Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Condições de correspondência do filtro de firewall com base em valores de campo bit

Condições de correspondência para valores de campo bit

Tabela 1 lista as condições de correspondência do filtro de firewall que se baseiam em se determinados campos de bit em um pacote estão definidos ou não. A segunda e a terceira colunas listam os tipos de tráfego para os quais a condição da correspondência é suportada.

Tabela 1: Condições de correspondência binárias e de campo bit para filtros de firewall

Condição de jogo de campo bit

Valores de correspondência

Famílias de protocolo para filtros de firewall sem estado padrão

Famílias de protocolo para filtros de serviço

fragment-flags flags

Valores hexadecimal ou vultoses de texto para o campo de bandeiras de fragmentação IP de três bits no cabeçalho IP.

family inet

family inet

fragment-offset value

Valores hexadecimal ou codinomes de texto para o campo de compensação de fragmentos de 13 bits no cabeçalho IP.

family inet

family inet

tcp-flags value

Valores hexadecimal ou codinomes de texto para os 6 bits de baixa ordem do campo de bandeiras TCP de 8 bits no cabeçalho do TCP.

family inetfamily inet6family vplsfamily bridge

family inetfamily inet6

† O Junos OS não verifica automaticamente o primeiro fragmento ao combinar bandeiras de TCP com o tráfego IPv4. Para verificar apenas o primeiro fragmento do tráfego IPv4, use a condição da correspondência.first-fragment

Condições de correspondência para valores ou combinações comuns de bit-field

descreve as condições de correspondência do filtro de firewall que se baseiam em saber se determinados valores ou combinações de campos de bit comumente usados em um pacote são definidos ou não.Tabela 2

Você pode usar sinônimos de texto para especificar algumas partidas comuns de campo bit. No exemplo anterior, você pode especificar como a mesma condição de correspondência.tcp-initial

Nota:

Algumas das condições de correspondência de campo numérico e numérico permitem que você especifique um sinônimo de texto. Para uma lista completa de sinônimos:

  • Se você estiver usando a interface J-Web, selecione o sinônimo da lista apropriada.

  • Se estiver usando a CLI, digite um ponto de interrogação () após a declaração.?from

Tabela 2: Condições de correspondência de campo bit para combinações comuns

Condição da partida

Descrição

Famílias de protocolo para filtros de firewall sem estado padrão

Famílias de protocolo para filtros de serviço

first-fragment

Nome do texto para a condição de correspondência de campo bit, que indica o primeiro fragmento de um pacote fragmentado.fragment-offset 0

family inet

family inet

is-fragment

Vulto de texto para a condição de correspondência de campo bit, que indica um fragmento de rastreamento de um pacote fragmentado.fragment-offset 0 except

family inet

family inet

tcp-established

Alias para a condição de jogo de campo bit, que indica uma sessão TCP estabelecida, mas não o primeiro pacote de uma conexão TCP.tcp-flags "(ack | rst)"

family inetfamily inet6

tcp-initial

Alias para a condição de jogo de campo bit, que indica o primeiro pacote de uma conexão TCP, mas não uma sessão TCP estabelecida.tcp-flags "(!ack & syn)"

family inetfamily inet6

Operadores lógicos para valores de campo bit

lista os operadores lógicos que você pode aplicar a valores de campo únicos ao especificar condições de correspondência do filtro de firewall sem estado.Tabela 3 Os operadores estão listados em ordem, da mais alta precedência à menor precedência. As operações são associativas à esquerda, o que significa que as operações são processadas da esquerda para a direita.

Tabela 3: Operadores lógicos de campo bit

Ordem de precedência

Operador lógico de campo bit

Descrição

1

(complex-match-condition)

Agrupamento — A complexa condição de correspondência é avaliada antes que quaisquer operadores fora dos parênteses sejam aplicados.

2

match-condition

Negação — ocorre uma correspondência se a condição da correspondência for falsa.

3

match-condition-1  &  match-condition-2Oumatch-condition-1  +  match-condition-2

Lógico E — uma correspondência ocorre se ambas as condições de correspondência forem verdadeiras.

4

match-condition-1  |  match-condition-2Oumatch-condition-1  ,  match-condition-2  

OR lógico — uma correspondência ocorre se uma condição de correspondência for verdadeira.

Correspondência em um único valor de campo ou vulto de texto

Para as condições de correspondência e bit, você pode especificar as condições de correspondência do filtro de firewall com base em se um bit específico no campo de pacotes está definido ou não.fragment-flagstcp-flags

  • Valor numérico para especificar um único bit — você pode especificar uma única condição de jogo em campo de bit usando um valor numérico que tem um bit definido. Dependendo da condição da correspondência, você pode especificar um valor decimais, um valor binário ou um valor hexadecimal. Para especificar um valor binário, especifique o número com o prefixo .b Para especificar um valor hexadecimal, especifique o número com o prefixo .0x

    No exemplo a seguir, uma correspondência ocorre se o bit no campo de bandeiras TCP for definido:RST

  • Alias de texto para especificar um único bit — você geralmente especifica uma única condição de jogo de campo de bit usando um vulto de texto fechado em marcas de cotação dupla (" ").

    No exemplo a seguir, uma correspondência ocorre se o bit no campo de bandeiras TCP for definido:RST

Correspondência em vários valores de campo de bits ou vultoses de texto

Você pode especificar uma condição de correspondência do filtro de firewall com base em se um determinado conjunto de bits em um campo de pacotes está definido.

  • Valores numéricos para especificar vários bits definidos — Quando você especifica um valor numérico cuja representação binária tem mais de um bit definido, o valor é tratado como um bit lógico e dos bits definidos.

    No exemplo a seguir, as duas condições de jogo são as mesmas. Uma correspondência ocorre se um bit ou não estiver definido:0x010x02

  • Codinomes de texto que especificam partidas comuns de campo de bit — você pode usar pseudônimos de texto para especificar algumas partidas comuns de campo de bits. Você especifica essas correspondências como uma única palavra-chave.

    No exemplo a seguir, a condição, que é um vulto para , especifica que uma correspondência ocorre em pacotes TCP que não sejam o primeiro pacote de uma conexão:tcp-established“(ack | rst)”

Combinação em um valor de campo bit negado

Para negar uma partida, preceder o valor com um ponto de exclamação.

No exemplo a seguir, uma correspondência ocorre se o bit no campo de bandeiras TCP for definido:RST

Correspondência no OR lógico de dois valores de campo bit

Você pode usar o ( ou ) para especificar se uma partida ocorre se um campo bit corresponde a qualquer um dos dois valores de campo de bit especificados.|,

No exemplo a seguir, uma correspondência ocorre se o pacote não for o pacote inicial em uma sessão de TCP:

Em uma sessão de TCP, a bandeira SYN é definida apenas no pacote inicial enviado, enquanto a bandeira ACK é definida em todos os pacotes enviados após o pacote inicial. Em um pacote que não é o pacote inicial em uma sessão de TCP, ou a bandeira SYN não está definida ou a bandeira ACK é definida.

Combinação entre os valores lógicos e de dois bits de campo

Você pode usar o ( ou ) para especificar se uma partida ocorre se um campo bit corresponder a ambos os dois valores de campo bit especificados.&+

No exemplo a seguir, ocorre uma correspondência se o pacote for o pacote inicial em uma sessão de TCP:

Em uma sessão de TCP, a bandeira SYN é definida apenas no pacote inicial enviado, enquanto a bandeira ACK é definida em todos os pacotes enviados após o pacote inicial. Em um pacote que é um pacote inicial em uma sessão de TCP, a bandeira SYN está definida e a bandeira ACK não está definida.

Condições de jogo de campo de agrupamento de bits

Você pode usar o para especificar que a complexa condição de correspondência dentro dos parênteses é avaliada antes que quaisquer operadores fora dos parênteses sejam aplicados.

No exemplo a seguir, ocorre uma correspondência se o pacote for um reset de TCP ou se o pacote não for o pacote inicial na sessão de TCP:

Em uma sessão de TCP, a bandeira SYN é definida apenas no pacote inicial enviado, enquanto a bandeira ACK é definida em todos os pacotes enviados após o pacote inicial. Em um pacote que não é o pacote inicial em uma sessão de TCP, a bandeira SYN não está definida e o campo ACK está definido.