Condições e ações de correspondência do filtro de firewall (roteadores da Série PTX)

address address [ except ]

Combine com o campo de endereço de origem ou destino, a menos que a opção except esteja incluída.

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

destination-address address [ except ]

Combine com o campo de endereço de destino, a menos que a opção except esteja incluída.

Você não pode especificar as condições de correspondência e destination-address ambos address no mesmo termo.

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

destination-port number

Combine com o campo de porta de destino UDP ou TCP. Você também deve configurar a protocol udp declaração ou protocol tcp correspondência no mesmo termo para especificar qual protocolo está sendo usado na porta.

Você não pode especificar as port condições e destination-port as condições compatíveis no mesmo termo.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os números de porta também estão listados): afs(1483), bgp (179), biff (512), bootpc (68), bootps (67), cmd (514), cvspserver (2401), dhcp (67), domain (53), (21) eklogin 05), ekshell (2106), exec (512), finger (79), ftp (21), ftp-data (20), http (80), https (443), ident (113), imap (143), kerberos-sec (88), klogin (543), kpasswd (761), krb-prop (754), krbupdate (760), kshell (544), ldap (389), ldp (646), login (513), (434), mobileip-agentmobilip-mn (435), msdp (639), netbios-dgm (138), netbios-ns (137), (139), (2049), (119), (518), (518), (137), netbios-ssn (139), nfsd (2049), (119), nntpntalk (518), ntp (123), pop3 (110), pptp (1723), printer (515), radacct (1813), radius (1812), rip (520), rkinit (2108), smtp (25), snmp (161), snmptrap (162), (44) snpp 4), socks (1080), ssh (22), sunrpc (111), syslog (514), tacacs (49), tacacs-ds (65), talk (517), telnet (23), tftp (69), timed (525), who (513) ou xdmcp (177).

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

destination-port-except number

Não corresponda ao campo de porta de destino UDP ou TCP. Para obter mais informações, veja a condição da destination-port partida.

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

destination-prefix-list name [ except ]

Prefixos de destino compatíveis em uma lista, a menos que a opção except esteja incluída. Você pode definir uma lista de prefixos de endereço IP em um pseudônimo de lista de prefixo para uso frequente. Defina esta lista no nível hierárquica [edit policy-options] .

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

dscp number

Combine com o ponto de código de serviços diferenciados (DSCP). O protocolo DiffServ usa o byte de tipo de serviço (ToS) no cabeçalho IP. Os 6 bits mais significativos desse byte formam o DSCP.

Você pode especificar DSCP em forma hexadédica, binária ou decima.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados):

• be— melhor esforço (padrão)

• ef (46)— conforme definido no RFC 3246, um PHB de encaminhamento acelerado.

• af11 (10), ; af12 (12)af13 (14)

  af21 (18), ; af22 (20)af23 (22)

  af31 (26), ; af32 (28)af33 (30)

  af41 (34), af42 (36)af43 (38)

  Essas quatro classes, com três precedências de queda em cada classe, para um total de 12 pontos de código, são definidas na RFC 2597, PHB de encaminhamento garantido.

• cs0, cs1, cs2, cs3, , cs4, cs5, cs6, cs7cs5

Interfaces IPv4 (inet) e IPv6 (inet6).

dscp-except number

Não corresponda ao número de DSCP. Para obter mais informações, veja a condição da dscp partida.

Interfaces IPv4 (inet) e IPv6 (inet6).

first-fragment

Combine se o pacote é o primeiro fragmento de um pacote fragmentado. Não combine se o pacote é um fragmento de rastreamento de um pacote fragmentado. O primeiro fragmento de um pacote fragmentado tem um valor de compensação de fragmentos de 0.

Esta condição de jogo é um vulto para a condição de jogo de condição fragment-offset 0 de jogo de campo bit.

Para combinar os fragmentos de primeiro e de rastreamento, você pode usar dois termos que especificam diferentes condições de correspondência: first-fragment e is-fragment...

Interfaces IPv4 (inet).

forwarding-class class

Classifique o pacote em uma das seguintes aulas de encaminhamento padrão ou em uma aula de encaminhamento definida pelo usuário:

• best-effort

• fcoe

• network-control

• no-loss

Interfaces IPv4 (inet), IPv6 (inet6) e MPLS.

forwarding-class-except class

Não corresponda à classe de encaminhamento do pacote. Para obter mais informações, veja a condição da forwarding-class partida.

Interfaces IPv4 (inet), IPv6 (inet6) e MPLS.

fragment-flags number

Combine com o campo de bandeiras de fragmentação de IP de três bits no cabeçalho IP.

No lugar do valor de campo numérico, você pode especificar uma das seguintes palavras-chave (os valores de campo também estão listados): dont-(0x4), more-s (0x2) ou reserved (0x8).

Interfaces IPv4 (inet).

fragment-offset value

Combine com o campo de compensação de fragmentos de 13 bits no cabeçalho IP. O valor é a compensação, em unidades de 8 byte, na mensagem geral de datagrama para o fragmento de dados. Especifique um valor numérico, uma variedade de valores ou um conjunto de valores. Um valor de compensação 0 indica o primeiro fragmento de um pacote fragmentado.

A first-fragment condição da partida é um vulto para a condição da fragment-offset 0 partida.

Para combinar os fragmentos de primeiro e de rastreamento, você pode usar dois termos que especificam diferentes condições de correspondência (first-fragment e is-fragment).

Interfaces IPv4 (inet).

fragment-offset-except number

Não combine com o campo de compensação de fragmentos de 13 bits.

Interfaces IPv4 (inet).

icmp-code message-code

Combine com o campo de código de mensagem do ICMP.

Se você configurar esta condição de correspondência, recomendamos que você também configure a condição ou next-header icmp6 a next-header icmp condição de correspondência no mesmo termo.

Se você configurar essa condição de correspondência, você também deve configurar a condição de icmp-type message-type correspondência no mesmo termo. Um código de mensagem ICMP fornece informações mais específicas do que um tipo de mensagem ICMP, mas o significado de um código de mensagem ICMP depende do tipo de mensagem ICMP associado.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados). As palavras-chave são agrupadas pelo tipo ICMP com as quais estão associadas:

• problema de parâmetros: ip-header-bad(0), required-option-missing (1)

• redirecionar: redirect-for-host(1), redirect-for-network (0), redirect-for-tos-and-host (3), redirect-for-tos-and-net (2)

• tempo excedido: ttl-eq-zero-during-reassembly(1), ttl-eq-zero-during-transit (0)

• Inacessível: communication-prohibited-by-filtering(13), destination-host-prohibited (10), destination-host-unknown (7), destination-network-prohibited (9), destination-network-unknown (6), fragmentation-needed (4), (14), host-precedence-violationhost-unreachable (1), host-unreachable-for-TOS (12), network-unreachable (0), network-unreachable-for-TOS (11), port-unreachable (3), precedence-cutoff-in-effect (15), (2), protocol-unreachablesource-host-isolated (8), source-route-failed (5)

Interfaces IPv4 (inet) e IPv6 (inet6).

icmp-code-except message-code

Não corresponda ao campo de código de mensagem do ICMP. Para obter mais informações, veja a condição da icmp-code partida.

Interfaces IPv4 (inet) e IPv6 (inet6).

icmp-type number

Combine com o campo do tipo de mensagem do ICMP. Você também deve configurar icmp ou icmpv6 como protocol next-header tipo de correspondência no mesmo termo.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados): echo-reply(0), echo-request (8), info-reply (16), info-request (15), mask-request (17), mask-reply (18), (12), parameter-problemredirect (5), router-advertisement (9), router-solicit (10), source-quench (4), time-exceeded (11), timestamp (13), timestamp-reply (14) ou unreachable (3).

Veja também icmp-code variable.

Interfaces IPv4 (inet) e IPv6 (inet6).

icmp-type-except message-type

Não combine com o campo do tipo de mensagem do ICMP. Para obter mais informações, veja a condição da icmp-type partida.

Interfaces IPv4 (inet) e IPv6 (inet6).

interface interface-name

Para filtros de entrada, combine com a interface em que o pacote foi recebido.

Para filtros de saída, combine com a interface na qual o pacote foi enviado.

firewall
  filter core-protect {
            term Telnet {
                from {
                    protocol tcp;
                    destination-port telnet;
                    interface em0.0;
                }
                then accept;
            }
  }
}

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

interface-except number

Não corresponda à interface lógica na qual o pacote foi recebido. Para obter mais informações, veja a condição da interface partida.

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

is-fragment

Combine se o pacote é um fragmento de rastreamento de um pacote fragmentado. Não corresponda ao primeiro fragmento de um pacote fragmentado.

Para PTX10003 roteadores que executam o Junos OS Evolved, todos os pacotes fragmentados, incluindo o primeiro fragmento de pacotes fragmentados, serão compatíveis em qualquer termo de filtro de firewall que contenha uma correspondência "is-fragment".

Interfaces IPv4 (inet).

loss-priority level

Corresponda à prioridade de perda de pacotes (PLP).

Especifique um único nível ou vários níveis: lowoumedium-lowmedium-highhigh...

Interfaces IPv4 (inet), IPv6 (inet6) e MPLS.

loss-priority-except level

Não corresponda ao nível de PLP. Para obter mais informações, veja a condição da loss-priority partida.

Interfaces IPv4 (inet), IPv6 (inet6) e MPLS.

next-header header-type

Combine com o primeiro campo de cabeçalho próximo de 8 bits no pacote.

No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados): ah(51), dstops (60), egp (8), esp (50), fragment (44), (47), gre (0), hop-by-hopicmp (1), icmp6 (58), icmpv6 (58), igmp (2), ipip (4), (4) ipv6 1), mobility (135), no-next-header (59), ospf (89), pim (103), routing (43), rsvp (46), sctp (132), tcp (6), udp  (17) ou vrrp (112).

Interfaces IPv6 (inet6).

next-header-except header-type

Não combine com o campo Next Header de 8 bits que identifica o tipo de cabeçalho entre o cabeçalho IPv6 e a carga útil. Para obter mais informações, veja o tipo de next-header correspondência.

Interfaces IPv6 (inet6)

packet-length bytes

Corresponda à duração do pacote recebido, em bytes. O comprimento refere-se apenas ao pacote IP, incluindo o cabeçalho do pacote, e não inclui nenhuma sobrecarga de encapsulamento de Camada 2. Você também pode especificar uma variedade de valores a serem combinados.

Interfaces IPv4 (inet) e IPv6 (inet6).

packet-length-except bytes

Não corresponda ao comprimento do pacote recebido, em bytes. Para obter mais informações, veja o tipo de packet-length correspondência.

Interfaces IPv4 (inet) e IPv6 (inet6).

port number

Combine com o campo de porta de origem ou destino UDP ou TCP. Você também deve configurar a protocol udp declaração ou protocol tcp correspondência no mesmo termo para especificar qual protocolo está sendo usado na porta.

Você não pode configurar a condição da destination-port correspondência ou a condição de source-port correspondência no mesmo termo.

No lugar do valor numérico, você pode especificar um dos sinônimos de texto listados em destination-port.

Interfaces IPv4 (inet) e IPv6 (inet6).

port-except number

Não corresponda ao UDP de origem ou destino ou ao campo de porta TCP. Para obter mais informações, veja a condição da port partida.

Interfaces IPv4 (inet) e IPv6 (inet6).

precedence ip-precedence-value

Combine com o campo de precedência de IP.

No lugar do valor de campo numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados): critical-ecp(0xa0), flash (0x60), flash-override (0x80), immediate (0x40), internet-control (0xc0), net-control (0xe0), priority (0x20) ou routine (0x00). Você pode especificar a precedência em forma hexadima, binária ou decimais.

Interfaces IPv4 (inet).

precedence-except ip-precedence-value

Não corresponda ao campo de precedência de IP.

Interfaces IPv4 (inet).

protocol number

Combine com o campo do tipo de protocolo IPv4. No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores numéricos também estão listados):

hop-by-hop (0),icmp (1), , igmp (2)icmp6, , ipip (4), egp (8)ipv6 (41)routing (43)udp (17)tcp (6)fragment (44)rsvp (46), esp (50)icmp6 (58)ah (51)gre (47), no-next-header (59), dstopts (60), ospf (89), , , vrrp (112)pim (103)sctp (132)

Interfaces IPv4 (inet).

protocol-except number

Não corresponda ao campo do tipo de protocolo IP. No lugar do valor numérico, você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados): ah(51), dstopts (60), egp (8), esp (50), fragment (44), gre (47), hop-by-hop (0), icmp (1), icmp6 (58), icmpv6 (58), igmp (2), ipip (4), ipv6 (41), (89), pimospf (103), rsvp (46), sctp (132), (6), tcpudp  (17) ou vrrp (112).

Interfaces IPv4 (inet).

source-address ip-address

Campo de endereço de origem IP, que é o endereço do nó que enviou o pacote.

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

source-address address [ except ]

Combine com o endereço IP do nó de origem que envia o pacote a menos que a opção except esteja incluída. Se a opção estiver incluída, não corresponda ao endereço IP do nó de origem que envia o pacote.

Você não pode especificar as address condições e source-address as condições compatíveis no mesmo termo.

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

source-port value

Combine com a porta de origem TCP ou UDP. Você também deve configurar a protocol udp declaração ou protocol tcp correspondência no mesmo termo.

No lugar do valor numérico, você pode especificar um dos sinônimos de texto listados com a condição de destination-port number correspondência.

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

source-port-except number

Não corresponda ao campo de porta de origem UDP ou TCP. Para obter mais informações, veja a condição da source-port partida.

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

source-prefix-list prefix-list

Lista de prefixo de origem IP. Você pode definir uma lista de prefixos de endereço IP em um pseudônimo de lista de prefixo para uso frequente. Defina esta lista no nível hierárquica [edit policy-options] .

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

tcp-flags value

Combine um ou mais dos 6 bits de baixa ordem no campo de bandeiras TCP de 8 bits no cabeçalho do TCP.

Para especificar campos de bits individuais, você pode especificar os seguintes sinônimos de texto ou valores hexadecimal:

• fin(0x01)

• syn(0x02)

• rst(0x04)

• push(0x08)

• ack(0x10)

• urgent(0x20)

Em uma sessão de TCP, a bandeira SYN é definida apenas no pacote inicial enviado, enquanto a bandeira ACK é definida em todos os pacotes enviados após o pacote inicial.

Você pode reunir várias bandeiras usando os operadores lógicos de campo bit.

Se você configurar esta condição de correspondência, recomendamos que você também configure a declaração de protocol tcp correspondência no mesmo termo para especificar se o protocolo TCP está sendo usado na porta.

Somente para tráfego IPv4, essa condição de correspondência não verifica implicitamente se o datagrama contém o primeiro fragmento de um pacote fragmentado. Para verificar se essa condição é apenas para tráfego IPv4, use a condição da first-fragment correspondência.

Interfaces IPv4 (inet) e interfaces IPv6 (inet6).

traffic-class value

Campo de 8 bits que especifica a prioridade de classe de serviço (CoS) do pacote. O campo de classe de tráfego é usado para especificar um valor de ponto de código DiffServ (DSCP). Esse campo foi usado anteriormente como o campo de tipo de serviço (ToS) no IPv4, e a semântica deste campo (por exemplo, DSCP) é idêntica à do IPv4.

Você pode especificar um dos seguintes sinônimos de texto (os valores de campo também estão listados):

af11 (10), af12 (12), af13 (14), af21 (18), , af22 (20), af31 (26)af23 (22), af32 (28)af41 (34)af33 (30), af42 (36), , af43 (38), cs0 (0)cs2 (16)cs1 (8), , cs3 (24)cs4 (32)cs5 (40)cs6 (48)cs7 (56)ef (46)

Interfaces IPv6 (inet6).

traffic-class-except number

Não corresponda ao campo de 8 bits que especifica a prioridade cos do pacote. Para obter mais informações, veja a descrição da traffic-class correspondência.

Interfaces IPv6 (inet6).

ttl number

Combine com o número de tempo ao vivo IPv4 ou IPv6. Especifique um valor de TTL ou uma variedade de valores de TTL. Para number, você pode especificar um ou mais valores de 0 até 255.

Interfaces IPv4 (inet) e IPv6 (inet6).

ttl-except number

Não corresponda ao número IPv4 ou IPv6 TTL. Para obter mais informações, veja a condição da ttl partida.

Interfaces IPv4 (inet) e IPv6 (inet6).

vxlan

Especifique um valor numérico ou intervalo de valores numéricos para o VNI. Aplique o filtro na interfacede entrada.

• vni vni-value— Combine com o VNI.

• vni-except vni-value— Não corresponda ao VNI.

Interfaces IPv4 (inet).

accept

Aceite um pacote. Esta é a ação padrão para pacotes que correspondem a um termo.

discard

Descarte um pacote silenciosamente sem enviar uma mensagem de Protocolo de Mensagem de Controle de Internet (ICMP).

count counter-name

Conte o número de pacotes compatíveis com o termo.

forwarding-class class

Classifique o pacote em uma das seguintes aulas de encaminhamento padrão ou em uma aula de encaminhamento definida pelo usuário:

• best-effort

• fcoe

• mcast

• network-control

• no-loss

log

Registre as informações de cabeçalho do pacote no mecanismo de roteamento. Para visualizar essas informações, insira o comando do show firewall log modo operacional.

loss-priority level

Definir a prioridade de perda de pacotes (PLP).

policer policer-name

Envie pacotes a um policial (com a finalidade de aplicar limitações de taxa). O PTX10003 oferece suporte a policiadores de duas cores, de três cores de taxa única (srTCM) e de marcador de três cores (trTCM) de duas categorias.

redirect instance-name

(Com suporte apenas para dispositivos de PTX10004, PTX10008 e PTX10016 que executam apenas o Junos Evolved OS Release 22.1R1.)

Envie pacotes para o controlador P4, conforme especificado na instância definida no [services inline-monitoring instance instance-name controller p4] nível da hierarquia junos.

reject message-type

Descarte um pacote e envie uma mensagem ICMPv4 ou ICMPv6 "destino inalcançável" (tipo 3). Para registrar pacotes rejeitados, configure o modificador de ação syslog .

Você pode especificar um dos seguintes tipos de mensagem: administratively-prohibited (default), bad-host-tos, bad-network-tos, host-prohibited, host-unknown, host-unreachable, network-prohibited, network-unknown, network-unreachable, port-unreachable, precedence-cutoff, precedence-violation, protocol-unreachable, source-host-isolated, source-route-failed, .

Se você não especificar um tipo de mensagem, a notificação do ICMP "destino inalcançável" é enviada com a mensagem padrão "comunicação filtrada administrativamente".

syslog

Registre um alerta para este pacote.

routing-instance instance-name

Encaminhe pacotes combinados para uma instância de roteamento virtual. Os pacotes podem ser encaminhados para a instância padrão.

Suporte e virtual-routerforwarding instance-types.

address address [ except ]

apply-groups

apply-groups-except

destination-address address [ except ]

destination-port number

destination-port-except number

destination-prefix-list prefix-list-name [ except ]

icmp-code message-code

icmp-code-except message-code

message-type

icmp-type-except message-type

next

next-header header-type

next-header-except header-type

port number

port-except number

port-mirror instance-name

port-mirror-instance instance-name

prefix-list prefix-list-name [ except ]

sample

source-address address [ except ]

source-port number

source-port-except number

source-prefix-list name [ except ]

accept

Aceite um pacote. Esta é a ação padrão para pacotes que correspondem a um termo.

discard

Descarte um pacote silenciosamente sem enviar uma mensagem de Protocolo de Mensagem de Controle de Internet (ICMP).

redirect instance-name

(Com suporte apenas para dispositivos de PTX10004, PTX10008 e PTX10016 que executam apenas o Junos Evolved OS Release 22.1R1.)

Envie pacotes para o controlador P4, conforme especificado na instância definida no nível do [services inline-monitoring instance instance-name controlador p4] da hierarquia Junos.

count counter-name

Conte o número de pacotes compatíveis com o termo.

forwarding-class class

Classifique o pacote em uma das seguintes aulas de encaminhamento padrão ou em uma aula de encaminhamento definida pelo usuário:

• best-effort

• fcoe

• mcast

• network-control

• no-loss

loss-priority (low | medium-low | medium-high | high)

Definir a prioridade de perda de pacotes (PLP).