，ping 显示 100% 丢包。

保护路由引擎（可信服务配置）

配置命令（CLI）

API

要测试可信服务配置，请登录到不在可信网络中的设备。

要检查丢弃的数据包，请在设备上运行以下附加 CLI 命令：

另请阅读：示例：配置无状态防火墙过滤器以接受来自可信来源的流量和示例：配置无状态防火墙过滤器以防止 TCP 和 ICMP 泛洪。