Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Übereinstimmungsbedingungen für Firewall-Filter für VPLS-Datenverkehr

In der from Anweisung im VPLS-Filterbegriff geben Sie Bedingungen an, die das Paket erfüllen muss, damit die Aktion in der then Anweisung ausgeführt wird. Alle Bedingungen in der from Anweisung müssen übereinstimmen, damit die Aktion ausgeführt werden kann. Die Reihenfolge, in der Sie Übereinstimmungsbedingungen angeben, ist nicht wichtig, da ein Paket alle Bedingungen in einem Ausdruck erfüllen muss, damit eine Übereinstimmung auftritt.

Wenn Sie in einem Begriff keine Übereinstimmungsbedingungen angeben, stimmt dieser Begriff mit allen Paketen überein.

Eine einzelne Bedingung in einer from Anweisung kann eine Liste von Werten enthalten. Sie können z. B. numerische Bereiche angeben. Sie können auch mehrere Quelladressen oder Zieladressen angeben. Wenn eine Bedingung eine Liste von Werten definiert, tritt eine Übereinstimmung auf, wenn einer der Werte in der Liste mit dem Paket übereinstimmt.

Einzelne Bedingungen in einer from Anweisung können negiert werden. Wenn Sie eine Bedingung negieren, definieren Sie eine explizite Abweichung. Die negierte Übereinstimmungsbedingung für forwarding-class ist forwarding-class-exceptz. B. . Wenn ein Paket auf eine negierte Bedingung trifft, wird sofort davon ausgegangen, dass es nicht mit der from Anweisung übereinstimmt, und der nächste Begriff im Filter wird ausgewertet, falls vorhanden. Wenn keine Begriffe mehr vorhanden sind, wird das Paket verworfen.

Sie können einen Firewall-Filter mit Übereinstimmungsbedingungen für den VPLS-Datenverkehr (Virtual Private LAN Service) konfigurieren (family vpls). Tabelle 1 beschreibt die match-conditions Konfigurationen, die Sie auf Hierarchieebene [edit firewall family vpls filter filter-name term term-name from] konfigurieren können.

HINWEIS:

Nicht alle Übereinstimmungsbedingungen für VPLS-Datenverkehr werden auf allen Routing- oder Switching-Plattformen unterstützt. Eine Reihe von Übereinstimmungsbedingungen für VPLS-Datenverkehr werden nur auf universellen 5G-Routing-Plattformen der MX-Serie unterstützt.

In der VPLS-Dokumentation wird das Wort Router in Begriffen wie PE-Router verwendet, um sich auf jedes Gerät zu beziehen, das Routing-Funktionen bereitstellt.
Tabelle 1: Übereinstimmungsbedingungen für Firewall-Filter für VPLS-Datenverkehr

Übereinstimmungsbedingung

Beschreibung

destination-mac-address address

Stimmt mit der MAC-Adresse (Media Access Control) des Ziels eines VPLS-Pakets überein.

destination-port number

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmt mit dem Feld UDP- oder TCP-Zielport überein.

Es ist nicht möglich, sowohl die Übereinstimmungsbedingung als destination-port auch die portÜbereinstimmungsbedingung im selben Begriff anzugeben.

Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Portnummern werden ebenfalls aufgelistet): afs ( 1483), bgp (179), biff (512), bootpc (68), bootps (67), cmd (514), cvspserver (2401), dhcp (67), domain (53), eklogin (2105), ekshell (2106), exec (512), finger (79), ftp (21), ftp-data (20), http (80), https (443), ident (113), imap (143), kerberos-sec (88), klogin (543), kpasswd (761), krb-prop (754), krbupdate (760), kshell (544), ldap (389), ldp (646), login (513), mobileip-agent (434), mobilip-mn (435), msdp (639), netbios-dgm (138), netbios-ns (137), netbios-ssn (139), nfsd (2049), nntp (119), ntalk (518), ntp (123), pop3 (110), pptp (1723), printer (515), radacct (1813), radius (1812), rip (520), rkinit (2108), smtp (25), snmp (161), snmptrap (162), snpp (444), socks (1080), ssh (22), sunrpc (111), syslog (514), tacacs ((49), tacacs-ds (65), talk (517), telnet (23), tftp (69), timed (525), who (513) oder xdmcp (177).

destination-port-except number

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmen Sie im Feld für den TCP- oder UDP-Zielport nicht überein. Es ist nicht möglich, sowohl die Übereinstimmungsbedingung als destination-port auch die portÜbereinstimmungsbedingung im selben Begriff anzugeben.

destination-prefix-list name

(Nur Router der ACX-Serie, Router der MX-Serie und Switches der EX-Serie) Zielpräfixe in der angegebenen Liste abgleichen. Geben Sie den Namen einer Präfixliste an, die auf der [edit policy-options prefix-list prefix-list-nameHierarchieebene ] definiert ist.

HINWEIS:

VPLS-Präfixlisten unterstützen nur IPv4-Adressen. IPv6-Adressen, die in einer VPLS-Präfixliste enthalten sind, werden verworfen.

destination-prefix-list name except

(Nur Router der MX-Serie und Switches der EX-Serie) Übereinstimmung mit Zielpräfixen in der angegebenen Liste nicht. Weitere Informationen finden Sie unter Übereinstimmungsbedingung destination-prefix-list .

dscp number

(Nur Router der MX-Serie und Switches der EX-Serie) Übereinstimmung mit dem Codepunkt für differenzierte Dienste (Differentiated Services, DSCP). Das DiffServ-Protokoll verwendet das ToS-Byte (Type-of-Service) im IP-Header. Die höchstwertigen 6 Bits dieses Bytes bilden den DSCP. Weitere Informationen finden Sie unter Grundlegendes dazu, wie Verhaltensaggregatklassifizierer vertrauenswürdigen Datenverkehr priorisieren.

Sie können einen numerischen Wert von 0 bis 63angeben. Um den Wert in hexadezimaler Form anzugeben, schließen Sie ihn als Präfix ein 0x . Um den Wert in binärer Form anzugeben, fügen Sie ihn als Präfix ein. b

Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet):

  • RFC 3246, An Expedited Forwarding PHB (Per-Hop Behavior),definiert einen Codepunkt: ef(46).

  • RFC 2597, Assured Forwarding PHB Group, definiert 4 Klassen mit 3 Drop-Prioritäten in jeder Klasse für insgesamt 12 Codepunkte:

af11 ( 10), af12 (12), af13 (14),

af21 ( 18), af22 (20), af23 (22),

af31 ( 26), af32 (28), af33 (30),

af41 ( 34), af42 (36), af43 (38)

dscp-except number

(Nur Router der MX-Serie und Switches der EX-Serie) Nicht übereinstimmen auf dem DSCP. Weitere Informationen finden Sie in der Übereinstimmungsbedingung dscp .

ether-type values

Ordnen Sie das 2-Oktett-Feld IEEE 802.3 Length/EtherType dem angegebenen Wert oder der Liste von Werten zu.

Sie können Dezimal- oder Hexadezimalwerte zwischen 0 und 65535 (0xFFFF) angeben. Ein Wert zwischen 0 und 1500 (0x05DC gibt die Länge eines Frames der Ethernet-Version 1 an. Ein Wert zwischen 1536 (0x0600) und 65535 gibt den EtherType (Art des MAC-Client-Protokolls) eines Ethernet-Frames der Version 2 an.

Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Hexadezimalwerte werden ebenfalls aufgelistet): aarp ( 0x80F3), appletalk (0x809B), arp (0x0806), ipv4 (0x0800), ipv6 (0x86DD), mpls-multicast (0x8848), mpls-unicast (0x8847), oam (0x8902), ppp (0x880B), pppoe-discovery (0x8863), pppoe-session (0x8864) oder sna (0x80D5).

ether-type-except values

Gleichen Sie das Feld "Länge/EtherTyp" mit 2 Oktetten nicht mit dem angegebenen Wert oder der angegebenen Werteliste ab.

Weitere Informationen zum Angeben von , valuesfinden Sie in der ether-type Übereinstimmungsbedingung.

flexible-match-mask value

bit-length

Ab Junos OS 14.2 werden flexible Offsetfilter in Firewall-Hierarchiekonfigurationen unterstützt.

Länge der abzugleichenden Daten in Bits, nicht benötigt für String-Eingabe (0..128)

bit-offset

Bit-Offset nach dem (Match-Start + Byte) Offset (0..7)

byte-offset

Byte-Offset nach dem Startpunkt des Spiels

flexible-mask-name

Wählen Sie eine flexible Übereinstimmung aus einem vordefinierten Vorlagenfeld aus

mask-in-hex

Maskieren Sie Bits in den Paketdaten, die abgeglichen werden sollen

match-start

Startpunkt für den Abgleich im Paket

prefix

Abzugleichende Wertdaten/Zeichenfolge
 

flexible-match-range value

bit-length

Länge der abzugleichenden Daten in Bit (0..32)

bit-offset

Bit-Offset nach dem (Match-Start + Byte) Offset (0..7)

byte-offset

Byte-Offset nach dem Startpunkt des Spiels

flexible-range-name

Wählen Sie eine flexible Übereinstimmung aus einem vordefinierten Vorlagenfeld aus

match-start

Startpunkt für den Abgleich im Paket

range

Wertebereich, der abgeglichen werden soll

range-except

Übereinstimmung mit diesem Wertebereich nicht
 

forwarding-class class

Entspricht der Weiterleitungsklasse. Geben Sie , best-effort, expedited-forwardingoder network-control.assured-forwarding

forwarding-class-except class

Sie stimmen nicht mit der Weiterleitungsklasse überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung forwarding-class .

icmp-code message-code

Stimmen Sie mit dem Feld ICMP-Nachrichtencode überein.

Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die next-header icmp Übereinstimmungsbedingung oder next-header icmp6 im selben Begriff konfigurieren.

Wenn Sie diese Übereinstimmungsbedingung konfigurieren, müssen Sie auch die icmp-type message-type Übereinstimmungsbedingung im selben Begriff konfigurieren. Ein ICMP-Meldungscode liefert spezifischere Informationen als ein ICMP-Meldungstyp, die Bedeutung eines ICMP-Meldungscodes hängt jedoch vom zugeordneten ICMP-Meldungstyp ab.

Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet). Die Schlüsselwörter werden nach dem ICMP-Typ gruppiert, dem sie zugeordnet sind:

  • Parameter-Problem: ip6-header-bad ( 0), unrecognized-next-header (1), unrecognized-option (2)

  • Zeitüberschreitung: ttl-eq-zero-during-reassembly ( 1), ttl-eq-zero-during-transit (0)

  • destination-unreachable: address-unreachable ( 3), administratively-prohibited (1), no-route-to-destination (0), port-unreachable (4)

icmp-code-except message-code

Stimmen Sie nicht mit dem ICMP-Meldungscodefeld überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung icmp-code .

icmp-code number

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmen Sie mit dem Feld ICMP-Nachrichtencode überein.

Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die ip-protocol icmp Übereinstimmungsbedingung oder ip-protocol icmp6 im selben Begriff konfigurieren.

Wenn Sie diese Übereinstimmungsbedingung konfigurieren, müssen Sie auch die icmp-type message-type Übereinstimmungsbedingung im selben Begriff konfigurieren. Ein ICMP-Meldungscode liefert spezifischere Informationen als ein ICMP-Meldungstyp, die Bedeutung eines ICMP-Meldungscodes hängt jedoch vom zugeordneten ICMP-Meldungstyp ab.

Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet). Die Schlüsselwörter werden nach dem ICMP-Typ gruppiert, dem sie zugeordnet sind:

  • Parameter-Problem: ip6-header-bad ( 0), unrecognized-next-header (1), unrecognized-option (2)

  • Zeitüberschreitung: ttl-eq-zero-during-reassembly ( 1), ttl-eq-zero-during-transit (0)

  • destination-unreachable: address-unreachable ( 3), administratively-prohibited (1), no-route-to-destination (0), port-unreachable (4)

icmp-code-except number

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmen Sie nicht mit dem ICMP-Code-Feld überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung icmp-code .

interface interface-name

Schnittstelle, auf der das Paket empfangen wurde. Sie können eine Übereinstimmungsbedingung konfigurieren, die Pakete basierend auf der Schnittstelle, auf der sie empfangen wurden, abgleicht.

HINWEIS:

Wenn Sie diese Übereinstimmungsbedingung mit einer Schnittstelle konfigurieren, die nicht vorhanden ist, stimmt der Begriff mit keinem Paket überein.

interface-group group-number

Ordnen Sie die logische Schnittstelle, auf der das Paket empfangen wurde, der angegebenen Schnittstellengruppe oder Gruppe von Schnittstellengruppen zu. Geben Sie für group-numbereinen einzelnen Wert oder einen Wertebereich von 0 bis an 255.

Um einer Schnittstellengruppe group-numbereine logische Schnittstelle zuzuordnen, geben Sie die auf Hierarchieebene [interfaces interface-name unit number family family filter group] angroup-number .

Weitere Informationen finden Sie unter Filtern von Paketen, die in einer Gruppe von Schnittstellengruppen empfangen wurden – Übersicht.

HINWEIS:

Diese Übereinstimmungsbedingung wird auf T4000 Typ 5 FPCs nicht unterstützt.

interface-group-except group-name

Ordnen Sie die logische Schnittstelle, auf der das Paket empfangen wurde, nicht der angegebenen Schnittstellengruppe oder Gruppe von Schnittstellengruppen zu. Weitere Informationen finden Sie in der Übereinstimmungsbedingung interface-group .

HINWEIS:

Diese Übereinstimmungsbedingung wird auf T4000 Typ 5 FPCs nicht unterstützt.

interface-set interface-set-name

Ordnen Sie die Schnittstelle, auf der das Paket empfangen wurde, der angegebenen Schnittstellengruppe zu.

Um eine Schnittstellenmenge zu definieren, fügen Sie die interface-set Anweisung auf Hierarchieebene [edit firewall] ein. Weitere Informationen finden Sie unter Filtern von Paketen, die in einer Schnittstellengruppe empfangen wurden – Übersicht.

ip-address address

(Nur Router der MX-Serie und Switches der EX-Serie) 32-Bit-Adresse, die die Standardsyntax für IPv4-Adressen unterstützt.

Beachten Sie, dass bei Verwendung dieses Begriffs die Übereinstimmungsbedingung IPv4 vom Ethertyp für denselben Begriff definiert werden muss.

ip-destination-address address

(Nur Router der MX-Serie und Switches der EX-Serie) 32-Bit-Adresse, bei der es sich um die endgültige Zielknotenadresse für das Paket handelt.

Beachten Sie, dass bei Verwendung dieses Begriffs die Übereinstimmungsbedingung IPv4 vom Ethertyp für denselben Begriff definiert werden muss.

ip-precedence ip-precedence-field

(Nur Router der MX-Serie und Switches der EX-Serie) Feld für die IP-Rangfolge. Anstelle des numerischen Feldwerts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): critical-ecp ( 0xa0), flash (0x60), flash-override (0x80), immediate (0x40), internet-control (0xc0), net-control (0xe0), priority (0x20) oder routine (0x00).

ip-precedence-except ip-precedence-field

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmen Sie im Feld "IP-Rangfolge" nicht überein.

ip-protocol number

(Nur Router der MX-Serie und Switches der EX-Serie) IP-Protokoll-Feld.

ip-protocol-except number

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmen Sie im Feld IP-Protokoll nicht überein.

ip-source-address address

(Nur Router der MX-Serie und Switches der EX-Serie) IP-Adresse des Quellknotens, der das Paket sendet.

Beachten Sie, dass bei Verwendung dieses Begriffs auch die Übereinstimmungsbedingung Ether-Typ IPv4 für denselben Begriff definiert werden muss.

ipv6-source-prefix-list named-list

(Nur MX-Serie) Übereinstimmung mit der IPv6-Quelladresse in einer named-list.

ipv6-address address

(Nur MX-Serie und EX9200) 128-Bit-Adresse, die die Standardsyntax für IPv6-Adressen unterstützt. Ab Junos OS 14.2 werden IPv6-Übereinstimmungskriterien für die Firewall-Familie auf Switches der MX-Serie und EX9200 unterstützt.

ipv6-destination-address address

((nur MX-Serie und EX9200) 128-Bit-Adresse, die die endgültige Zielknotenadresse für dieses Paket ist. Beachten Sie, dass bei Verwendung dieses Begriffs die Übereinstimmungsbedingung ether-type IPv6 für denselben Begriff definiert werden muss.

ipv6-destination-prefix-list named-list

(Nur MX-Serie) Übereinstimmung der IPv6-Zieladressen in einer named-list.

ipv6-next-header protocol

(Nur MX-Serie) Übereinstimmung mit IPv6 nächster Header-Protokolltyp.

Die folgende Liste zeigt die unterstützten Werte für protocol:

  • ah—IP-Sicherheits-Authentifizierungs-Header

  • dstopts—IPv6-Zieloptionen

  • egp—Externes Gateway-Protokoll

  • esp—IPSec-Sicherheitsnutzlast zur Kapselung

  • fragment—IPv6-Fragment-Header

  • gre—Generische Routing-Kapselung

  • hop-by-hop—IPv6-Hop-by-Hop-Optionen

  • icmp—Internet Control Message Protocol (Protokoll für Internetkontrollnachrichten)

  • icmp6—Internet Control Message Protocol, Version 6

  • igmp—Internet Group Management Protocol (Protokoll für die Verwaltung von Internetgruppen)

  • ipip—IP in IP

  • ipv6—IPv6 in IP

  • no-next-header—IPv6 kein nächster Header

  • ospf—Öffnen Sie zuerst den kürzesten Pfad

  • pim—Protokollunabhängiges Multicast

  • routing—IPv6-Routing-Header

  • rsvp—Protokoll für die Ressourcenreservierung

  • sctp—Stream Control Transmission Protocol (Protokoll zur Übertragung von Stromsteuerung)

  • tcp—Transmission Control Protocol (Übertragungssteuerungsprotokoll)

  • udp—User Datagram Protocol (Benutzer-Datagramm-Protokoll)

  • vrrp—Virtual Router Redundancy Protocol (Protokoll für virtuelle Router-Redundanz)

ipv6-next-header-except protocol

(Nur MX-Serie) Stimmt nicht mit dem IPv6-Protokolltyp für den nächsten Header überein.

ipv6-payload-protocol protocol

(Nur MX-Serie) Übereinstimmung mit dem IPv6-Nutzlastprotokolltyp.

Die folgende Liste zeigt die unterstützten Werte für protocol:

  • ah—IP-Sicherheits-Authentifizierungs-Header

  • dstopts—IPv6-Zieloptionen

  • egp—Externes Gateway-Protokoll

  • esp—IPSec-Sicherheitsnutzlast zur Kapselung

  • fragment—IPv6-Fragment-Header

  • gre—Generische Routing-Kapselung

  • hop-by-hop—IPv6-Hop-by-Hop-Optionen

  • icmp—Internet Control Message Protocol (Protokoll für Internetkontrollnachrichten)

  • icmp6—Internet Control Message Protocol, Version 6

  • igmp—Internet Group Management Protocol (Protokoll für die Verwaltung von Internetgruppen)

  • ipip—IP in IP

  • ipv6—IPv6 in IP

  • no-next-header—IPv6 kein nächster Header

  • ospf—Öffnen Sie zuerst den kürzesten Pfad

  • pim—Protokollunabhängiges Multicast

  • routing—IPv6-Routing-Header

  • rsvp—Protokoll für die Ressourcenreservierung

  • sctp—Stream Control Transmission Protocol (Protokoll zur Übertragung von Stromsteuerung)

  • tcp—Transmission Control Protocol (Übertragungssteuerungsprotokoll)

  • udp—User Datagram Protocol (Benutzer-Datagramm-Protokoll)

  • vrrp—Virtual Router Redundancy Protocol (Protokoll für virtuelle Router-Redundanz)

ipv6-payload-protocol-except protocol

(Nur MX-Serie) Sie stimmen nicht mit dem IPv6-Nutzlastprotokoll überein.

ipv6-prefix-list named-list

(Nur MX-Serie) Übereinstimmung mit der IPv6-Adresse in einer named-list.

ipv6-source-address address

(Nur MX-Serie) 128-Bit-Adresse, bei der es sich um die ursprüngliche Quellknotenadresse für dieses Paket handelt.

ipv6-traffic-class number

(Nur MX-Serie) Codepunkt für differenzierte Dienste (DSCP). Das DiffServ-Protokoll verwendet das ToS-Byte (Type-of-Service) im IP-Header. Die höchstwertigen 6 Bits dieses Bytes bilden den DSCP. Weitere Informationen finden Sie unter Grundlegendes dazu, wie Verhaltensaggregatklassifizierer vertrauenswürdigen Datenverkehr priorisieren.

Sie können einen numerischen Wert von 0 bis 63angeben. Um den Wert in hexadezimaler Form anzugeben, schließen Sie ihn als Präfix ein 0x . Um den Wert in binärer Form anzugeben, fügen Sie ihn als Präfix ein. b

Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet):

  • RFC 3246, An Expedited Forwarding PHB (Per-Hop Behavior),definiert einen Codepunkt: ef(46).

  • RFC 2597, Assured Forwarding PHB Group, definiert 4 Klassen mit 3 Drop-Prioritäten in jeder Klasse für insgesamt 12 Codepunkte:

af11 ( 10), af12 (12), af13 (14),

af21 ( 18), af22 (20), af23 (22),

af31 ( 26), af32 (28), af33 (30),

af41 ( 34), af42 (36), af43 (38)

ipv6-traffic-class-except number

Stimmen Sie nicht mit dem DSCP numberüberein.

learn-vlan-1p-priority number

(Nur Router der MX-Serie, M320-Router und Switches der EX-Serie) Übereinstimmung mit den IEEE 802.1p-gelernten VLAN-Prioritätsbits im VLAN-Tag des Anbieters (das einzige Tag in einem Single-Tag-Frame mit 802.1Q-VLAN-Tags oder das äußere Tag in einem Dual-Tag-Frame mit 802.1Q-VLAN-Tags). Geben Sie einen oder mehrere Werte von 0 bis 7an.

Vergleichen Sie mit der Übereinstimmungsbedingung user-vlan-1p-priority .

HINWEIS:

Diese Übereinstimmungsbedingung unterstützt das Vorhandensein eines Steuerworts für Router der MX-Serie und den M320-Router.

learn-vlan-1p-priority-except number

(Nur Router der MX-Serie, M320-Router und Switches der EX-Serie) Stimmen Sie nicht mit den IEEE 802.1p-gelernten VLAN-Prioritätsbits überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung learn-vlan-1p-priority .

HINWEIS:

Diese Übereinstimmungsbedingung unterstützt das Vorhandensein eines Steuerworts für Router der MX-Serie und den M320-Router.

learn-vlan-dei

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmt mit dem DEI-Bit (Drop Eligability Indicator) der Benutzer-VLAN-ID überein.

learn-vlan-dei-except

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmt nicht mit dem VLAN-ID-DEI-Bit des Benutzers überein.

learn-vlan-id number

(Nur Router der MX-Serie und Switches der EX-Serie) VLAN-Kennung, die für MAC-Lernen verwendet wird.

learn-vlan-id-except number

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmen Sie nicht mit der VLAN-Kennung überein, die für das MAC-Lernen verwendet wird.

loss-priority level

Paketverlust-Prioritätsstufe (PLP). Geben Sie eine einzelne Ebene oder mehrere Ebenen an: low, medium-low, medium-highoder high.

Unterstützt auf M120- und M320-Routern; M7i- und M10i-Router mit dem erweiterten CFEB (CFEB-E); und Router der MX-Serie.

Für IP-Datenverkehr auf Routern der Serien M320, MX und T mit Enhanced II Flexible PIC Concentrators (FPCs) und Switches der EX-Serie müssen Sie die tri-color Anweisung auf Hierarchieebene [edit class-of-service] einfügen, um eine PLP-Konfiguration mit einer der vier angegebenen Ebenen zu bestätigen. Wenn die tri-color Anweisung nicht aktiviert ist, können Sie nur die high Ebenen und low konfigurieren. Dies gilt für alle Protokollfamilien.

Weitere Informationen zur tri-color Anweisung und zur Verwendung von BA-Klassifizierern (Behavior Aggregate) zum Festlegen der PLP-Ebene eingehender Pakete finden Sie unter Grundlegendes zum Zuweisen von Klassen zu Ausgabewarteschlangen.

loss-priority-except level

Nicht übereinstimmen mit der Prioritätsstufe Paketverlust. Geben Sie eine einzelne Ebene oder mehrere Ebenen an: low, medium-low, medium-highoder high.

Informationen zur Verwendung von BA-Klassifizierern (Behavior Aggregate) zum Festlegen der PLP-Ebene eingehender Pakete finden Sie unter Grundlegendes zur Priorisierung von vertrauenswürdigem Datenverkehr durch verhaltensaggregierte Klassifizierer.

port number

(Nur Router der MX-Serie und Switches der EX-Serie) TCP- oder UDP-Quell- oder Zielport. Sie können nicht sowohl die Übereinstimmungsbedingung port als auch die destination-port Übereinstimmungsbedingung "oder source-port " im selben Begriff angeben.

port-except number

(Nur Router der MX-Serie und Switches der EX-Serie) Übereinstimmung nicht auf dem TCP- oder UDP-Quell- oder Zielport. Sie können nicht sowohl die Übereinstimmungsbedingung port als auch die destination-port Übereinstimmungsbedingung "oder source-port " im selben Begriff angeben.

prefix-list name

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmt mit den Ziel- oder Quellpräfixen in der angegebenen Liste überein. Geben Sie den Namen einer Präfixliste an, die auf der [edit policy-options prefix-list prefix-list-nameHierarchieebene ] definiert ist.

HINWEIS:

VPLS-Präfixlisten unterstützen nur IPV4-Adressen. IPV6-Adressen, die in einer VPLS-Präfixliste enthalten sind, werden verworfen.

prefix-list name except

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmen Sie nicht mit den Ziel- oder Quellpräfixen in der angegebenen Liste überein. Weitere Informationen finden Sie unter Übereinstimmungsbedingung destination-prefix-list .

source-mac-address address

Quell-MAC-Adresse eines VPLS-Pakets.

source-port number

(Nur Router der MX-Serie und Switches der EX-Serie) TCP- oder UDP-Quellportfeld. Sie können die port Bedingungen und source-port übereinstimmen nicht im selben Begriff angeben.

source-port-except number

(Nur Router der MX-Serie und Switches der EX-Serie) Übereinstimmung im Feld TCP- oder UDP-Quellport nicht. Sie können die port Bedingungen und source-port übereinstimmen nicht im selben Begriff angeben.

source-prefix-list name

(Nur Router der ACX-Serie, Router der MX-Serie und Switches der EX-Serie) Stimmt mit den Quellpräfixen in der angegebenen Präfixliste überein. Geben Sie einen Präfixlistennamen an, der auf Hierarchieebene [edit policy-options prefix-list prefix-list-name] definiert ist.

HINWEIS:

VPLS-Präfixlisten unterstützen nur IPV4-Adressen. IPV6-Adressen, die in einer VPLS-Präfixliste enthalten sind, werden verworfen.

source-prefix-list name except

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmen Sie nicht mit den Quellpräfixen in der angegebenen Präfixliste überein. Weitere Informationen finden Sie unter Übereinstimmungsbedingung source-prefix-list .

tcp-flags flags

Entspricht einem oder mehreren der niederwertigen 6 Bits im Feld 8-Bit-TCP-Flags im TCP-Header.

Um einzelne Bitfelder anzugeben, können Sie die folgenden Textsynonyme oder Hexadezimalwerte angeben:

  • fin(0x01)

  • syn(0x02)

  • rst(0x04)

  • push(0x08)

  • ack(0x10)

  • urgent(0x20)

In einer TCP-Sitzung wird das SYN-Flag nur im ursprünglich gesendeten Paket gesetzt, während das ACK-Flag in allen Paketen festgelegt wird, die nach dem ursprünglichen Paket gesendet werden.

Sie können mehrere Flags mithilfe der logischen Bitfeldoperatoren aneinanderreihen.

Wenn Sie diese Übereinstimmungsbedingung für IPv6-Datenverkehr konfigurieren, empfehlen wir, dass Sie auch die next-header tcp Übereinstimmungsbedingung im selben Begriff konfigurieren, um anzugeben, dass das TCP-Protokoll auf dem Port verwendet wird.

traffic-type type-name

(Nur Router der MX-Serie und Switches der EX-Serie) Art des Datenverkehrs. Geben Sie , multicast, unknown-unicastoder known-unicast.broadcast

traffic-type-except type-name

(Nur Router der MX-Serie und Switches der EX-Serie) Nicht übereinstimmend mit dem Datenverkehrstyp. Geben Sie , multicast, unknown-unicastoder known-unicast.broadcast

user-vlan-1p-priority number

(Nur Router der MX-Serie, M320-Router und Switches der EX-Serie) Übereinstimmung mit den IEEE 802.1p-Benutzerprioritätsbits im Kunden-VLAN-Tag (das innere Tag in einem Dual-Tag-Frame mit 802.1Q-VLAN-Tags). Geben Sie einen oder mehrere Werte von 0 bis 7an.

Vergleichen Sie mit der Übereinstimmungsbedingung learn-vlan-1p-priority .

HINWEIS:

Diese Übereinstimmungsbedingung unterstützt das Vorhandensein eines Steuerworts für Router der MX-Serie und den M320-Router.

user-vlan-1p-priority-except number

(Nur Router der MX-Serie, M320-Rouer und Switches der EX-Serie) Stimmen nicht mit den IEEE 802.1p-Benutzerprioritätsbits überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung user-vlan-1p-priority .

HINWEIS:

Diese Übereinstimmungsbedingung unterstützt das Vorhandensein eines Steuerworts für Router der MX-Serie und den M320-Router.

user-vlan-id number

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmt mit der ersten VLAN-Kennung überein, die Teil der Nutzlast ist.

user-vlan-id-except number

(Nur Router der MX-Serie und Switches der EX-Serie) Stimmt nicht mit der ersten VLAN-Kennung überein, die Teil der Nutzlast ist.

vlan-ether-type value

VLAN-Ethernet-Typfeld eines VPLS-Pakets.

vlan-ether-type-except value

Stimmen Sie nicht mit dem VLAN-Ethernet-Typ eines VPLS-Pakets überein.
HINWEIS:

Bei Übereinstimmungen flexible-match-mask und flexible-match-range Match-Start-Layer-4, die für den Abgleich über IPV6 verwendet wird, funktioniert der Header nicht für Filter der L2-Familie wie "Bridge, CCC, VPLS". Verwenden Sie stattdessen Layer-3 mit entsprechendem Offset, um über IPV6-Nutzlastfelder abzugleichen.
HINWEIS:

Die Commit-Prüfung gibt einen Fehler aus, wenn traffic-type known-unicast oder traffic-type unknown-unicast nicht unterstützt wird.

Verwandte Themen

Tabellarischer Änderungsverlauf

Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie Feature Explorer, um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.

Release
Beschreibung
14.2
Ab Junos OS 14.2 werden flexible Offsetfilter in Firewall-Hierarchiekonfigurationen unterstützt.
14.2
Ab Junos OS 14.2 werden IPv6-Übereinstimmungskriterien für die Firewall-Familie auf Switches der MX-Serie und EX9200 unterstützt.