IPv6 流量的防火墙过滤器匹配条件
您可以使用互联网协议版本 6 (IPv6) 流量匹配条件配置防火墙过滤器 ()。family inet6
对于带有 MPC 的 MX 系列路由器,您需要通过遍历相应的 SNMP MIB 来初始化仅三重奏匹配过滤器的过滤器计数器,例如 。show snmp mib walk name ascii
这将强制 Junos 学习过滤器计数器并确保显示过滤器统计信息。本指南适用于所有增强模式防火墙筛选器、具有灵活条件的筛选器以及具有特定终止操作的筛选器。有关详细信息,请参阅“相关文档”下列出的这些主题。
描述了可以在层次结构级别配置的 匹配条件。表 1[edit firewall family inet6 filter filter-name term term-name from]
匹配条件 |
Description |
|
---|---|---|
|
匹配 IPv6 源或目标地址字段,除非包含该 选项。 |
|
|
指定要从中继承配置数据的组。可以指定多个组名。必须按继承优先级顺序列出它们。第一组中的配置数据优先于后续组中的数据。 |
|
|
指定不从中继承配置数据的组。可以指定多个组名。 |
|
|
匹配 IPv6 目标地址字段,除非包含该 选项。 不能在同一术语中同时 指定 和 匹配条件。 |
|
|
匹配一个或多个指定的目标类名(组合在一起并给定类名的目标前缀集)。 有关详细信息,请参阅 基于地址类的防火墙过滤器匹配条件。基于地址类的防火墙过滤器匹配条件 |
|
|
不要与一个或多个指定的目标类名匹配。有关详细信息,请参阅 匹配条件。 |
|
|
匹配 UDP 或 TCP 目标端口字段。 不能在同一术语中同时 指定 和 匹配条件。 如果配置此匹配条件,我们建议您也在同一术语中配置 或 匹配条件,以指定端口上使用的协议。 注:
对于 Junos OS 演化版,您必须在同一术语中配置 match 语句。 要代替数值,可以指定以下文本同义词之一(还会列出端口号):(1483), (179), (512), (68), (67), (514), (2401), (67), (53), (2105), (2106), (512), (79), (21), (20), (80), (443), (113), (143), (88), (543), (761), (754), (760), (544), (389), (646), (513), (434), (435), (639), (138), (137), (139), (2049), (119), (518)、(123)、(110)、(1723)、(515)、(1813)、(1812)、(520)、(2108)、(25)、(161)、(162)、(444)、(1080)、(22)、(111)、(514)、(49)、(65)、(517)、(23)、(69)、(525)、 (513)或(177)。 |
|
|
不匹配 UDP 或 TCP 目标端口字段。有关详细信息,请参阅 匹配条件。 |
|
|
将 IPv6 目标前缀与指定列表 匹配,除非包含该 选项。 前缀列表在 ] 层次结构级别定义 。 |
|
|
通过标识“下一个标头”值来匹配数据包中包含的扩展标头类型。 注:
此匹配条件仅在 MX 系列路由器中的 MPC 上受支持。 在数据包的第一个片段中,过滤器在任何扩展标头类型中搜索匹配项。当找到具有分片标头的数据包(后续分片)时,过滤器仅搜索下一个扩展标头类型的匹配项,因为其他扩展标头的位置不可预测。 代替数值,您可以指定以下文本同义词之一(字段值也会列出):(51)、(60)、(50)、(44)、(0)、 (135) 或 (43)。 要匹配扩展标头选项 的任何 值,请使用文本同义词 。 对于带有 MPC 的 MX 系列路由器,请遍历相应的 SNMP MIB,初始化包含此条件的新防火墙过滤器。 |
|
|
如果数据包是第一个分片,则匹配。 |
|
|
与数据包中包含的扩展标头类型不匹配。有关详细信息,请参阅 匹配条件。 注:
此匹配条件仅在 MX 系列路由器中的 MPC 上受支持。 |
|
|
|
整数输入长度(1..32位); (可选)字符串输入长度(1..128 位) |
|
(匹配开始 + 字节)偏移量 (0..7) 之后的位偏移量 |
|
|
比赛起点之后的字节偏移量 |
|
|
从预定义的模板字段中选择灵活匹配 |
|
|
屏蔽数据包数据中要匹配的位 |
|
|
数据包中匹配的起点 |
|
|
要匹配的值数据/字符串 |
|
有关详细信息,请参阅防火墙过滤器灵活匹配条件防火墙过滤器灵活匹配条件 |
||
范围应使用以下格式:Integer-Integer |
|
要匹配的数据长度(以位为单位) (0..32) |
|
(匹配开始 + 字节)偏移量 (0..7) 之后的位偏移量 |
|
|
比赛起点之后的字节偏移量 |
|
|
从预定义的模板字段中选择灵活匹配 |
|
|
数据包中匹配的起点 |
|
|
要匹配的值范围 |
|
|
不匹配此值范围 |
|
有关详细信息,请参阅防火墙过滤器灵活匹配条件防火墙过滤器灵活匹配条件 |
||
|
匹配数据包的转发类。 指定 、 、 或 。 有关转发类和路由器内部输出队列的信息,请参阅 了解转发类如何将类分配给输出队列。Understanding How Forwarding Classes Assign Classes to Output Queues |
|
|
与数据包的转发类不匹配。有关详细信息,请参阅 匹配条件。 |
|
|
将跃点限制与指定的跃点限制或一组跃点限制相匹配。对于 ,请指定单个值或 0 到 255 之间的值范围。 仅在 MX 系列路由器的 MIC 或 MPC 上托管的接口上受支持。 注:
在路由器上配置此匹配条件时 ,PTX 系列路由器支持此匹配条件。 |
|
|
不要将跃点限制与指定的跃点限制或一组跃点限制匹配。有关详细信息,请参阅 匹配条件。 仅在 MX 系列路由器的 MIC 或 MPC 上托管的接口上受支持。 注:
在路由器上配置此匹配条件时 ,PTX 系列路由器支持此匹配条件。 |
|
|
匹配 ICMP 消息代码字段。 如果配置此匹配条件,我们建议您在同一术语中也配置 或 匹配条件。 如果配置此匹配条件,则还必须在同一术语中配置 匹配条件。 要代替数值,您可以指定以下文本同义词之一(还会列出字段值)。关键字按与其关联的 ICMP 类型分组:
|
|
|
不匹配 ICMP 消息代码字段。有关详细信息,请参阅 匹配条件。 |
|
|
匹配 ICMP 消息类型字段。 如果配置此匹配条件,我们建议您在同一术语中也配置 或 匹配条件。 注:
对于 Junos OS 演化版,您必须在同一术语中配置 match 语句。 代替数值,您可以指定以下文本同义词之一(字段值也会列出):(149), (148), (1), (129), (128), (145), (144), (142), (141), (130), (131), (132), (147), (146), (136), (135), (140), (139), (2), (4), (100), (101), (200), (201), (137), (134), (138), (133) 或 (3)。 对于 (201),您还可以在方括号内指定值范围。 |
|
|
不匹配 ICMP 消息类型字段。有关详细信息,请参阅 匹配条件。 |
|
|
匹配接收数据包的接口。 注:
如果使用不存在的接口配置此匹配条件,则该术语与任何数据包都不匹配。 |
|
|
将接收数据包的逻辑接口与指定的接口组或接口组进行匹配。对于 ,指定单个值或从 到 的值 范围。 要将逻辑接口分配给接口组,请在层次结构级别指定 。 有关更多信息,请参阅 过滤一组接口组上收到的数据包概述。过滤一组接口组上收到的数据包概述 |
|
|
不要将接收数据包的逻辑接口与指定的接口组或接口组匹配。有关详细信息,请参阅 匹配条件。 |
|
|
将接收数据包的接口与指定的接口集匹配。 要定义接口集,请在层次结构级别包含 语句 。 有关更多信息,请参阅 过滤接口集上收到的数据包概述。过滤接口集上接收的数据包概述 |
|
|
将 8 位 IP 选项字段(如果存在)与指定的值或值列表匹配。 要代替数值,可以指定以下文本同义词之一(还会列出选项值):(131)、(7)、(148)、(130)、(136)、 (137) 或 (68)。 要匹配 IP 选项 的任何 值,请使用文本同义词 。 例如,匹配条件匹配包含 、 或值或 0 到 147 之间的任何其他值的 IP 选项字段。 对于大多数接口,指定 一个或多个 特定 IP 选项值(非 )匹配项的过滤器术语会导致数据包发送到路由引擎,以便内核可以解析数据包标头中的 IP 选项字段。
MX 系列路由器上的 10 千兆以太网模块化端口集中器 (MPC)、100 千兆以太网 MPC、60 千兆以太网 MPC、60 千兆队列以太网 MPC 和 60 千兆以太网增强型队列 MPC 能够解析 IPv4 数据包标头的 IP 选项字段。对于在这些 MPC 上配置的接口,使用匹配条件匹配的所有数据包都将发送到数据包转发引擎进行处理。 |
|
|
不要将 IP 选项字段与指定的值或值列表匹配。有关指定 的详细信息 ,请参阅 匹配条件。 |
|
|
如果数据包是分片,则匹配。 |
|
|
如果数据包是最后一个分片,则匹配。 |
|
|
匹配数据包丢失优先级 (PLP) 级别。 指定单个级别或多个级别:、 、 或 。 在 M120 和 M320 路由器上受支持;采用增强型 CFEB (CFEB-E) 的 M7i 和 M10i 路由器;以及 MX 系列路由器和 EX 系列交换机。 对于带有增强型 II 灵活 PIC 集中器 (FPC) 的 M320、MX 系列、T 系列路由器和 EX 系列交换机上的 IP 流量,必须在层次结构级别包含语句,才能提交具有指定四个级别中的任何一个的 PLP 配置。 有关该 语句的信息,请参阅 配置和应用 Tricolor 标记监管器。 |
|
|
与 PLP 级别不匹配。有关详细信息,请参阅 匹配条件。 |
|
|
匹配数据包中的第一个 8 位“下一个标头”字段。Junos OS 版本 13.3R6 及更高版本中提供了对防火墙匹配条件的支持 。 注:
MX 平台的 匹配项与数据包中的第一个下一个标头 (NH) 匹配,而 匹配的匹配项与最后一个 NH 匹配。
匹配数据包中的第一个 8 位“下一个标头”字段。 代替数值,您可以指定以下文本同义词之一(字段值也会列出):(51)、(60)、(8)、(50)、(44)、(47)、(0)、(1)、(58)、(58)、(2)、(4)、(41)、(135)、(59)、(89)、(103)、(43)、 (46)、(132)、(6)、 (17)或(112)。 注:
|
|
|
与标识 IPv6 报头和有效负载之间的报头类型的 8 位“下一个报头”字段不匹配。有关详情,请参阅 匹配类型。 |
|
|
匹配收到的数据包的长度(以字节为单位)。长度仅指 IP 数据包,包括数据包标头,不包括任何第 2 层封装开销。 |
|
|
与收到的数据包的长度不匹配(以字节为单位)。有关详情,请参阅 匹配类型。 |
|
|
匹配有效负载协议类型。 代替数值,您可以指定以下文本同义词之一(字段值也会列出): 您还可以使用该 条件匹配瞻博网络固件无法解释的扩展标头类型。 注:
此匹配条件仅在 MX 系列路由器上的 MPC 上受支持。通过执行相应的 SNMP MIB 来初始化包含此条件的新防火墙过滤器。 |
|
|
与有效负载协议类型不匹配。有关详情,请参阅 匹配类型。 注:
此匹配条件仅在 MX 系列路由器上的 MPC 上受支持 |
|
|
匹配 UDP 或 TCP 源或目标端口字段。 如果配置此匹配条件,则无法在同一期限内配置 匹配条件或 匹配条件。 如果配置此匹配条件,我们建议您也在同一术语中配置 或 匹配条件,以指定端口上使用的协议。 注:
对于 Junos OS 演化版,您必须在同一术语中配置 match 语句。 要代替数值,可以指定 下 列出的文本同义词之一。 |
|
|
不匹配 UDP 或 TCP 源或目标端口字段。有关详细信息,请参阅 匹配条件。 |
|
|
将源地址或目标地址字段的前缀与指定列表中的 前缀匹配,除非包含该 选项。 前缀列表在 层次结构级别定义。 |
|
|
匹配从应用操作的 过滤器接收的数据包。 |
|
|
匹配发送数据包的源节点的 IPv6 地址,除非包含该 选项。 不能在同一术语中同时 指定 和 匹配条件。 |
|
|
匹配一个或多个指定的源类名(组合在一起并给定类名的源前缀集)。 有关详细信息,请参阅 基于地址类的防火墙过滤器匹配条件。基于地址类的防火墙过滤器匹配条件 |
|
|
不要匹配一个或多个指定的源类名。有关详细信息,请参阅 匹配条件。 |
|
|
匹配 UDP 或 TCP 源端口字段。 不能在同一术语中指定 和 匹配条件。 如果配置此匹配条件,我们建议您也在同一术语中配置 或 匹配条件,以指定端口上使用的协议。 注:
对于 Junos OS 演化版,您必须在同一术语中配置 or match 语句。 要代替数值,您可以指定与匹配条件一起 列出的文本同义词之一。 |
|
|
不匹配 UDP 或 TCP 源端口字段。有关详细信息,请参阅 匹配条件。 |
|
|
匹配数据包源字段 的 IPv6 地址前缀,除非包含该 选项。 指定在层次结构级别定义的 前缀列表名称。 |
|
|
匹配连接的第一个数据包以外的 TCP 数据包。这是 () 的文本同义词。 注:
此条件不会隐式检查协议是否为 TCP。要检查这一点,请指定 匹配条件。 如果配置此匹配条件,我们建议您也在同一术语中配置 匹配条件。 |
|
|
匹配 TCP 报头的 8 位 TCP 标志字段中的一个或多个低阶 6 位。 若要指定单个位字段,可以指定以下文本同义词或十六进制值:
在 TCP 会话中,SYN 标志仅在发送的初始数据包中设置,而 ACK 标志在初始数据包之后发送的所有数据包中设置。 您可以使用位字段逻辑运算符将多个标志串在一起。 有关组合位字段匹配条件,请参阅 和 匹配条件。 如果配置此匹配条件,建议您在同一术语中配置 匹配条件,以指定端口上使用TCP协议。 |
|
|
匹配 TCP 连接的初始数据包。这是 的文本 同义词。 此条件不会隐式检查协议是否为 TCP。如果配置此匹配条件,我们建议您也在同一术语中配置 匹配条件。 |
|
|
匹配指定数据包的服务等级 (CoS) 优先级的 8 位字段。 此字段以前用作 IPv4 中的服务类型 (ToS) 字段。 您可以指定 到 的 数值。 代替数值,您可以指定以下文本同义词之一(字段值也会列出):
|
|
|
不匹配指定数据包 CoS 优先级的 8 位字段。有关详细信息,请参阅 匹配说明。 |
如果在匹配条件(、 或匹配条件)中指定 IPv6 地址,请使用 RFC 4291 IP 版本 6 寻址体系结构中所述的文本表示语法。address
destination-address
source-address
有关 IPv6 地址的详细信息,请参阅 IPv6 概述和支持的 IPv6 标准。https://www.juniper.net/documentation/en_US/junos/topics/concept/routing-protocols-ipv6-overview.htmlhttps://www.juniper.net/documentation/en_US/junos/topics/reference/standards/ipv6.html
变更历史表
是否支持某项功能取决于您使用的平台和版本。 使用 Feature Explorer 查看您使用的平台是否支持某项功能。
next-header