Juniper SRX650, проблема с policer + NAT, подскажите

[Graaf]

Появилась задача сделать на SRX650 NAT и ограничение скорости для пользователей. Вроде всё сделал как надо, но никак не могу заставить нормально работать полисер, ограничивает только исходящую для пользователя скорость, входящую - не хочет.

Стоит junos 10.0R3.10

Конфиг:

...
interfaces {
   ge-0/0/0 {
       unit 0 {
           family inet {
               address X.X.X.X/X;
           }
       }
   }
   ge-0/0/1 {
       unit 0 {
           family inet {
               filter {
                   input-list [ ipoe-internet-upload accept ];
                   output-list [ ipoe-internet-download accept ];
               }
               address 192.168.0.2/30;
           }
       }
   }
   ge-0/0/2 {
       unit 0;
   }
   ge-0/0/3 {
       unit 0;
   }
}
...
security {
   nat {
       source {
           rule-set default-permit {
               from zone trust;
               to zone untrust;
               rule source-nat-rule {
                   match {
                       source-address 0.0.0.0/0;
                   }
                   then {
                       source-nat {
                           interface;
                       }
                   }
               }
           }
       }
   }
   zones {
       security-zone untrust {
           host-inbound-traffic {
               system-services {
                   all;
               }
               protocols {
                   all;
               }
           }
           interfaces {
               ge-0/0/0.0;
           }
       }
       security-zone trust {
           host-inbound-traffic {
               system-services {
                   all;
               }
               protocols {
                   all;
               }
           }
           interfaces {
               ge-0/0/1.0;
               ge-0/0/2.0;
               ge-0/0/3.0;
           }
       }
   }
}

firewall {
   family inet {
       filter accept {
           term accept {
               then accept;
           }
       }
       filter ipoe-internet-upload {
           term 100 {
               from {
                   source-address {
                       10.0.110.2/32;
                   }
               }
               then policer 1;
           }
       ...
       ...
       }
       filter ipoe-internet-download {
           term 100 {
               from {
                   destination-address {
                       10.0.110.2/32;
                   }
               }
               then {
                   policer 1;
                   accept;
               }
           }
       ...
       ...
       }
   }
   policer 1 {
       if-exceeding {
           bandwidth-limit 512k;
           burst-size-limit 96k;
       }
       then discard;
   }
   ...
   ...
}

Пользователи со стороны интерфейса ge-0/0/1, интернет со стороны ge-0/0/0.

 

Перепробовал всевозможные варианты, фильтр ipoe-internet-download не хочет работать. Результат появляется при задании destination-address { 0.0.0.0/0; }, но это подходит только для эксперимента, нужно каждому задавать своё ограничение.

 

Может у кого-то возникала подобная проблема? Или может есть какие-то нюансы.

[Graaf]

Проблема решилась обновлением junos до 10.4R3.4-domestic

[triam]

Рекомендованная JUNOS 10.4R6.5 =)

[t92]

Проблема решилась обновлением junos до 10.4R3.4-domestic

 

offtop.

Обновление нормально прошло ?

А то у меня тоже JUNOS 10.0R3.10 и при апгрейде на свежую железяку были какие то косяки, после чего забил :)

[Graaf]

Рекомендованная JUNOS 10.4R6.5 =)

Поставил что было, с официальной поддержкой всё сложно.

 

Обновление нормально прошло ?

С удалённого хоста не хотел обновляться, пришлось стянуть обновление прямо на железку и обновлять из локального файла. В остальном всё нормально.

[t92]

спасибо.

 

если нужно могу поделиться 10.4R6.5

Edited October 5, 2011 by t92

[Graaf]

Поделитесь, пожалуйста. Отправил в ЛС адрес FTP-сервера.