Juniper SRX (Junos OS) 使用 基於過濾器之轉送 (FBF) 來控制路由下一躍點(Next-Hop)的選擇

-
Juniper SRX (Junos OS) 使用 基於過濾器之轉送 (FBF) 來控制路由下一躍點(Next-Hop)的選擇

基於過濾器之轉送 (FBF - Filter-Based Forwarding)
FBF在作用與功能上類似於SSG5 ScreenOS的策略路由PBR (Policy-Based Routing) ，當一般的路由表設定(基於目的地的路由)無法滿足我們的路由需求時，我們就會用到FBF。
基於過濾器之轉送(filter-based forwarding)讓您能夠使用過濾器來配置數據包篩檢程式, 根據標頭資訊對數據包進行分類, 如 ip 源位址、ip 目標位址、ip 協定欄位以及源和目標 TCP/UDP 埠號等。過濾器據此來控制流量下一躍點(next-hop)的選擇。如果數據包滿足過濾器的匹配條件, 則使用過濾器動作陳述式中指定的路由實例(routing-instance)來轉發數據包。
FBR一個比較典型的運用就是雙線（dual-WAN）做分流的運用。先分別建立兩個將數據包路由到兩條WAN的路由實例，然後再使用防火牆過濾器(firewall filters)來對數據包進行分類，最後則使用過濾器動作陳述式中指定的路由實例(routing-instance)來轉發數據包。

數據包分類
過濾器可以檢查數據包的標頭欄位來對數據包進行分類。這些欄位包括以下內容:
l         來源 和/或 目的 IP 位址。
l         協定號碼 (Protocol number)。
l         來源 和/或 目的 埠號 (port numbers)。
l         IP 優先順序值 (IP precedence value)。
l         DSCP值(DSCP value) 。
l         IP選項 (IP options)。
l         TCP旗標 (TCP flags)。
l         數據包長度 (Packet length)。
l         ICMP種類 (ICMP type)。
l         傳入 和/或 傳出 的邏輯或物理介面。

過濾器操作(Filter Actions)
如果數據包滿足過濾器準則, 則可以指定稱為 <routing-instance> 的過濾器操作。此過濾器操作允許您指定用於轉發與過濾器條件匹配的通信的路由表實例。一旦確定了路由表, 就會發生傳統的基於目的地的路由(destination-based routing)。除了路由實例操作之外, 還可以在過濾器中指定以下操作:
l         警報 (Alert)。
l         計數 (Count)。
l         系統日誌 (Log)。
l         輸出佇列 (Output-queue)。
l         數據包丟失優先級 (PLP)。
l         管制 (Police)。
l         示範 (Sample)。



圖1顯示了一個數據包流示範，其中輸入數據包過濾器用於對數據包進行分類，每個數據包都將根據數據包分類過程的結果，使用不同的路由表轉發到不同的下一躍點(next-hop)。




在此示範中，傳入的數據包到達介面 In_if_1。數據包轉發引擎 (PFE) 使用輸入數據包過濾器檢查每個數據包。如果數據包與過濾器的術語1匹配，則基於過濾器之轉送會使用 RTT_A。如果數據包與過濾器的術語2匹配，則基於過濾器之轉送會使用 RTT_B。如果數據包與過濾器的術語3匹配，則基於過濾器之轉送使用 RTT_C. RTT

示範
本節提供示範語法，說明如何在瞻博網路路由器上配置基於過濾器之轉送。第一個配置片段定義了一個數據包過濾器，它根據數據包的源位址將客戶通信定向到 sp 1 或 sp 2 中的下一躍點(next-hop)路由器。

圖2顯示了此示範的網路拓撲。






如果數據包有分配給 SP 1客戶的源位址，則基於過濾器之轉送使用 sp1-route-table。如果數據包有分配給 SP 2 客戶的源位址，則基於過濾器之轉送使用 sp2-route-table。如果一個數據包與上述任一條件都不匹配，則過濾器接受該數據包，然後使用標準的 inet.0 路由表來發生基於過濾器之轉送。

下面的配置定義了過濾器classify-customers所引用的路由實例
PS：在路由實例之中每增加一個實例(instance)，就會在路由表中一併增加一份相對應的路由表(與路由主表不同的副表)。
routing-instances {
    sp1-route-table {
        instance-type forwarding;
        routing-options {
            static {
                route 0.0.0.0/0 next-hop 10.0.0.1;    /* sp1預設路由 */
            }
        }
    }
    sp2-route-table {
        instance-type forwarding;
        routing-options {
            static {
                route 0.0.0.0/0 next-hop 10.0.0.2;    /* sp2預設路由 */
            }
        }
    }
}

請在CLI配置模式下輸入下列命令：
set routing-instances sp1-route-table instance-type forwarding
set routing-instances sp1-route-table routing-options static route 0.0.0.0/0 next-hop 10.0.0.1
set routing-instances sp2-route-table instance-type forwarding
set routing-instances sp2-route-table routing-options static route 0.0.0.0/0 next-hop 10.0.0.2


下列設定乃是將路由實例中的路由資訊與inet介面路由連結並將其匯入路由表之中。
routing-options {
    interface-routes {
        rib-group inet fbf-group;
    }
    static {
        route 0.0.0.0/0 next-hop [ 10.0.0.1 10.0.0.2 ];    /* 預設路由，在此非必要可省略 */
    }
    rib-groups {
        fbf-group {
            import-rib [ inet.0 sp1-route-table.inet.0 sp2-route-table.inet.0 ];
        }
    }
}

請在CLI配置模式下輸入下列命令：
set routing-options interface-routes rib-group inet fbf-group
set routing-options static route 0.0.0.0/0 next-hop 10.0.0.1
set routing-options static route 0.0.0.0/0 next-hop 10.0.0.2
set routing-options rib-groups fbf-group import-rib inet.0
set routing-options rib-groups fbf-group import-rib sp1-route-table.inet.0
set routing-options rib-groups fbf-group import-rib sp2-route-table.inet.0


下列為firewall filter 的設定，作用乃是根據不同的篩選條件去選擇相對應的routing-instances路由表。
firewall {
    filter classify-customers {
        term sp1-customers {
            from {
                source-address {    /* 要轉送到SP 1 的網段，SP 1 的前綴列表 */
                    10.1.1.0/24;
                    10.1.2.0/24;
                }
            }
            then {
                routing-instance sp1-route-table;   /* 符合匹配條件的流量使用 sp1-route-table.inet.0 路由表 */
            }
        }
        term sp2-customers {
            from {
                source-address {    /* 要轉送到SP 2 的網段，SP 2 的前綴列表 */
                    10.2.1.0/24;
                    10.2.2.0/24;
                }
            }
            then {
                routing-instance sp2-route-table;   /* 符合匹配條件的流量使用 sp2-route-table.inet.0 路由表 */
            }
        }
        term default {      /* 預設路由，放行所有的流量，若不放行則只有符合上述匹配條件的流量能通過套用過濾器的介面 */
            then {
                accept;      /* 在此放行的流量皆使用inet.0路由表 */
            }
        }
    }
}

請在CLI配置模式下輸入下列命令：
set firewall filter classify-customers term sp1-customers from source-address 10.1.1.0/24
set firewall filter classify-customers term sp1-customers from source-address 10.1.2.0/24
set firewall filter classify-customers term sp1-customers then routing-instance sp1-route-table
set firewall filter classify-customers term sp2-customers from source-address 10.2.1.0/24
set firewall filter classify-customers term sp2-customers from source-address 10.2.2.0/24
set firewall filter classify-customers term sp2-customers then routing-instance sp2-route-table
set firewall filter classify-customers term default then accept


下面的設定乃是在客戶端ge-0/0/5介面上啟用防火牆過濾器classify-customers。
interfaces {
    ge-0/0/5 {
        unit 0 {
            family inet {
                filter {
                    input classify-customers;
                }
            }
        }
    }
}

請在CLI配置模式下輸入下列命令：
set interfaces ge-0/0/5 unit 0 family inet filter input classify-customers



FBF配置完成，下面我們來進行測試，從10.1.1.0/24 和10.2.1.0/24網段來 ping 10.0.0.1或ping 10.0.0.2，然後執行下列的指令來查看結果：
root@srx220> run show security flow session 
要查看路由表，請在CLI配置模式下輸入下列命令：
root@srx220> show route




這個網誌中的熱門文章

如何測試網路連線--網路斷線了怎麼辦?

-
圖片
如何測試網路連線--網路斷線了怎麼辦? 如何測試網路連線 -- 網路不通了 DIY 自行檢測網路連線 當我們打開電腦，卻發現無法上網了，這時候我們該怎麼辦呢 ? 如果在公司的話，我們可以請電腦人員來處理，而若是在家裡，我們就必須 DIY 先自行檢查一遍，如果檢查後仍然不能上網的話，我們也只能請朋友或是廠商來維修了。 而我們又要如何 DIY 先自行檢查呢 ? 請您依照下列步驟來進行： 第一步：進入 DOS 命令列模式。 按 " 視窗鍵 +R 鍵 " ，開啟執行視窗並輸入 " cmd " 後按 enter 鍵來進入 DOS 命令列模式。 第二步：檢查 ip 是否正常。 請輸入 " ipconfig " 來 檢查有無取得正常 IP 或是 IP 設定是否正確。 若電腦要上網，則每台電腦 一 定都要配有一個 IP 位址才行，本例的 IP 位址為 192.168.1.11 。 而 IP 位址分成 公共 IP 與 私有 IP 兩種， 只有公共 IP 才能上網 ( 網際網路 ) ，私有 IP 是無法直接上網的，私有 IP 只能在區域網路中使用 。而因為公共 IP 太少，所以要搭配私有 IP 來上網才行，這樣就可以達到以 100 台電腦，或是以 10000 台電腦，使用私有 IP 經過網路設備的轉換而達成只需使用 1 個公共 IP 就能讓大家一起上網的目的了。 私有 IP 無法直接連接網際網路，需要使用 網絡地址轉換（ Network Address Translator ， NAT ） 或者 代理伺服器   （ proxy server ） 來實現。與公網 IP 相比，私有 IP 是免費的，同時節省了 IP 位址資源，適合在區域網使用。私有 IP 常被用於家庭，學校和企業的區域網。 私有 IP 的範圍： 192.168.XX. XX 172.16. XX.XX – - 172.31. XX.XX 10. XX.XX.XX 我們只要看到 IP 位址開頭為上述範圍的 IP ，就表示您的 IP 為私有 IP 。 還有一種 ip 位址為 169.254. X.X ， 這種
閱讀完整內容

筆記電腦刷BIOS失敗無法開機—用CH341A編程器重刷BIOS教學！

-
圖片
ASUS 筆記電腦更新 BIOS 失敗無法開機 —用 CH341A 編程 器重刷 BIOS 教學！ 前一陣子買了一台新的筆記電腦 (∩_∩) ，因此讓跟了我多年的 ASUS A42JA 筆電因此就被束之高閣沒有再被使用了 ヽ (´ ー ` )┌ ，後來想說反正放著不用也是浪費，乾脆就整理一下拿到拍賣網站給便宜賣掉算了 (¬ ‿ ¬) ，於是便動手開始移除個人的資料， 把 WINDOWS 7 系統還原到出廠狀態，順便一起更新 BIOS 的版本 ，而更新的過程很順利，在寫入 100% 後便自行重開機，重開機後小弟發現電源燈與硬碟燈皆恆亮，且螢幕沒有畫面，但小弟當然得等著它繼續開機更新 BIOS ，可是 2 分鐘 .. ， 5 分鐘過了 .. ，情況還是一樣，此時心中不禁起了疑惑   (• ิ _• ิ )? ，不會吧 ！ 會不會更新失敗了 ？ 難道這麼倒楣的事都讓小弟我給碰上了 ？ 一直等到十分鐘過後，小弟我終於失去耐性了，便下定決心長按電源鍵來讓筆記電腦強行關機   ( ╯‵ □′) ╯ ︵ ╧═╧ ，然後再開機，結果依然還是沒有畫面，電源燈與硬碟燈都恆亮的情況，小弟仍不死心的又重試了幾次，問題最後終於明朗化了，他媽的 BIOS 真的更新失敗了，對小弟來說一直是傳說中的問題竟被我給遇上了 ！！！   。゜゜ (´ Ｏ `) ゜゜。 因為這台 ASUS A42JA 筆電已購置多年，早就過保固了，因此小弟先上網 GOOGLE 下，發現這類問題 ASUS 原廠通常是換主機板（這是在論壇上討論的內容），且一片要價 $5000 元   ( ⊙ _ ⊙ ) ，所以送回原廠維修的方案小弟就不考慮了（超出了筆電的價值沒有維修的必要），小弟接著再努力的 GOOGLE 幾下，終於發現 BIOS 更新失敗後似乎可以自行使用燒錄器來重刷 BIOS  (¬_¬;) ，於是這便成為小弟唯一可行的解決方案了。 從網路上找到的刷 BIOS 案例中，發現大多是使用 ”CH341A 編程器 （ 燒錄器 ） ” 來進行燒錄作業，其基本作法是用烙鐵將主機板上的 BIOS 晶片（ 芯片 ） 拆下，再用 CH341A 燒錄器將原廠下載的 BIOS 檔案燒入芯片中，最後再將 BIOS 芯片焊接回筆電主機板上。而因為小弟也是電子相關科系出身，也曾拿烙鐵來焊接電子零件，所以
閱讀完整內容

INTEL XTU使用教學以及對筆電應具備的XTU設定概念

-
圖片
INTEL XTU 使用教學以及對筆電應具備的 XTU 設定概念 這篇文章除了教您如何使用 Intel XTU 之外，還告訴您許多 XTU 設定上的觀念，以及如何使用 XTU 來優化您的筆電等，在文中還有新、舊版本的 Intel XTU 開機自啟動相關的設定方法提供給大家來參考看看。 本篇文章主要是從初學者的角度出發來撰寫的，所以內容較為初淺，且繁雜，尚請各位大大多多體諒 ! 內容多為網路上蒐集而來，由小弟加以整理並加入個人的看法，若有校稿不力或是觀念錯誤的地方，尚請各位大大不吝指正，小弟必盡速更正 ! 在此先萬分感謝各位大大的愛護與支持，感謝您 !   內文開始   Intel 原廠網站是這樣說明的： Intel® 極致調整公用程式（ Intel ® Extreme Tuning Utility - Intel® XTU ）是一種簡易的 Windows 效能調整應用程式，可讓新手和經驗豐富的愛好者超頻、監控和壓力系統。軟體介面有一系列強大的功能，在大部分玩家平臺中都很常見。這種介面在新的 Intel® 處理器和主機板上也有特殊功能。 ＰＳ：上面這段話的意思是 －－ Intel XTU 是 Intel 所推出的 一種簡易的 Windows 效能調整應用程式，透過對 CPU 電壓與功耗限制等的調整，可讓新手和經驗豐富的愛好者來對 Intel CPU 進行 超頻 、 監控 和 做壓力測試 。以小弟的電腦來說， CPU 經過 XTU 適當的調教之後，可以憑空增加約 30% 左右的效能，這可是得多花好幾千塊錢買更好的電腦才辦的到的事哦 ! 適用於下列產品。     Intel® Core™ i3-7350K 處理器 ( 4M 快取記憶體， 4.20 GHz)     Intel® Core™ i3-8350K 處理器（ 8M 快取記憶體， 4.00 GHz ）     Intel® Core™ i3-9350K 處理器（ 8M 快取記憶體，最高 4.60 GHz ）     Intel® Core™ i3-9350KF 處理器（ 8M 快取記憶體，最高 4.60 GHz ）     Intel® Core™ i5-3570K 處理器 ( 6M 快取記憶體，最高 3.80 GHz)     I
閱讀完整內容