Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Bedingungen für die Übereinstimmung mit Servicefiltern für IPv4- oder IPv6-Datenverkehr

Service-Filter unterstützen nur eine Untergruppe des Zustandslosen Firewall-Filters und Bedingungen für den IPv4- und IPv6-Datenverkehr. Tabelle 1 beschreibt die Bedingungen für die Übereinstimmungen der Servicefilter.

Tabelle 1: Bedingungen für die Übereinstimmung mit Servicefiltern für IPv4- oder IPv6-Datenverkehr

Bedingungen erfüllen

Beschreibung

Protokollfamilien

address address

Dem IP-Quell- oder Zieladressenfeld übereinstimmen.

  • family inet

  • family inet6

 

address address except

Nicht dem IP-Quell- oder Zieladressenfeld übereinstimmen.

  • family inet

  • family inet6

 

ah-spi spi-value

(M Series-Router, außer M120 und M320) Passen Sie den Wert des IPsec Authentication Header (AH) Security Parameter Index (SPI) an.

  • family inet

 

ah-spi-except spi-value

(M Series-Router, außer M120 und M320) Passen Sie nicht dem IPsec AH SPI-Wert an.

  • family inet

 

destination-address address

Dem IP-Zieladressenfeld übereinstimmen.

Sie können nicht sowohl die address Bedingungen als auch die Bedingungen im gleichen Begriff destination-address angeben.

  • family inet

  • family inet6

 

destination-address address except

Nicht dem IP-Zieladressenfeld übereinstimmen.

Sie können nicht sowohl die address Bedingungen als auch die Bedingungen im gleichen Begriff destination-address angeben.

  • family inet

  • family inet6

 

destination-port number

Passen Sie das UDP- oder TCP-Zielportfeld an.

Sie können nicht sowohl die port Bedingungen als auch die Bedingungen im gleichen Begriff destination-port angeben.

Wenn Sie diese Bedingungen für den IPv4-Datenverkehr konfigurieren, empfehlen wir Ihnen, die Oder-Übereinstimmungs-Anweisung im selben Begriff zu konfigurieren, um anzugeben, welches Protokoll für den Port protocol udpprotocol tcp verwendet wird.

Wenn Sie diese Bedingungen für die Übereinstimmungsbedingung für IPv6-Datenverkehr konfigurieren, empfehlen wir Ihnen, die Bedingungen im selben Begriff zu konfigurieren, um anzugeben, welches Protokoll für den Port next-header udpnext-header tcp verwendet wird.

Sie können an der Stelle des numerischen Werts eines der folgenden Text Synonyme angeben (die Portnummern sind ebenfalls aufgelistet): afs(1483), bgp (179), biff (512), bootpcbootps (68), (67), cmdcvspserver (514), (2401), dhcp (67), domaineklogin (53), ekshell (2105), (2106) exec (512), fingerftp (21) ftp-data (20), http (80), https (443), ident (113), imap (143), kerberos-sec (88), klogin (543), kpasswd (761), krb-prop (754), krbupdate (760), kshell (544), ldap (389), ldp (646), login (513), mobileip-agent (434) mobilip-mnmsdp (435) (639), netbios-dgm (138), netbios-ns (137), netbios-ssn (139), nfsd (2049), nntp (119), ntalk (518), ntp (123), pop3 (110), pptp (1723), printerradacct (515), (1813) radius (1812) riprkinit (520) (2108) smtp und (2 5), snmp (161), snmptrap (162), snpp (444), socks (1080), ssh (22), sunrpc (111), syslog (514), tacacs (49), tacacs-ds (65), talk (517) telnettftp (23), (69), timed (525) oder whoxdmcp (177).

  • family inet

  • family inet6

 

destination-port-except number

Nicht dem UDP- oder TCP-Zielportfeld übereinstimmen. Details finden Sie in der destination-port Übereinstimmungsbeschreibung.

  • family inet

  • family inet6

family inet6

destination-prefix-list name

Passen Sie die Liste der Ziel-Präfixe an. Die Prefix-Liste wird auf der [edit policy-options prefix-list prefix-list-name ] Hierarchieebene definiert.

  • family inet

  • family inet6

 

esp-spi value

Passen Sie den SPI-Wert für IPsec-Kapselung der Security Payload (ESP) an. Geben Sie einen einzelnen Wert oder einen Bereich von Werten an. Sie können einen Wert in Hexadezimal-, Binär- oder Dezimalform angeben. Um den Wert in Hexadezimalform anzugeben, geben Sie 0x als Präfix ein. Um den Wert in binärer Form anzugeben, geben Sie b als Präfix ein.

  • family inet

  • family inet6

 

esp-spi-except value

Nicht dem IPsec ESP-SPI-Wert oder -Bereich von Werten übereinstimmen. Details finden Sie in der esp-spi Bedingungen für die Übereinstimmung.

  • family inet

  • family inet6

 

first-fragment

Geben Sie an, ob das Paket das erste Fragment eines fragmentierten Pakets ist. Nicht übereinstimmen, wenn es sich um ein Fragment eines fragmentierten Pakets handelt. Das erste Fragment eines fragmentierten Pakets hat einen Fragment-Ausgleichswert 0 von.

Diese Übereinstimmungsbedingung ist ein Alias für die Bedingungen für die fragment-offset 0 Bit-Feld-Übereinstimmungsbedingung.

Um fragmentierte Zustände zuerst und mit "Trailing" zu spezifizieren, können Sie zwei Begriffe verwenden, die unterschiedliche Bedingungen angeben: first-fragment und is-fragment .

  • family inet

 

forwarding-class

Matchen Sie eine oder mehrere der folgenden angegebenen Paketweiterleitungsklassen an:

  • assured-forwarding

  • best-effort

  • expedited-forwarding

  • network-control

  • user-defined-name

Informationen zu Weiterleitungsklassen und internen Router-Output-Warteschlangen finden Sie unter Informationen dazu, wie Weiterleitungsklassen Klassen Ausgangswarteschlangen zuweisen.

  • family inet

  • family inet6

forwarding-class-except

Nicht mit einer oder zwei der folgenden angegebenen Paketweiterleitungsklassen übereinstimmen:

  • assured-forwarding

  • best-effort

  • expedited-forwarding

  • network-control

  • user-defined-name

  • family inet

  • family inet6

fragment-flags number

(nur ingress) Passen Sie das Feld mit den Drei-Bit-IP-Fragmentierungs-Flags im IP-Header an.

An Stelle des numerischen Feldwerts können Sie einen der folgenden Keywords angeben (die Feldwerte sind ebenfalls aufgelistet): dont-fragment(0x4), more-fragments (0x2) oder reserved (0x8).

  • family inet

 

fragment-offset number

Gleichen Sie das 13-Bit-Fragment-Versetztfeld im IP-Header aus. Der Wert ist der Ausgleich in 8-Byte-Einheiten in der Gesamtdatengrammnachricht zum Datenfragment. Geben Sie einen numerischen Wert, einen Bereich von Werten oder eine Reihe von Werten an. Ein Wert des 0 Ausgleichs gibt das erste Fragment eines fragmentierten Pakets an.

Der first-fragment Bedingungen einer Übereinstimmung ist ein Alias für die fragment-offset 0 Übereinstimmungsbedingung.

Zum Abspielen der ersten und der nachfingenden Fragmente können Sie zwei Begriffe verwenden, die unterschiedliche Übereinstimmungsbedingungen first-fragment (und is-fragment ) angeben.

  • family inet

 

fragment-offset-except number

Gleichen Sie das 13-Bit-Fragment-Versatzfeld nicht aus.

  • family inet

 

interface-group group-number

Passen Sie die Schnittstellengruppe (Gruppe von einer oder mehrere logischen Schnittstellen) an, an der das Paket empfangen wurde. Geben group-number Sie einen Wert von bis 0255 an.

Informationen zum Konfigurieren von Schnittstellengruppen finden Sie unter Filtern von Paketen, die an eine Gruppe von Schnittstellengruppen empfangen werden .

  • family inet

  • family inet6

 

interface-group-except group-number

Nicht mit der Schnittstellengruppe übereinstimmen, in der das Paket empfangen wurde. Details finden Sie unter interface-group Bedingungen für Übereinstimmungen.

  • family inet

  • family inet6

 

ip-options values

Passen Sie das 8-Bit-IP-Optionsfeld, wenn vorhanden, dem angegebenen Wert oder einer Liste von Werten an.

Sie können eines der folgenden Text synonym für einen numerischen Wert angeben (die Optionswerte sind ebenfalls aufgelistet): loose-source-route(131), record-route (7), router-alert (148), security (130), stream-id (136) strict-source-route oder timestamp (137) oder (68).

Verwenden Sie das Text-Synonym, um einen beliebigen Wert für die IP-Option zu any erhalten. Um auf mehreren Werten zu abgestimmt zu sein, geben Sie die Liste der Werte in den quadratischen Klammern (' und ' [ ' ] ein. Um einer Reihe von Werten zu entsprechen, verwenden Sie die Wertspezifikation. value1-value2 ]

Die Übereinstimmungsbedingung entspricht z. B. einem IP-Optionsfeld, das den Wert 0 bis 147 oder einen anderen Wert von ip-options [ 0-147 ]loose-source-routerecord-routesecurity 0 bis 147 enthält. Diese Übereinstimmungsbedingung passt jedoch nicht zu einem IP-Optionsfeld, das nur den Wert router-alert (148) enthält.

Bei den meisten Schnittstellen wird ein Filterbegriff, der eine Übereinstimmung für einen oder mehrere spezifische IP-Optionswerte angibt (ein anderer Wert als ) bewirkt, dass Pakete an die Routing-Engine gesendet werden, sodass der Kern das IP-Optionsfeld im Paket-Header analysieren ip-optionany kann.

  • Für einen Firewall-Filtertermin, der eine Übereinstimmung für einen oder mehrere spezifische IP-Optionswerte angibt, können Sie nur dann die bzw. die nicht endenden Aktionen angeben, wenn Sie die Terminierungsaktionen im gleichen Begriff nicht ip-optioncountlogsyslogdiscard angeben. Dieses Verhalten verhindert, dass Pakete doppelt zählen und ein Filter auf eine Übertragungsschnittstelle auf dem Router (oder Switch) angewendet wird.

  • Im Fall eines Systemengpässes könnten Pakete, die im Kernel verarbeitet werden, eingestellt werden. Verwenden Sie die Bedingungen, um sicherzustellen, dass die abgestimmten Pakete stattdessen an den Packet Forwarding Engine (wo die Paketverarbeitung in der Hardware ip-options any implementiert wird) gesendet werden.

Der 10-Gigabit Ethernet Modular Port Concentrator (MPC), 60-Gigabit Ethernet MPC, 60-Gigabit Queuing Ethernet MPC, 60-Gigabit Ethernet Enhanced Queuing MPC auf Routern der MX-Serie und Switches der EX-Serie können das IP-Option-Feld des IPv4-Paket-Headers parieren. Diese Funktion wird auch auf Switches der EX-Serie unterstützt. An Schnittstellen, die auf diesen MPCs konfiguriert sind, werden alle Pakete, die mit der Bedingungen übereinstimmen, zur Packet Forwarding Engine ip-options gesendet.

family inet

  • family inet

ip-options-except values

Das IP-Optionsfeld muss nicht dem angegebenen Wert oder einer Liste von Werten übereinstimmen. Details zur Angabe der Bedingungen values finden Sie in der ip-options Übereinstimmungsbedingung.

  • family inet

 

is-fragment

Passen Sie an, ob es sich bei dem Paket um ein trailing-Fragment eines fragmentierten Pakets handelt. Nicht dem ersten Fragment eines fragmentierten Pakets übereinstimmen.

Diese Übereinstimmungsbedingung ist ein Alias für die Bit-Field Match fragment-offset 0 except Condition-Bits.

Anmerkung:

Zum Abspielen der ersten und der nachfingenden Fragmente können Sie zwei Begriffe verwenden, die unterschiedliche Übereinstimmungsbedingungen first-fragment (und is-fragment ) angeben.

  • family inet

 

loss-priority

Passen Sie eine oder mehrere der folgenden angegebenen Paketverlustprioritätsebenen (PLP) an:

  • low

  • medium-low

  • medium-high

  • high

Der PLP wird von Schedulern in Verbindung mit dem RED-Algorithmus (Random Early Discard) verwendet, um die Paketverwerfen bei Engpässen zu steuern. Informationen zu PLP Managing Congestion by Setting Packet Loss Priority for Different Traffic Flows finden Sie unter Verwalten von Überlastung durch Festlegen der Priorität bei Paketverlusten für verschiedene Datenverkehrsflüsse und Übersicht über die Zuweisung von Servicestufen zu Paketen basierend auf mehreren Paket-Headerfeldern.

  • family inet

  • family inet6

loss-priority-except

Nicht mit einer oder mehr der folgenden angegebenen Paketverlustprioritätsebenen (PLP) übereinstimmen:

  • low

  • medium-low

  • medium-high

  • high

  • family inet

  • family inet6

port number

Passen Sie das UDP-, TCP-Quell- oder Zielportfeld an.

Wenn Sie diese Bedingungen für diese Übereinstimmung konfigurieren, können Sie die Bedingungen für die Übereinstimmung und die Bedingungen nicht im destination-portsource-port selben Begriff konfigurieren.

Wenn Sie diese Bedingungen für den IPv4-Datenverkehr konfigurieren, empfehlen wir Ihnen, die Oder-Übereinstimmungs-Anweisung im selben Begriff zu konfigurieren, um anzugeben, welches Protokoll für den Port protocol udpprotoco tcp verwendet wird.

Wenn Sie diese Bedingungen für die Übereinstimmungsbedingung für IPv6-Datenverkehr konfigurieren, empfehlen wir Ihnen, die Bedingungen im selben Begriff zu konfigurieren, um anzugeben, welches Protokoll für den Port next-header udpnext-header tcp verwendet wird.

Sie können eines der unter . destination-port

  • family inet

  • family inet6

 

port-except number

Dem UDP- oder TCP-Quell- bzw. Zielportfeld nicht übereinstimmen. Details finden Sie in der port Bedingungen für die Übereinstimmung.

  • family inet

  • family inet6

 

prefix-list prefix-list-name

Passen Sie die Präfixe der Quell- oder Zieladressenfelder den Präfixen in der angegebenen Liste an. Die Prefix-Liste wird auf der [edit policy-options prefix-list prefix-list-name] Hierarchieebene definiert.

  • family inet

  • family inet6

 

protocol number

Passen Sie das Feld für den IP-Protokolltyp an.

Sie können an der Stelle des numerischen Werts eines der folgenden Text synonyme angeben (die Feldwerte sind ebenfalls aufgelistet): ah(51), dstopts (60), egp (8), esp (50), fragmentgre (44), (47), hop-by-hop (0), icmp (1), icmp6icmpv6 (58), (58), igmp (2), ipip (4), ipv6ospf (41), pim (89), (103), rsvp (46) sctp (132), tcp (6) oder udp vrrp (112).

  • family inet

protocol-except number

Dem Feld des IP-Protokolltyps nicht übereinstimmen. Details finden Sie in der protocol Bedingungen für die Übereinstimmung.

  • family inet

 

source-address address

Passen Sie die IP-Quelladresse an.

Sie können nicht sowohl die address Bedingungen als auch die Bedingungen im gleichen Begriff source-address angeben.

  • family inet

  • family inet6

 

source-address address except

Nicht mit der IP-Quelladresse übereinstimmen.

Sie können nicht sowohl die address Bedingungen als auch die Bedingungen im gleichen Begriff source-address angeben.

  • family inet

  • family inet6

 

source-port number

Passen Sie das UDP- oder TCP-Quellportfeld an.

Sie können nicht die port Bedingungen im gleichen Begriff source-port angeben.

Wenn Sie diese Bedingungen für den IPv4-Datenverkehr konfigurieren, empfehlen wir Ihnen, die Oder-Übereinstimmungs-Anweisung im selben Begriff zu konfigurieren, um anzugeben, welches Protokoll für den Port protocol udpprotocol tcp verwendet wird.

Wenn Sie diese Bedingungen für die Übereinstimmungsbedingung für IPv6-Datenverkehr konfigurieren, empfehlen wir Ihnen, die Bedingungen im selben Begriff zu konfigurieren, um anzugeben, welches Protokoll für den Port next-header udpnext-header tcp verwendet wird.

Sie können eines der Texts synonym für den numerischen Wert angeben, der mit der destination-port number Übereinstimmungsbedingung aufgelistet ist.

  • family inet

  • family inet6

 

source-port-except number

Dem UDP- oder TCP-Quellportfeld nicht übereinstimmen. Details finden Sie in der source-port Bedingungen für die Übereinstimmung.

  • family inet

  • family inet6

 

source-prefix-list name

Quell-Präfixe in der angegebenen Liste übereinstimmen. Geben Sie den Namen einer Präfixliste an, die auf der [edit policy-options prefix-list prefix-list-name ] Hierarchieebene definiert ist.

  • family inet

  • family inet6

 

tcp-flags value

Matchen Sie einen oder mehrere der niedrigeren 6 Bits im 8-Bit-TCP-Flags-Feld im TCP-Header an.

Um einzelne Bitfelder anzugeben, können Sie die folgenden Texts synonyme oder Hexadezimalwerte angeben:

  • fin(0x01)

  • syn(0x02)

  • rst(0x04)

  • push(0x08)

  • ack(0x10)

  • urgent(0x20)

In einer TCP-Sitzung wird der SYN-Flag nur im ursprünglichen Paket festgelegt, und der ACK-Flag wird in allen Paketen festgelegt, die nach dem ursprünglichen Paket gesendet werden.

Sie können mehrere Flags mithilfe der bitfeldbasierten logischen Operatoren aneinander anketten.

Kombinierte Bitfeld-Bedingungen finden Sie in den Bedingungen tcp-established und tcp-initial übereinstimmungen.

Wenn Sie diese Bedingungen für den IPv4-Datenverkehr konfigurieren, empfehlen wir Ihnen, die Übereinstimmungsauszug im selben Begriff zu konfigurieren, um anzugeben, dass das TCP-Protokoll am Port protocol tcp verwendet wird.

Wenn Sie diese Bedingungen für den IPv6-Datenverkehr konfigurieren, empfehlen wir Ihnen, die Übereinstimmungsbedingung im selben Begriff zu konfigurieren, um anzugeben, dass das TCP-Protokoll für den Port next-header tcp verwendet wird.

  • family inet

  • family inet6

 
Anmerkung:

Wenn Sie eine IPv6-Adresse in einer Übereinstimmungsbedingung (die , oder Bedingungen) angeben, verwenden Sie die Syntax für addressdestination-address in RFC source-address 4291, IP Version 6 Addressing Architecturebeschriebene Textdarstellungen. Weitere Informationen zu IPv6-Adressen finden Sie unter "IPv6 Overview" in der Junos OS Routing Protocols Library für Routinggeräte.