Firewall-Filter stimmen Bedingungen und Aktionen ab (QFX10000-Switches)
Jeder Begriff in einem Firewall-Filter besteht aus Übereinstimmungsbedingungen und einer Aktion. Übereinstimmungsbedingungen sind die Felder und Werte, die ein Paket enthalten muss, um als Übereinstimmung betrachtet zu werden. Sie können einzelne oder mehrere Übereinstimmungsbedingungen in Übereinstimmungsanweisungen definieren. Sie können auch keine Übereinstimmungsaussagen enthalten, in diesem Fall entspricht der Begriff allen Paketen.
Wenn ein Paket mit einem Filter übereinstimmt, führt der Switch die im Ausdruck angegebene Aktion aus. Darüber hinaus können Sie Aktionsmodifizierer angeben, um Pakete zu zählen, zu spiegeln, zu begrenzen und zu klassifizieren. Wenn für den Begriff keine Übereinstimmungsbedingungen angegeben sind, akzeptiert der Switch das Paket standardmäßig.
In diesem Thema werden die verschiedenen Übereinstimmungsbedingungen, Aktionen und Aktionsmodifizierer beschrieben, die Sie in Firewall-Filtern auf QFX10000-Switches definieren können. Ähnliche Informationen zu anderen QFX-Switches finden Sie unter Firewall-Filter stimmen Bedingungen und Aktionen ab (Switches der QFX- und EX-Serie).
Tabelle 1 beschreibt die Übereinstimmungsbedingungen, die Sie bei der Konfiguration eines Firewall-Filters angeben können. Einige der numerischen Bereichs- und Bitfeld-Übereinstimmungsbedingungen ermöglichen es Ihnen, ein Text-Synonym anzugeben. Geben Sie an der entsprechenden Stelle in einer Anweisung ein,
?
um eine Liste aller Synonyme für eine Übereinstimmungsbedingung zu sehen.Tabelle 2 zeigt die Aktionen an, die Sie in einem Begriff angeben können.
Tabelle 3 zeigt die Aktionsmodifizierer, mit die Sie Pakete zählen, spiegeln, begrenzen und klassifizieren können.
Übereinstimmungsbedingung |
Beschreibung |
Richtung und Schnittstelle |
---|---|---|
|
IP-Zieladressenfeld, das die Adresse des endgültigen Zielknotens ist. |
Eingangs-IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangs-IPv4-Schnittstellen (Inet) und IPv6 (inet6). Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend |
|
Mac-Adresse (Destination Media Access Control) des Pakets. |
Eingangsports und VLANs. Ausgangs-Ports und VLANs. |
|
TCP- oder UDP-Zielport-Feld. In der Regel geben Sie diese Übereinstimmung zusammen mit der
|
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangsports, VLANs, IPv4 -Schnittstellen (Inet) und IPv6 (inet6). Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend |
|
Ip-Zielpräfix-Listenfeld. Sie können eine Liste von IP-Adresspräfixen unter einem Prefix-Listen-Alias für häufige Verwendung definieren. Definieren Sie diese Liste auf |
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangsports, VLANs, IPv4 -Schnittstellen (Inet) und IPv6 (inet6). |
|
Differenzierter Services-Codepunkt (DSCP). Das DiffServ-Protokoll verwendet das Typ-of-Service-Byte (ToS) im IP-Header. Die wichtigsten 6 Bits dieses Byte bilden das DSCP. Sie können DSCP in hexadezimaler, binärer oder dezimaler Form angeben. Anstelle des numerischen Wertes können Sie eines der folgenden Text-Synonyme angeben (die Feldwerte sind auch aufgeführt):
|
Eingangsports, VLANs und IPv4 (Inet)-Schnittstellen. Ausgangsports, VLANs und IPv4(Inet)-Schnittstellen. |
|
Ethernet-Typ-Feld eines Pakets. Der EtherType-Wert gibt an, welches Protokoll im Ethernet-Frame transportiert wird. Anstelle des numerischen Wertes können Sie eines der folgenden Text-Synonyme angeben (die Feldwerte sind auch aufgeführt):
|
Eingangsports und VLANs. Ausgangs-Ports und VLANs. |
|
Klassifizieren Sie das Paket in einer der folgenden Standardweiterleitungsklassen oder in einer benutzerdefinierten Weiterleitungsklasse:
|
Ausgangsschnittstellen für IPv4 (inet) und IPv6 (inet6). |
|
IP-Fragmentierungs-Flags. Anstelle des numerischen Wertes können Sie eines der folgenden Text-Synonyme angeben (die hexadezimalen Werte sind auch aufgeführt):
|
Eingangsports, VLANs und IPv4 (Inet)-Schnittstellen. |
|
Passen Sie die angegebene Hop-Begrenzung oder gruppe von Hop-Limits an. Geben Sie einen einzelnen Wert oder einen Wertebereich von 0 bis 255 an. |
Eingangs- und Ausgangs-IPv6 (Inet6)-Schnittstellen. |
|
ICMP-Codefeld. Da die Bedeutung des Werts von dem zugehörigen
|
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangsports, VLANs, IPv4 (Inet)-Schnittstellen und IPv6 -Schnittstellen (inet6) |
|
ICMP-Nachrichtentypfeld. In der Regel geben Sie diese Übereinstimmung zusammen mit der IPv4: IPv6: Siehe auch |
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangsports, VLANs, IPv4 -Schnittstellen (Inet) und IPv6 (inet6). |
|
Schnittstelle, auf der das Paket empfangen wird, einschließlich der logischen Einheit. Sie können das Wildcard-Zeichen ( HINWEIS:
Eine Schnittstelle, von der ein Paket gesendet wird, kann nicht als Übereinstimmungsbedingung verwendet werden. |
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangs-IPv4-Schnittstellen (Inet) und IPv6 (inet6). |
|
IPv4-Adresse, die die letzte Zielknotenadresse für das Paket ist. |
Eingangsports, Ausgangsports und VLANs. Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend |
|
Geben Sie an |
Eingangsports, VLANs und IPv4 (Inet)-Schnittstellen. |
|
IP-Rangfolgefeld. Anstelle des numerischen Feldwerts können Sie eines der folgenden Text-Synonyme angeben (die Feldwerte sind auch aufgeführt): |
Eingangsports und VLANs. Ausgangs-Ports und VLANs. |
|
IP-Protokollfeld. |
Eingangsports und VLANs. Ausgangs-Ports und VLANs. Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend |
|
IPv4-Adresse des Quellknotens, der das Paket sendet. |
Eingangsports und VLANs. Ausgangs-Ports und VLANs. Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend |
|
IP-Version des Pakets. Verwenden Sie diese Bedingung, um IPv4- oder IPv6-Header-Felder im Datenverkehr abzugleichen, der über einen Layer-2-Port oder eine VLAN-Schnittstelle ankommt. |
Eingangsports und VLANs. Ausgangs-Ports und VLANs. |
|
Die Verwendung dieser Bedingung bewirkt eine Übereinstimmung, wenn das Flag "Mehr Fragmente" im IP-Header aktiviert ist oder wenn der Fragmentversatz nicht Null ist. |
Eingangsports, VLANs und IPv4 (Inet)-Schnittstellen. Ausgangs-IPv4(Inet)-Schnittstellen. |
|
Entspricht den angegebenen IEEE 802.1p VLAN-Prioritätsbits im Bereich |
Eingangsports und VLANs. Ausgangs-Ports und VLANs. |
|
Entspricht der ID eines normalen VLANs oder der ID des äußeren (Service-) VLANs (für Q-in-Q-VLANs). Um Filterspeicher am effizientesten zu verwenden und die Anzahl der möglichen Filter zu maximieren, verwenden Sie diese Bedingung zusätzlich, |
Eingangsports und VLANs. Ausgangs-Ports und VLANs. Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend |
|
Legen Sie die Paketverlustpriorität (PLP) fest. HINWEIS:
Der |
Ausgangsschnittstellen für IPv4 (inet) und IPv6 (inet6). |
|
IPv4- oder IPv6-Protokollwert. Anstelle des numerischen Wertes können Sie eines der folgenden Text-Synonyme angeben (die numerischen Werte sind auch aufgeführt):
|
Eingangs-IPv6 (Inet6)-Schnittstellen. Ausgangs-IPv6 (Inet6)-Schnittstellen. |
|
Paketlänge in Bytes. Sie müssen eine Zahl zwischen 0 und 65535 eingeben. |
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 (inet6). Ausgangs-IPv4(Inet)-Schnittstellen. |
|
IP-Precedence-Bits im ToS-Byte (Type of Service) im IP-Header. (Dieses Byte kann auch für DiffServ DSCP verwendet werden.) Anstelle des numerischen Wertes können Sie eines der folgenden Text-Synonyme angeben (die numerischen Werte sind auch aufgeführt):
|
Eingangs-IPv4(Inet)-Schnittstellen. Ausgangs-IPv4(Inet)-Schnittstellen. |
|
IPv4- oder IPv6-Protokollwert. Anstelle des numerischen Wertes können Sie eines der folgenden Text-Synonyme angeben (die numerischen Werte sind auch aufgeführt):
|
Eingangs-IPv4(Inet)-Schnittstellen. Ausgangs-IPv4(Inet)-Schnittstellen. |
|
IP-Quelladressenfeld, das die Adresse des Knotens ist, der das Paket gesendet hat. |
Eingangs-IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangs-IPv4-Schnittstellen (Inet) und IPv6 (inet6). Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend |
|
Source Media Access Control (MAC)-Adresse des Pakets. |
Eingangsports und VLANs. Ausgangs-Ports und VLANs. |
|
TCP- oder UDP-Quell-Port. In der Regel geben Sie diese Übereinstimmung zusammen mit der |
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangsports, VLANs, IPv4 -Schnittstellen (Inet) und IPv6 (inet6). Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend |
|
IP-Quellpräfixliste. Sie können eine Liste von IP-Adresspräfixen unter einem Prefix-Listen-Alias für häufige Verwendung definieren. Definieren Sie diese Liste auf |
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangsports, VLANs, IPv4 -Schnittstellen (Inet) und IPv6 (inet6). |
|
Stimmen Sie Pakete einer eingerichteten TCP-Verbindung ab. Diese Bedingung entspricht anderen Paketen als denen, die zum Einrichten einer TCP-Verbindung verwendet werden– das heißt, Drei-Wege-Handshake-Pakete werden nicht abgeglichen. Wenn Sie angeben |
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangs-IPv4(Inet)-Schnittstellen. |
|
Ein oder mehrere TCP-Flags:
|
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangs-IPv4(Inet)-Schnittstellen. |
|
Passen Sie das erste TCP-Paket einer Verbindung an. Eine Übereinstimmung tritt auf, wenn das TCP-Flag Wenn Sie angeben |
Eingangsports, VLANs, IPv4-Schnittstellen (Inet) und IPv6 -Schnittstellen (inet6). Ausgangs-IPv4(Inet)-Schnittstellen. |
|
8-Bit-Feld, das die CoS-Priorität (Class-of-Service) des Pakets angibt. Das Feld der Datenverkehrsklasse wird verwendet, um einen DiffServ-Codepunkt (DSCP)-Wert anzugeben. Dieses Feld wurde zuvor als Typ-of-Service-Feld (ToS) in IPv4 verwendet, und die Semantik dieses Feldes (z. B. DSCP) ist identisch mit der von IPv4. Sie können eines der folgenden Text-Synonyme angeben (die Feldwerte sind auch aufgeführt):
|
Eingangs-IPv6 (Inet6)-Schnittstellen. Ausgangs-IPv6 (Inet6)-Schnittstellen. |
|
IP Time-to-Live (TTL)-Feld im Dezimal. Der Wert kann 1-255 sein. |
Eingangs-IPv4(Inet)-Schnittstellen. Ausgangs-IPv4(Inet)-Schnittstellen. Eingangs-IRB-Schnittstelle für EVPN/VXLAN-Fabric, falls zutreffend |
|
Gleicht die ID des internen (Kunden-) VLANs in einem Q-in-Q-VLAN ab. Um Filterspeicher am effizientesten zu nutzen und die Anzahl der möglichen Filter zu maximieren, verwenden Sie die Verwendung in Kombination mit |
Eingangsports und VLANs. Ausgangs-Ports und VLANs. |
Verwenden Sie then
Anweisungen, um Aktionen zu definieren, die erfolgen sollen, wenn ein Paket alle Bedingungen in einer from
Anweisung erfüllt. Tabelle 2 Zeigt die Aktionen an, die Sie in einem Ausdruck angeben können. (Wenn Sie keine Anweisung enthalten then
, akzeptiert das System Pakete, die dem Filter entsprechen.)
Aktion |
Beschreibung |
---|---|
|
Akzeptieren Sie ein Paket. Dies ist die Standardaktion für Pakete, die einem Begriff entsprechen. |
|
Verwerfen Sie ein Paket unbemerkt, ohne eine ICMP-Nachricht (Internet Control Message Protocol) zu senden. |
|
Verwerfen Sie ein Paket und senden Sie eine "Ziel nicht erreichbare" ICMPv4-Nachricht (Typ 3). Konfigurieren Sie den Sie können einen der folgenden Nachrichtentypen angeben: Wenn Sie angeben Wenn Sie keinen Nachrichtentyp angeben, wird die ICMP-Benachrichtigung "Ziel nicht erreichbar" mit der Standardmeldung "Kommunikation administrativ gefiltert" gesendet. HINWEIS:
Die |
|
Leiten Sie abgeglichene Pakete an eine virtuelle Routing-Instanz weiter. (Der einzige unterstützte Instanztyp ist |
|
Leiten Sie abgeglichene Pakete an ein bestimmtes VLAN weiter. HINWEIS:
Die HINWEIS:
Diese Aktion wird auf Switches der OCX-Serie nicht unterstützt. |
Sie können auch die Aktionsmodifizierer angeben, die aufgeführt Tabelle 3 sind, um Pakete zu zählen, zu spiegeln, zu begrenzen und zu klassifizieren.
Action-Modifizierer |
Beschreibung |
---|---|
|
Zählen Sie die Anzahl der Pakete, die mit dem Begriff übereinstimmen. |
|
Klassifizieren Sie das Paket in einer der folgenden Standardweiterleitungsklassen oder in einer benutzerdefinierten Weiterleitungsklasse:
HINWEIS:
Um eine Weiterleitungsklasse zu konfigurieren, müssen Sie auch die Verlustpriorität konfigurieren. |
|
Protokollieren Sie die Header-Informationen des Pakets in der Routing-Engine. Geben Sie den HINWEIS:
Der |
|
Legen Sie die Paketverlustpriorität (PLP) fest. HINWEIS:
Der HINWEIS:
Der |
|
Senden von Paketen an einen Policer (zum Zweck der Anwendung von Rate Limiting). Sie können einen Policer für Eingangs- und Ausgangsport, VLAN, IPv4 (inet) und IPv6 (inet) Firewall-Filter angeben. HINWEIS:
Der |
|
(ELS-Plattformen) Spiegelung des Datenverkehrs (Kopieren von Paketen) an eine Ausgabeschnittstelle, die Sie können Portspiegelung für Eingangs- und Ausgangsport, VLAN, IPv4 (inet) und IPv6 (inet) Firewall-Filter angeben. |
|
(ELS-Plattformen) Spiegelung des Datenverkehrs auf eine Portspiegelungsinstanz, die Sie können Portspiegelung für Eingangs- und Ausgangsport, VLAN, IPv4 (inet) und IPv6 (inet) Firewall-Filter angeben. HINWEIS:
|
|
Protokollieren Sie eine Warnung für dieses Paket. HINWEIS:
Der |
|
Senden von Paketen an einen dreifarbigen Policer (zum Zweck der Anwendung von Rate Limiting). Sie können einen dreifarbigen Policer für Eingangs- und Ausgangsport, VLAN,IPv4 (inet) und IPv6(inet6)-Filter angeben. HINWEIS:
Der |