IPv6 流量的防火墙过滤器匹配条件
您可以使用互联网协议版本 6 (IPv6) 流量匹配条件配置防火墙过滤器 (family inet6
)。
对于带有 MPC 的 MX 系列路由器,您需要通过遍历相应的 SNMP MIB 来初始化仅三重奏匹配过滤器的过滤器计数器,例如 show snmp mib walk name ascii
。这将强制 Junos 学习过滤器计数器并确保显示过滤器统计信息。本指南适用于所有增强模式防火墙筛选器、具有灵活条件的筛选器以及具有特定终止操作的筛选器。有关详细信息,请参阅“相关文档”下列出的这些主题。
表 1 描述了可以在层次结构级别配置的 [edit firewall family inet6 filter filter-name term term-name from]
匹配条件。
匹配条件 |
Description |
|||||||||||||||||||||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
匹配 IPv6 源或目标地址字段,除非包含该 |
|||||||||||||||||||||||||||||
|
指定要从中继承配置数据的组。可以指定多个组名。必须按继承优先级顺序列出它们。第一组中的配置数据优先于后续组中的数据。 |
|||||||||||||||||||||||||||||
|
指定不从中继承配置数据的组。可以指定多个组名。 |
|||||||||||||||||||||||||||||
|
匹配 IPv6 目标地址字段,除非包含该 不能在同一术语中同时 |
|||||||||||||||||||||||||||||
|
匹配一个或多个指定的目标类名(组合在一起并给定类名的目标前缀集)。 有关详细信息,请参阅 基于地址类的防火墙过滤器匹配条件。 |
|||||||||||||||||||||||||||||
|
不要与一个或多个指定的目标类名匹配。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
匹配 UDP 或 TCP 目标端口字段。 不能在同一术语中同时 如果配置此匹配条件,我们建议您也在同一术语中配置 注:
对于 Junos OS 演化版,您必须在同一术语中配置 要代替数值,可以指定以下文本同义词之一(还会列出端口号): |
|||||||||||||||||||||||||||||
|
不匹配 UDP 或 TCP 目标端口字段。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
将 IPv6 目标前缀与指定列表 匹配,除非包含该 前缀列表在 ] 层次结构级别定义 |
|||||||||||||||||||||||||||||
|
通过标识“下一个标头”值来匹配数据包中包含的扩展标头类型。 注:
此匹配条件仅在 MX 系列路由器中的 MPC 上受支持。 在数据包的第一个片段中,过滤器在任何扩展标头类型中搜索匹配项。当找到具有分片标头的数据包(后续分片)时,过滤器仅搜索下一个扩展标头类型的匹配项,因为其他扩展标头的位置不可预测。 代替数值,您可以指定以下文本同义词之一(字段值也会列出): 要匹配扩展标头选项 的任何 值,请使用文本同义词 对于带有 MPC 的 MX 系列路由器,请遍历相应的 SNMP MIB,初始化包含此条件的新防火墙过滤器。 |
|||||||||||||||||||||||||||||
|
如果数据包是第一个分片,则匹配。 |
|||||||||||||||||||||||||||||
流标签 flow label value |
匹配 IPv6 数据包标头中的 20 位流标签字段。值范围从 0x1 到 0xFFFFF。 流标签 和 下一个标头 匹配条件不能共存。一次只能应用其中一个匹配条件。要启用 流标签 并禁用 下一个标头 ,请应用以下配置: 下表汇总了 流标签 匹配条件与 下一个标头 条件的行为。
注:
|
|||||||||||||||||||||||||||||
流标签 flow label value 掩码 mask value |
除了常规 流标签 值外,您还可以在配置匹配时使用掩码值;掩码值与给定 流标签 值的特定位匹配。 注:
|
|||||||||||||||||||||||||||||
|
与数据包中包含的扩展标头类型不匹配。有关详细信息,请参阅 注:
此匹配条件仅在 MX 系列路由器中的 MPC 上受支持。 |
|||||||||||||||||||||||||||||
|
|
整数输入长度(1..32位); (可选)字符串输入长度(1..128 位) |
||||||||||||||||||||||||||||
|
(匹配开始 + 字节)偏移量 (0..7) 之后的位偏移量 |
|||||||||||||||||||||||||||||
|
比赛起点之后的字节偏移量 |
|||||||||||||||||||||||||||||
|
从预定义的模板字段中选择灵活匹配 |
|||||||||||||||||||||||||||||
|
屏蔽数据包数据中要匹配的位 |
|||||||||||||||||||||||||||||
|
数据包中匹配的起点 |
|||||||||||||||||||||||||||||
|
要匹配的值数据/字符串 |
|||||||||||||||||||||||||||||
有关详细信息,请参阅防火墙过滤器灵活匹配条件 |
||||||||||||||||||||||||||||||
范围应使用以下格式:Integer-Integer |
|
要匹配的数据长度(以位为单位) (0..32) |
||||||||||||||||||||||||||||
|
(匹配开始 + 字节)偏移量 (0..7) 之后的位偏移量 |
|||||||||||||||||||||||||||||
|
比赛起点之后的字节偏移量 |
|||||||||||||||||||||||||||||
|
从预定义的模板字段中选择灵活匹配 |
|||||||||||||||||||||||||||||
|
数据包中匹配的起点 |
|||||||||||||||||||||||||||||
|
要匹配的值范围 |
|||||||||||||||||||||||||||||
|
不匹配此值范围 |
|||||||||||||||||||||||||||||
有关详细信息,请参阅防火墙过滤器灵活匹配条件 |
||||||||||||||||||||||||||||||
|
匹配数据包的转发类。 指定 有关转发类和路由器内部输出队列的信息,请参阅 了解转发类如何将类分配给输出队列。 |
|||||||||||||||||||||||||||||
|
与数据包的转发类不匹配。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
将跃点限制与指定的跃点限制或一组跃点限制相匹配。对于 仅在 MX 系列路由器的 MIC 或 MPC 上托管的接口上受支持。 注:
在路由器上配置此匹配条件时 |
|||||||||||||||||||||||||||||
|
不要将跃点限制与指定的跃点限制或一组跃点限制匹配。有关详细信息,请参阅 仅在 MX 系列路由器的 MIC 或 MPC 上托管的接口上受支持。 注:
在路由器上配置此匹配条件时 |
|||||||||||||||||||||||||||||
|
匹配 ICMP 消息代码字段。 如果配置此匹配条件,我们建议您在同一术语中也配置 如果配置此匹配条件,则还必须在同一术语中配置 要代替数值,您可以指定以下文本同义词之一(还会列出字段值)。关键字按与其关联的 ICMP 类型分组:
|
|||||||||||||||||||||||||||||
|
不匹配 ICMP 消息代码字段。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
匹配 ICMP 消息类型字段。 如果配置此匹配条件,我们建议您在同一术语中也配置 注:
对于 Junos OS 演化版,您必须在同一术语中配置 代替数值,您可以指定以下文本同义词之一(字段值也会列出): 对于 |
|||||||||||||||||||||||||||||
|
不匹配 ICMP 消息类型字段。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
匹配接收数据包的接口。 注:
如果使用不存在的接口配置此匹配条件,则该术语与任何数据包都不匹配。 |
|||||||||||||||||||||||||||||
|
将接收数据包的逻辑接口与指定的接口组或接口组进行匹配。对于 要将逻辑接口分配给接口组 有关更多信息,请参阅 过滤一组接口组上收到的数据包概述。 |
|||||||||||||||||||||||||||||
|
不要将接收数据包的逻辑接口与指定的接口组或接口组匹配。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
将接收数据包的接口与指定的接口集匹配。 要定义接口集,请在层次结构级别包含 有关更多信息,请参阅 过滤接口集上收到的数据包概述。 |
|||||||||||||||||||||||||||||
|
将 8 位 IP 选项字段(如果存在)与指定的值或值列表匹配。 要代替数值,可以指定以下文本同义词之一(还会列出选项值): 要匹配 IP 选项 的任何 值,请使用文本同义词 例如,匹配条件 对于大多数接口,指定
MX 系列路由器上的 10 千兆以太网模块化端口集中器 (MPC)、100 千兆以太网 MPC、60 千兆以太网 MPC、60 千兆队列以太网 MPC 和 60 千兆以太网增强型队列 MPC 能够解析 IPv4 数据包标头的 IP 选项字段。对于在这些 MPC 上配置的接口,使用匹配条件匹配 |
|||||||||||||||||||||||||||||
|
不要将 IP 选项字段与指定的值或值列表匹配。有关指定 的详细信息 |
|||||||||||||||||||||||||||||
|
如果数据包是分片,则匹配。 |
|||||||||||||||||||||||||||||
|
如果数据包是最后一个分片,则匹配。 |
|||||||||||||||||||||||||||||
|
匹配数据包丢失优先级 (PLP) 级别。 指定单个级别或多个级别: 在 M120 和 M320 路由器上受支持;采用增强型 CFEB (CFEB-E) 的 M7i 和 M10i 路由器;以及 MX 系列路由器和 EX 系列交换机。 对于带有增强型 II 灵活 PIC 集中器 (FPC) 的 M320、MX 系列、T 系列路由器和 EX 系列交换机上的 IP 流量,必须在层次结构级别包含 有关该 |
|||||||||||||||||||||||||||||
|
与 PLP 级别不匹配。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
匹配数据包中的第一个 8 位“下一个标头”字段。Junos OS 版本 13.3R6 及更高版本中提供了对防火墙匹配条件的支持 注:
MX 平台的
匹配数据包中的第一个 8 位“下一个标头”字段。 代替数值,您可以指定以下文本同义词之一(字段值也会列出): 注:
|
|||||||||||||||||||||||||||||
|
与标识 IPv6 报头和有效负载之间的报头类型的 8 位“下一个报头”字段不匹配。有关详情,请参阅 |
|||||||||||||||||||||||||||||
|
匹配收到的数据包的长度(以字节为单位)。长度仅指 IP 数据包,包括数据包标头,不包括任何第 2 层封装开销。 |
|||||||||||||||||||||||||||||
|
与收到的数据包的长度不匹配(以字节为单位)。有关详情,请参阅 |
|||||||||||||||||||||||||||||
|
匹配有效负载协议类型。
您还可以使用该 注:
此匹配条件仅在 MX 系列路由器上的 MPC 上受支持。通过执行相应的 SNMP MIB 来初始化包含此条件的新防火墙过滤器。 |
|||||||||||||||||||||||||||||
|
与有效负载协议类型不匹配。有关详情,请参阅 注:
此匹配条件仅在 MX 系列路由器上的 MPC 上受支持 |
|||||||||||||||||||||||||||||
|
匹配 UDP 或 TCP 源或目标端口字段。 如果配置此匹配条件,则无法在同一期限内配置 如果配置此匹配条件,我们建议您也在同一术语中配置 注:
对于 Junos OS 演化版,您必须在同一术语中配置 要代替数值,可以指定 下 |
|||||||||||||||||||||||||||||
|
不匹配 UDP 或 TCP 源或目标端口字段。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
将源地址或目标地址字段的前缀与指定列表中的 前缀匹配,除非包含该 前缀列表在 |
|||||||||||||||||||||||||||||
|
匹配从应用操作的 |
|||||||||||||||||||||||||||||
|
匹配发送数据包的源节点的 IPv6 地址,除非包含该 不能在同一术语中同时 |
|||||||||||||||||||||||||||||
|
匹配一个或多个指定的源类名(组合在一起并给定类名的源前缀集)。 有关详细信息,请参阅 基于地址类的防火墙过滤器匹配条件。 |
|||||||||||||||||||||||||||||
|
不要匹配一个或多个指定的源类名。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
匹配 UDP 或 TCP 源端口字段。 不能在同一术语中指定 如果配置此匹配条件,我们建议您也在同一术语中配置 注:
对于 Junos OS 演化版,您必须在同一术语中配置 要代替数值,您可以指定与匹配条件一起 |
|||||||||||||||||||||||||||||
|
不匹配 UDP 或 TCP 源端口字段。有关详细信息,请参阅 |
|||||||||||||||||||||||||||||
|
匹配数据包源字段 的 IPv6 地址前缀,除非包含该 指定在层次结构级别定义的 |
|||||||||||||||||||||||||||||
|
匹配连接的第一个数据包以外的 TCP 数据包。这是 ( 注:
此条件不会隐式检查协议是否为 TCP。要检查这一点,请指定 如果配置此匹配条件,我们建议您也在同一术语中配置 |
|||||||||||||||||||||||||||||
|
匹配 TCP 报头的 8 位 TCP 标志字段中的一个或多个低阶 6 位。 若要指定单个位字段,可以指定以下文本同义词或十六进制值:
在 TCP 会话中,SYN 标志仅在发送的初始数据包中设置,而 ACK 标志在初始数据包之后发送的所有数据包中设置。 您可以使用位字段逻辑运算符将多个标志串在一起。 有关组合位字段匹配条件,请参阅 如果配置此匹配条件,建议您在同一术语中配置 |
|||||||||||||||||||||||||||||
|
匹配 TCP 连接的初始数据包。这是 的文本 此条件不会隐式检查协议是否为 TCP。如果配置此匹配条件,我们建议您也在同一术语中配置 |
|||||||||||||||||||||||||||||
|
匹配指定数据包的服务等级 (CoS) 优先级的 8 位字段。 此字段以前用作 IPv4 中的服务类型 (ToS) 字段。 您可以指定 到 代替数值,您可以指定以下文本同义词之一(字段值也会列出):
|
|||||||||||||||||||||||||||||
|
不匹配指定数据包 CoS 优先级的 8 位字段。有关详细信息,请参阅 |
source-port-range-optimize
并 destination-port-range-optimize
支持层次结构级别入口方向 [edit firewall family inet6 filter <filter-name> term <term-name> from]
上的 IPv6 防火墙过滤器。
可用于对过滤器条目进行编程的 TCAM 空间有限。尝试在大量源或目标端口范围内进行匹配时,TCAM 空间可能会耗尽。为了解决此问题, source-port-range-optimize
destination-port-range-optimize
可以从 CLI 进行配置,这将显著减少在防火墙过滤器匹配条件中配置源或目标端口范围时使用的 TCAM 条目数。
配置示例如下所示。
set firewall family ethernet-switching filter TEST term t1 from source-port 2000-10000 set firewall family ethernet-switching filter TEST term t1 from source-port-range-optimize set firewall family ethernet-switching filter TEST term t1 from destination-port 3000-9000 set firewall family ethernet-switching filter TEST term t1 from destination-port-range-optimize
变更历史表
是否支持某项功能取决于您使用的平台和版本。 使用 Feature Explorer 查看您使用的平台是否支持某项功能。
next-header
。