Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Verständnis der Bedingungen für Firewall-Filter-Übereinstimmungen

Bevor Sie Bedingungen für Firewall-Filter definieren, müssen Sie verstehen, wie die Bedingungen in einem Begriff gehandhabt werden und wie Sie Schnittstellen-, numerische, Adress- und Bitfeldfilter-Übereinstimmungsbedingungen angeben, um die gewünschten Filterergebnisse zu erzielen.

Bedingungen für Filter-Übereinstimmungen

In der from Anweisung eines Firewallfilterbegriffs geben Sie die Bedingungen an, die das Paket für die in der then Anweisung durchzuführenden Aktion erfüllen muss. Alle Bedingungen müssen übereinstimmen, damit die Aktion umgesetzt wird. Die Reihenfolge, in der Sie Übereinstimmungsbedingungen angeben, ist nicht wichtig, da ein Paket alle Bedingungen in einer Laufzeit für eine Übereinstimmung erfüllen muss.

Wenn Sie mehrere Werte für dieselbe Bedingung angeben, entspricht eine Übereinstimmung auf einem dieser Werte dieser Bedingung. Wenn Sie beispielsweise mehrere IP-Quelladressen mit der source-address Anweisung angeben, entspricht ein Paket, das eine dieser IP-Quelladressen enthält, der Bedingung. In einigen Fällen können Sie mehrere Werte für dieselbe Bedingung angeben, indem Sie die möglichen Werte in eckigen Klammern umschließen, wie in:

In anderen Fällen müssen Sie mehrere Aussagen eingeben, wie in:

Wenn Sie in einem Begriff keine Übereinstimmungsbedingungen angeben, entspricht dieser Begriff allen Paketen.

Anmerkung:

Im Gegensatz zu herkömmlichen Junos OS-Firewall-Filtern können Sie die Bedingung nicht in einer Bedingungsanweisung negaten except .

Numerische Filter-Übereinstimmungsbedingungen

Sie können numerische Filter-Übereinstimmungsbedingungen angeben, die durch einen numerischen Wert wie Port- und Protokollnummern identifiziert werden. Für numerische Filterzustimmungsbedingungen geben Sie die Bedingung und einen einzelnen Wert an, den ein Feld in einem Paket enthalten muss, um als Übereinstimmung zu gelten.

Sie können den numerischen Wert auf eine der folgenden Arten angeben:

  • Einzelne Zahl: Eine Übereinstimmung tritt auf, wenn der Wert des Feldes mit der Nummer übereinstimmt. So passen Sie beispielsweise den Telnet-Datenverkehr an:

  • Text synonym für eine einzelne Zahl– Eine Übereinstimmung tritt auf, wenn der Wert des Feldes mit der Zahl übereinstimmt, die dem Synonym entspricht. So passen Sie beispielsweise den Telnet-Datenverkehr an:

  • Um mehrere Werte für die gleiche Übereinstimmungsbedingung in einem Filterbegriff anzugeben, geben Sie jeden Wert in seine eigene Übereinstimmungsanweisung ein. Beispielsweise tritt eine Übereinstimmung im folgenden Begriff auf, wenn der Wert des Quellports im Paket 22 oder 23 ist.

Schnittstellenfilter-Übereinstimmungsbedingungen

Sie können eine Schnittstellenfilter-Übereinstimmungsbedingung angeben, die mit einer Schnittstelle übereinstimmt, an der ein Paket empfangen oder übertragen wird. In diesem Beispiel gibt das endgültige Zeichen (0) die logische Einheit an. Sie können den Platzhalter (*) als Teil des Schnittstellennamens angeben. Zum Beispiel:

Beachten Sie, dass Sie einen Wert oder eine Platzhalterung für die logische Einheit angeben müssen.

Bedingungen für die Übereinstimmung von IP-Adressenfiltern

Sie können eine Adressfilter-Übereinstimmungsbedingung angeben, die mit einer IP-Quell- oder Zieladresse oder einem Präfix in einem Paket übereinstimmt. Geben Sie den Adress- oder Prefix-Typ und die Adresse oder das Präfix selbst an. Zum Beispiel:

Wenn Sie die Prefix-Länge weglassen, ist sie standardmäßig auf /32. Zum Beispiel:

Um mehr als eine IP-Adresse oder ein Präfix in einem Filterbegriff anzugeben, geben Sie jede Adresse oder das Präfix in ihre eigene Übereinstimmungsanweisung ein. Beispielsweise tritt eine Übereinstimmung im folgenden Begriff auf, wenn die Quelladresse eines Pakets mit einem der folgenden Präfixe übereinstimmt:

Bit-Feld-Filter-Übereinstimmungsbedingungen

Sie können Bitfeldfilter-Übereinstimmungsbedingungen angeben, die bestimmte Bits innerhalb bestimmter Felder in Ethernet-Frames und IP-, TCP-, UDP- und ICMP-Headern übereinstimmen. Sie geben in der Regel das Feld und das Bit innerhalb des Feldes an, das in einem Paket festgelegt werden muss, um als Übereinstimmung angesehen zu werden.

In den meisten Fällen können Sie mithilfe eines Schlüsselworts das Bit angeben, das Sie anpassen möchten. Um beispielsweise mit einem TCP-SYN-Paket zusammenzupassen, das Sie eingeben synkönnen, wie in:

Sie können auch eingeben 0x02 , da das SYN-Bit das dritte am wenigsten signifikante Bit des 8-Bit TCP-Flags-Feldes ist:

Verwenden Sie die logischen Operatoren, die in Tabelle 1beschrieben sind, um mehrere Bitfeldwerte zu entsprechen. Die Operatoren werden in der Reihenfolge von der höchsten bis zur niedrigsten Rangfolge aufgeführt. Der Betrieb wird von links nach rechts ausgewertet.

Tabelle 1: Aktionen für Firewall-Filter

Logische Operatoren

Beschreibung

!

Negation

&

Logisches UND

|

Logisches OR

Wenn Sie einen logischen Operator verwenden, umschließen Sie die Werte in Anführungszeichen und enthalten keine Leerzeichen. Die folgende Anweisung entspricht beispielsweise dem zweiten Paket eines TCP-Handshakes:

Um eine Übereinstimmung zu negaten, gehen Sie dem Wert mit einem Ausrufezeichen voraus. Die folgende Anweisung entspricht beispielsweise nur dem anfangsen Paket eines TCP-Handshakes:

Sie können Text synonyme verwenden, um einige allgemeine Bitfeld-Übereinstimmungen anzugeben. Die folgende Anweisung entspricht beispielsweise auch dem anfangsen Paket eines TCP-Handshakes: