Condições de correspondência do filtro de firewall para tráfego de ponte de camada 2

Endereço de controle de acesso de mídia de destino (MAC) de um pacote de Camada 2 em um ambiente de ponte.

Campo de porta de destino TCP ou UDP. Você não pode especificar as port condições e destination-port as condições compatíveis no mesmo termo.

Não corresponda à porta de destino TCP/UDP.

Combine com os prefixos de destino IP em um named-list.

Ponto de código de serviços diferenciados (DSCP). O protocolo DiffServ usa o byte de tipo de serviço (ToS) no cabeçalho IP. Os 6 bits mais significativos desse byte formam o DSCP. Para obter mais informações, veja Entenda como os classificadores agregados de comportamento priorizam o tráfego confiável.

Você pode especificar um valor numérico de 0 até 63. Para especificar o valor na forma hexadadecimal, inclua 0x como prefixo. Para especificar o valor em forma binária, inclua b como prefixo.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados):

• RFC 3246, um PHB de encaminhamento acelerado (Comportamento por salto), define um ponto de código: ef(46).

• RFC 2597, Grupo PHB de encaminhamento garantido, define 4 classes, com 3 precedências de queda em cada classe, para um total de 12 pontos de código:

af11(10), af12 (12), af13 (14),

af21(18), af22 (20), af23 (22),

af31(26), af32 (28), af33 (30),

af41(34), af42 (36), af43 (38)

Não corresponda ao número de DSCP. Para obter mais informações, veja a condição da dscp-except partida.

Combine o campo IEEE 802.3 de comprimento/etherPono de 2 octets com o valor ou lista de valores especificados.

Você pode especificar valores decimais ou hexadecimal de 0 a 65535 (0xFFFF). Um valor de 0 a 1500 (0x05DC) especifica o comprimento de um quadro Ethernet Versão 1. Um valor de 1536 (0x0600) a 65535 especifica o EtherType (natureza do protocolo cliente MAC) de um quadro Ethernet Versão 2.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores hexadecimal também estão listados): aarp(0x80F3), appletalk (0x809B), arp (0x0806), ipv4 (0x0800), ipv6 (0x86DD), mpls-multicast (0x8848), mpls-unicast (0x8847), oam (0x8902), ppp (0x880B), pppoe-discovery (0x8863) pppoe-session (0x8864) sna (0x80D5).

Não combine o campo IEEE 802.3 de comprimento/EtherOtipado de 2 octets com o valor ou lista de valores especificados.

Para obter mais informações sobre a especificação, valuesveja a condição da ether-type partida.

Comprimento dos dados a serem combinados em bits, não necessário para entrada de string (0.128)

Compensação de bits após a compensação (match-start + byte) (0,7)

Byte offset após o ponto de partida da partida

Selecione uma combinação flexível no campo de modelo predefinido

Mascarar bits nos dados do pacote a serem combinados

Ponto de partida para combinar em pacote

Valorize dados/string a serem combinados

Comprimento dos dados a serem combinados em bits (0,32)

Compensação de bits após a compensação (match-start + byte) (0,7)

Byte offset após o ponto de partida da partida

Selecione uma combinação flexível no campo de modelo predefinido

Ponto de partida para combinar em pacote

Gama de valores a serem combinados

Não corresponda a essa gama de valores

Aula de encaminhamento. Especifiqueassured-forwarding, best-effortexpedited-forwardingou network-control.

Campo do tipo ethernet de um ambiente de pacotes de Camada 2. Especifiqueassured-forwarding, best-effortexpedited-forwardingou network-control.

Combine com o campo de código de mensagem do ICMP.

Se você configurar esta condição de correspondência, recomendamos que você também configure a ip-protocol icmpcondição ou ip-protocol icmp6ip-protocol icmpv6 a condição de correspondência no mesmo termo.

Se você configurar essa condição de correspondência, você também deve configurar a condição de icmp-type message-type correspondência no mesmo termo. Um código de mensagem ICMP fornece informações mais específicas do que um tipo de mensagem ICMP, mas o significado de um código de mensagem ICMP depende do tipo de mensagem ICMP associado.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados). As palavras-chave são agrupadas pelo tipo ICMP com as quais estão associadas:

• problema de parâmetros: ip6-header-bad(0), unrecognized-next-header (1), unrecognized-option (2)

• tempo excedido: ttl-eq-zero-during-reassembly(1), ttl-eq-zero-during-transit (0)

• destino inalcançável: address-unreachable(3), administratively-prohibited (1), no-route-to-destination (0), port-unreachable (4)

Não corresponda ao campo de código de mensagem do ICMP. Para obter mais informações, veja a condição da icmp-code partida.

Combine com o campo do tipo de mensagem do ICMP.

Se você configurar esta condição de correspondência, recomendamos que você também configure a ip-protocol icmpcondição ou ip-protocol icmp6ip-protocol icmpv6 a condição de correspondência no mesmo termo.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados): destination-unreachable(1), echo-reply (129), echo-request (128), membership-query (130), membership-report (131), membership-termination (132), neighbor-advertisement (136), neighbor-solicit (135), node-information-reply (140), node-information-request (139), (2), packet-too-big (4), redirectparameter-problem (137), router-advertisement (134), router-renumbering (138), router-solicit (133) ou time-exceeded (3).

Não combine com o campo do tipo de mensagem do ICMP. Para obter mais informações, veja a condição da icmp-type partida.

Interface na qual o pacote foi recebido. Você pode configurar uma condição de correspondência que corresponda aos pacotes com base na interface na qual eles foram recebidos.

Combine com a interface lógica na qual o pacote foi recebido ao grupo de interface ou conjunto de grupos de interface especificados. Para group-number, especifique um único valor ou uma variedade de valores de 0 até 255.

Para atribuir uma interface lógica a um grupo group-numberde interface, especifique o nível de group-number[interfaces interface-name unit number family family filter group] hierarquia.

Para obter mais informações, veja Filtragem de pacotes recebidos em um conjunto de grupos de interface visão geral.

Não corresponda à interface lógica na qual o pacote foi recebido ao grupo de interface especificado ou ao conjunto de grupos de interface. Para obter mais informações, veja a condição da interface-group partida.

Combine com a interface na qual o pacote foi recebido no conjunto de interface especificado.

Para definir um conjunto de interface, inclua a interface-set declaração no nível de [edit firewall] hierarquia. Para obter mais informações, veja Filtragem de pacotes recebidos em uma visão geral do conjunto de interface.

Endereço de 32 bits que oferece suporte à sintaxe padrão para endereços IPv4.

Endereço de 32 bits que é o endereço de nó de destino final para o pacote.

Campo de precedência de IP. No lugar do valor de campo numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados): critical-ecp(0xa0), flash (0x60), flash-override (0x80), immediate (0x40), internet-control (0xc0), net-control (0xe0), priority (0x20) ou routine (0x00).

Não corresponda no campo de precedência de IP.

Campo de protocolo IP.

Não corresponda ao tipo de protocolo IP.

Endereço IP do nó de origem que envia o pacote.

Endereço de 128 bits (apenas da Série MX) que oferece suporte à sintaxe padrão para endereços IPv6.

(somente na Série MX) endereço de 128 bits que é o endereço de nó de destino final para este pacote.

(somente na Série MX) Combine com os endereços de destino IPv6 em um named-list.

(somente na Série MX) Tipo de protocolo de cabeçalho próximo do IPv6.

A lista a seguir mostra os valores suportados para protocol:

• ah— cabeçalho de autenticação de segurança IP

• dstopts— opções de destino IPv6

• egp— Protocolo de gateway exterior

• esp— IPSec encapsulando a carga de segurança

• fragment— cabeçalho de fragmento IPv6

• gre— Encapsulamento de roteamento genérico

• hop-by-hop— opções de salto por salto IPv6

• icmp— Protocolo de mensagem de controle de Internet

• icmp6— Protocolo de mensagem de controle de Internet versão 6

• igmp— Protocolo de gerenciamento de grupos da Internet

• ipip— IP em IP

• ipv6— IPv6 em IP

• no-next-header— IPv6 sem cabeçalho próximo

• ospf— Abra o caminho mais curto primeiro

• pim— Protocol Independent Multicast

• routing— cabeçalho de roteamento IPv6

• rsvp— Protocolo de reserva de recursos

• sctp— Protocolo de transmissão de controle de fluxo

• tcp— Protocolo de controle de transmissão

• udp— Protocolo de datagram do usuário

• vrrp— Protocolo de redundância de roteador virtual

(somente na Série MX) Não corresponda ao próximo tipo de protocolo de cabeçalho IPv6.

ipv6-payload-protocol protocol

(somente na Série MX) Tipo de protocolo de carga de IPv6 compatível.

A lista a seguir mostra os valores suportados para protocol:

• ah— cabeçalho de autenticação de segurança IP

• dstopts— opções de destino IPv6

• egp— Protocolo de gateway exterior

• esp— IPSec encapsulando a carga de segurança

• fragment— cabeçalho de fragmento IPv6

• gre— Encapsulamento de roteamento genérico

• hop-by-hop— opções de salto por salto IPv6

• icmp— Protocolo de mensagem de controle de Internet

• icmp6— Protocolo de mensagem de controle de Internet versão 6

• igmp— Protocolo de gerenciamento de grupos da Internet

• ipip— IP em IP

• ipv6— IPv6 em IP

• no-next-header— IPv6 sem cabeçalho próximo

• ospf— Abra o caminho mais curto primeiro

• pim— Protocol Independent Multicast

• routing— cabeçalho de roteamento IPv6

• rsvp— Protocolo de reserva de recursos

• sctp— Protocolo de transmissão de controle de fluxo

• tcp— Protocolo de controle de transmissão

• udp— Protocolo de datagram do usuário

• vrrp— Protocolo de redundância de roteador virtual

(somente na Série MX) Não corresponda ao protocolo de carga IPv6.

(somente na Série MX) Combine o endereço IPv6 em um named-list.

(somente na Série MX) endereço de 128 bits que é o endereço de nó de origem originado para este pacote.

(somente na Série MX) Combine o endereço de origem IPv6 em um named-list.

(somente na Série MX) Ponto de código de serviços diferenciados (DSCP). O protocolo DiffServ usa o byte de tipo de serviço (ToS) no cabeçalho IP. Os 6 bits mais significativos desse byte formam o DSCP. Para obter mais informações, veja Entenda como os classificadores agregados de comportamento priorizam o tráfego confiável.

Você pode especificar um valor numérico de 0 até 63. Para especificar o valor na forma hexadadecimal, inclua 0x como prefixo. Para especificar o valor em forma binária, inclua b como prefixo.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados):

• RFC 3246, um PHB de encaminhamento acelerado (Comportamento por salto), define um ponto de código: ef(46).

• RFC 2597, Grupo PHB de encaminhamento garantido, define 4 classes, com 3 precedências de queda em cada classe, para um total de 12 pontos de código:

af11(10), af12 (12), af13 (14),

af21(18), af22 (20), af23 (22),

af31(26), af32 (28), af33 (30),

af41(34), af42 (36), af43 (38)

Não corresponda ao DSCP number.

(Com suporte para pontes de backbone do provedor [PBB]) Identificador de serviços de internet compatível.

(Com suporte ao PBB) Combine com o bit de elegibilidade para quedas de identificador de serviços de Internet (DEI).

(Com suporte ao PBB) Não corresponda ao identificador de serviços de Internet DEI bit.

(Com suporte ao PBB) Combine com o ponto de código de prioridade do identificador de serviços de Internet.

(Com suporte ao PBB) Não corresponda ao ponto de código de prioridade do identificador de serviços de Internet.

(Apenas roteadores da Série MX e switches da Série EX) Combine com os bits de prioridade de VLAN aprendidos do IEEE 802.1p na tag VLAN do provedor (a única tag em um quadro de tag única com tags VLAN de 802.1Q ou a tag externa em um quadro de tag dupla com tags VLAN 802.1Q). Especifique um único valor ou vários valores de 0 até 7.

Compare com a condição do user-vlan-1p-priority jogo.

(Apenas roteadores da Série MX e switches da Série EX) Não corresponda aos bits de prioridade VLAN aprendidos do IEEE 802.1p. Para obter mais informações, veja a condição da learn-vlan-1p-priority partida.

(Com suporte para pontes) Identificador de LAN virtual (VLAN) de usuário compatível.

(Com suporte para pontes) Não combine com o identificador VLAN do usuário, o DEI bit.

Identificador de VLAN usado para aprendizado MAC.

Não combine com o identificador VLAN usado para o aprendizado MAC.

Nível de prioridade de perda de pacotes (PLP). Especifique um único nível ou vários níveis: lowoumedium-lowmedium-highhigh...

Suporte para roteadores M120 e M320; Roteadores M7i e M10i com CFEB aprimorado (CFEB-E); e roteadores da Série MX e switches da Série EX.

Para tráfego IP em roteadores M320, Série MX e Série T com concentradores PIC flexíveis (FPCs) Aprimorados II e switches da Série EX, você deve incluir a tri-color declaração no [edit class-of-service] nível de hierarquia para confirmar uma configuração de PLP com qualquer um dos quatro níveis especificados. Se a tri-color declaração não estiver habilitada, você só poderá configurar os níveis e low os high níveis. Isso se aplica a todas as famílias de protocolo.

Para obter informações sobre a tri-color declaração, veja Configuração e aplicação de policiais tricolores de marcação. Para obter informações sobre o uso de classificadores agregados de comportamento (BA) para definir o nível PLP de pacotes de entrada, veja Entenda como as aulas de encaminhamento atribuem classes às filas de saída.

Não corresponda ao nível de prioridade de perda de pacotes. Especifique um único nível ou vários níveis: lowoumedium-lowmedium-highhigh...

Para obter informações sobre o uso de classificadores agregados de comportamento (BA) para definir o nível PLP de pacotes de entrada, veja como os classificadores agregados de comportamento priorizam o tráfego confiável.

Porta de origem ou destino de TCP ou UDP. Você não pode especificar tanto a condição da port correspondência quanto as destination-port condições ou source-port condições de correspondência no mesmo termo.

Endereço MAC de origem de um pacote de Camada 2.

Campo de porta de origem TCP ou UDP. Você não pode especificar as port condições e source-port combinar no mesmo termo.

Não corresponda à porta de origem do TCP/UDP.

Combine um ou mais dos 6 bits de baixa ordem no campo de bandeiras TCP de 8 bits no cabeçalho do TCP.

Para especificar campos de bits individuais, você pode especificar os seguintes sinônimos de texto ou valores hexadecimal:

• fin(0x01)

• syn(0x02)

• rst(0x04)

• push(0x08)

• ack(0x10)

• urgent(0x20)

Em uma sessão de TCP, a bandeira SYN é definida apenas no pacote inicial enviado, enquanto a bandeira ACK é definida em todos os pacotes enviados após o pacote inicial.

Você pode reunir várias bandeiras usando os operadores lógicos de campo bit.

A configuração da tcp-flags condição da correspondência requer que você configure a condição da next-header-tcp correspondência.

Tipo de tráfego. Especifiquebroadcast, multicastunknown-unicastou known-unicast.

Não corresponda ao tipo de tráfego.

(Apenas roteadores da Série MX e switches da Série EX) Combine com os bits de prioridade do usuário IEEE 802.1p na tag VLAN do cliente (a tag interna em um quadro de tag dupla com tags VLAN de 802.1Q). Especifique um único valor ou vários valores de 0 até 7.

Compare com a condição do learn-vlan-1p-priority jogo.

(Apenas roteadores da Série MX e switches da Série EX) Não corresponda aos bits de prioridade do usuário IEEE 802.1p. Para obter mais informações, veja a condição da user-vlan-1p-priority partida.

(Apenas roteadores da Série MX e switches da Série EX) Combine com o primeiro identificador de VLAN que faz parte da carga. O intervalo é de 0 a 4095.

(Apenas roteadores da Série MX e switches da Série EX) Não corresponda ao primeiro identificador de VLAN que faz parte da carga. O intervalo é de 0 a 4095.

Campo do tipo Ethernet VLAN de um pacote de ponte de Camada 2.

Não combine no campo do tipo Ethernet VLAN de um pacote de ponte de Camada 2.