Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Condiciones y acciones de coincidencia del filtro de firewall (enrutadores de la serie PTX)

Condiciones y acciones de coincidencia del filtro de firewall (enrutadores de la serie PTX)

Cada término de un filtro de firewall consta de condiciones de coincidencia y una acción. Las condiciones de coincidencia son los campos y valores que debe contener un paquete para que se considere una coincidencia. Puede definir condiciones de coincidencia única o múltiple en instrucciones de coincidencia. También puede incluir ninguna instrucción de coincidencia, en cuyo caso el término coincide con todos los paquetes.

Cuando un paquete coincide con un filtro, el enrutador realiza la acción especificada en el término. Además, puede especificar modificadores de acción para contar, reflejar, limitar la velocidad y clasificar paquetes. Si no se especifican condiciones de coincidencia para el término, el enrutador acepta el paquete de forma predeterminada.

Por PTX10003, puede aplicar varios filtros de firewall a una sola interfaz como una sola lista de entrada o lista de salida ().filter input-list and output-list De esta manera, solo se administra la configuración de una tarea de filtrado en un único filtro de firewall. Esto le da flexibilidad en entornos grandes cuando tiene un dispositivo configurado con muchas interfaces. Puede hacer lo mismo en la PTX10008, pero el enrutador solo admite la aplicación de múltiples filtros de firewall a una sola lista de entrada.

  • Tabla 1 Describe las condiciones de coincidencia que puede especificar al configurar un filtro de firewall. Algunas de las condiciones de coincidencia de rango numérico y campo de bits permiten especificar un sinónimo de texto. Para ver una lista de todos los sinónimos de una condición de coincidencia, escriba en el lugar apropiado de una instrucción.?

  • Tabla 2 Muestra las acciones y modificadores de acción que se pueden especificar en un término.

Tabla 1: Condiciones de coincidencia admitidas

Condición de coincidencia

Description

Interfaces compatibles

address address [ except ]

Haga coincidir el campo de dirección de origen o destino, a menos que se incluya la opción.except

Interfaces IPv4 (inet) e IPv6 (inet6).

destination-address address [ except ]

Haga coincidir el campo de dirección de destino a menos que se incluya la opción.except

No puede especificar ambas condiciones ni hacer coincidir en el mismo término.addressdestination-address

Interfaces IPv4 (inet) e IPv6 (inet6).

destination-port number

Haga coincidir el campo Puerto de destino UDP o TCP. También debe configurar la instrucción or match en el mismo término para especificar qué protocolo se está utilizando en el puerto.protocol udpprotocol tcp

No puede especificar las condiciones de coincidencia y en el mismo término.portdestination-port

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los números de puerto): (1483), (179), (512), (68), (67), (514), (2401), (67), (53), (2105), (2106), (512), (79), (21), (20), (80), (443), (113), (143), (88), (543), (761), (754), (760), (544), (389), (646), (513), (434), (435), (639), (138), (137), (139), (2049), (119),  (518), (123), (110), (1723), (515), (1813), (1812), (520), (2108), (25), (161), (162), (444), (1080), (22), (111), (514), (49), (65), (517), (23), (69), (525), (513) o (177).afsbgpbiffbootpcbootpscmdcvspserverdhcpdomainekloginekshellexecfingerftpftp-datahttphttpsidentimapkerberos-seckloginkpasswdkrb-propkrbupdatekshellldapldploginmobileip-agentmobilip-mnmsdpnetbios-dgmnetbios-nsnetbios-ssnnfsdnntpntalkntppop3pptpprinterradacctradiusriprkinitsmtpsnmpsnmptrapsnppsockssshsunrpcsyslogtacacstacacs-dstalktelnettftptimedwhoxdmcp

Interfaces IPv4 (inet) e IPv6 (inet6).

destination-port-except number

No coincida con el campo Puerto de destino UDP o TCP. Para obtener más información, consulte la condición de coincidencia.destination-port

Interfaces IPv4 (inet) e IPv6 (inet6).

destination-prefix-list name [ except ]

Haga coincidir los prefijos de destino en una lista, a menos que se incluya la opción.except Puede definir una lista de prefijos de direcciones IP en un alias de lista de prefijos para uso frecuente. Defina esta lista en el nivel jerárquico .[edit policy-options]

Interfaces IPv4 (inet) e IPv6 (inet6).

dscp number

Hacer coincidir el punto de código de servicios diferenciados (DSCP). El protocolo DiffServ utiliza el byte de tipo de servicio (ToS) en el encabezado IP. Los 6 bits más significativos de este byte forman el DSCP.

Puede especificar DSCP en formato hexadecimal, binario o decimal.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo):

  • be—Mejor esfuerzo (predeterminado)

  • —como se define en RFC 3246, Un PHB de reenvío acelerado.ef (46)http://www.ietf.org/rfc/rfc3246.txt

  • , , ;af11 (10)af12 (12)af13 (14)

    , , ;af21 (18)af22 (20)af23 (22)

    , , ;af31 (26)af32 (28)af33 (30)

    , , af41 (34)af42 (36)af43 (38)

    Estas cuatro clases, con tres precedencias de caída en cada clase, para un total de 12 puntos de código, se definen en RFC 2597, PHB de reenvío asegurado.http://www.ietf.org/rfc/rfc2597.txt

  • , , , , , , , , cs0cs1cs2cs3cs4cs5cs6cs7cs5

Interfaces IPv4 (inet) e IPv6 (inet6).

dscp-except number

No coincida con el número DSCP. Para obtener más información, consulte la condición de coincidencia.dscp

Interfaces IPv4 (inet) e IPv6 (inet6).

first-fragment

Coincidir si el paquete es el primer fragmento de un paquete fragmentado. No coincida si el paquete es un fragmento final de un paquete fragmentado. El primer fragmento de un paquete fragmentado tiene un valor de desplazamiento de fragmentos de .0

Esta condición de coincidencia es un alias para la condición de coincidencia de campo de bits.fragment-offset 0

Para hacer coincidir tanto el primer fragmento como el final, puede utilizar dos términos que especifiquen diferentes condiciones de coincidencia: first-fragment y is-fragment.

Interfaces IPv4 (inet).

forwarding-class class

Clasifique el paquete en una de las siguientes clases de reenvío predeterminadas o en una clase de reenvío definida por el usuario:

  • best-effort

  • fcoe

  • network-control

  • no-loss

Interfaces IPv4 (inet), IPv6 (inet6) y MPLS.

forwarding-class-except class

No coincida con la clase de reenvío del paquete. Para obtener más información, consulte la condición de coincidencia.forwarding-class

Interfaces IPv4 (inet), IPv6 (inet6) y MPLS.

fragment-flags number

Haga coincidir el campo de indicadores de fragmentación de IP de tres bits en el encabezado de IP.

En lugar del valor numérico del campo, puede especificar una de las siguientes palabras clave (también se enumeran los valores de campo): (0x4), (0x2) o (0x8).dont-more-sreserved

Interfaces IPv4 (inet).

fragment-offset value

Haga coincidir el campo de desplazamiento del fragmento de 13 bits en el encabezado IP. El valor es el desplazamiento, en unidades de 8 bytes, del mensaje general del datagrama al fragmento de datos. Especifique un valor numérico, un rango de valores o un conjunto de valores. Un valor de desplazamiento de indica el primer fragmento de un paquete fragmentado.0

La condición de coincidencia es un alias para la condición de coincidencia.first-fragmentfragment-offset 0

Para hacer coincidir tanto el primer fragmento como el final, puede utilizar dos términos que especifiquen diferentes condiciones de coincidencia ( y ).first-fragmentis-fragment

Interfaces IPv4 (inet).

fragment-offset-except number

No coincida con el campo de desplazamiento de fragmentos de 13 bits.

Interfaces IPv4 (inet).

icmp-code message-code

Haga coincidir el campo de código del mensaje ICMP.

Si configura esta condición de coincidencia, le recomendamos que también configure la condición de coincidencia o en el mismo término.next-header icmpnext-header icmp6

Si configura esta condición de coincidencia, también debe configurar la condición de coincidencia en el mismo término.icmp-type message-type Un código de mensaje ICMP proporciona información más específica que un tipo de mensaje ICMP, pero el significado de un código de mensaje ICMP depende del tipo de mensaje ICMP asociado.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo). Las palabras clave se agrupan por el tipo de ICMP con el que están asociadas:

  • parámetro-problema: (0), (1)ip-header-badrequired-option-missing

  • Redirigir: (1), (0), (3), (2)redirect-for-hostredirect-for-networkredirect-for-tos-and-hostredirect-for-tos-and-net

  • Tiempo excedido: (1), (0)ttl-eq-zero-during-reassemblyttl-eq-zero-during-transit

  • Inalcanzable: (13), (10), (7), (9), (6), (4), (14), (1), (12), (0), (11), (3), (15), (2), (8), (5)communication-prohibited-by-filteringdestination-host-prohibiteddestination-host-unknowndestination-network-prohibiteddestination-network-unknownfragmentation-neededhost-precedence-violationhost-unreachablehost-unreachable-for-TOSnetwork-unreachablenetwork-unreachable-for-TOSport-unreachableprecedence-cutoff-in-effectprotocol-unreachablesource-host-isolatedsource-route-failed

Interfaces IPv4 (inet) e IPv6 (inet6).

icmp-code-except message-code

No coincida con el campo de código de mensaje ICMP. Para obtener más información, consulte la condición de coincidencia.icmp-code

Interfaces IPv4 (inet) e IPv6 (inet6).

icmp-type number

Haga coincidir el campo de tipo de mensaje ICMP. También debe configurar o como tipo de coincidencia en el mismo término.icmp icmpv6 protocolnext-header

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (0), (8), (16), (15), (17), (18), (12), (5), (9), (10), (4), (11), (13), (14) o (3).echo-replyecho-requestinfo-replyinfo-requestmask-requestmask-replyparameter-problemredirectrouter-advertisementrouter-solicitsource-quenchtime-exceededtimestamptimestamp-replyunreachable

Consulte también .icmp-code variable

Interfaces IPv4 (inet) e IPv6 (inet6).

icmp-type-except message-type

No coincida con el campo de tipo de mensaje ICMP. Para obtener más información, consulte la condición de coincidencia.icmp-type

Interfaces IPv4 (inet) e IPv6 (inet6).

interface interface-name

Para los filtros de entrada, haga coincidir la interfaz en la que se recibió el paquete.

Para los filtros de salida, haga coincidir la interfaz en la que se envió el paquete.

Nota:

Los enrutadores de la serie PTX5000 no admiten conectar la interfaz (el vínculo interno entre los motores de enrutamiento y reenvío de paquetes) a (la interfaz de circuito cerrado), por ejemplo, para filtrar el tráfico de origen propio, como Telnet y SSH, creando un filtro de firewall en lo0 para que coincida con el tráfico en em0.0. El siguiente fragmento de código proporciona contexto:em0.0lo0

firewall
  filter core-protect {
            term Telnet {
                from {
                    protocol tcp;
                    destination-port telnet;
                    interface em0.0;
                }
                then accept;
            }
  }
}

Interfaces IPv4 (inet) e IPv6 (inet6).

interface-except number

No coincida con la interfaz lógica en la que se recibió el paquete. Para obtener más información, consulte la condición de coincidencia.interface

Interfaces IPv4 (inet) e IPv6 (inet6).

is-fragment

Coincidir si el paquete es un fragmento final de un paquete fragmentado. No coincida con el primer fragmento de un paquete fragmentado.

Nota:

Para hacer coincidir tanto el primer fragmento como el final, puede utilizar dos términos que especifiquen diferentes condiciones de coincidencia ( y ).first-fragmentis-fragment

Para los enrutadores PTX10003 que ejecutan Junos OS evolucionado, todos los paquetes fragmentados, incluido el primer fragmento de paquetes fragmentados, coincidirán en cualquier término de filtro de firewall que contenga una coincidencia "es-fragmento".

Interfaces IPv4 (inet).

loss-priority level

Haga coincidir la prioridad de pérdida de paquetes (PLP).

Especifique uno o varios niveles: , , , o .lowmedium-lowmedium-highhigh

Nota:

El modificador de acción no se admite en combinación con la acción.loss-prioritypolicer

Interfaces IPv4 (inet), IPv6 (inet6) y MPLS.

loss-priority-except level

No coincida con el nivel de PLP. Para obtener más información, consulte la condición de coincidencia.loss-priority

Interfaces IPv4 (inet), IPv6 (inet6) y MPLS.

next-header header-type

Haga coincidir el primer campo de encabezado siguiente de 8 bits del paquete.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (51), (60), (8), (50), (44), (47), (0), (1), (58), (58), (2), (4), (41), (135), (59), (89), (103), (43), (46), (132), (6), (17) o (112).ahdstopsegpespfragmentgrehop-by-hopicmpicmp6icmpv6igmpipipipv6mobilityno-next-headerospfpimroutingrsvpsctptcpudp vrrp

Interfaces IPv6 (inet6).

next-header-except header-type

No coincida con el campo Encabezado siguiente de 8 bits que identifica el tipo de encabezado entre el encabezado IPv6 y la carga. Para obtener más información, consulte el tipo de coincidencia.next-header

Interfaces IPv6 (inet6)

packet-length bytes

Haga coincidir la longitud del paquete recibido, en bytes. La longitud se refiere únicamente al paquete IP, incluido el encabezado del paquete, y no incluye ninguna sobrecarga de encapsulación de capa 2. También puede especificar un rango de valores que deben coincidir.

Interfaces IPv4 (inet) e IPv6 (inet6).

packet-length-except bytes

No coincida con la longitud del paquete recibido, en bytes. Para obtener más información, consulte el tipo de coincidencia.packet-length

Interfaces IPv4 (inet) e IPv6 (inet6).

port number

Haga coincidir el campo Puerto de origen o destino UDP o TCP. También debe configurar la instrucción or match en el mismo término para especificar qué protocolo se está utilizando en el puerto.protocol udpprotocol tcp

No puede configurar la condición de coincidencia o la condición de coincidencia en el mismo término.destination-portsource-port

En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados en .destination-port

Interfaces IPv4 (inet) e IPv6 (inet6).

port-except number

No coincida con el campo de puerto UDP o TCP de origen o destino. Para obtener más información, consulte la condición de coincidencia.port

Interfaces IPv4 (inet) e IPv6 (inet6).

precedence ip-precedence-value

Haga coincidir el campo de prioridad de IP.

En lugar del valor de campo numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (0xa0), (0x60), (0x80), (0x40), (0xc0), (0xe0), (0x20) o (0x00).critical-ecpflashflash-overrideimmediateinternet-controlnet-controlpriorityroutine Puede especificar la prioridad en formato hexadecimal, binario o decimal.

Interfaces IPv4 (inet).

precedence-except ip-precedence-value

No coincida con el campo de prioridad de IP.

Interfaces IPv4 (inet).

protocol number

Haga coincidir el campo Tipo de protocolo IPv4. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores numéricos):

,, , , , hop-by-hop (0)icmp (1)icmp6igmp (2)ipip (4)tcp (6)egp (8)udp (17)ipv6 (41)routing (43)fragment (44)rsvp (46)gre (47)esp (50)ah (51)icmp6 (58)no-next-header (59)dstopts (60)ospf (89)pim (103)vrrp (112)sctp (132)

Interfaces IPv4 (inet).

protocol-except number

No coincida con el campo Tipo de protocolo IP. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (51), (60), (8), (50), (44), (47), (0), (1), (58), (58), (2), (4), (41), (89), (103), (46), (132), (6), (17) o (112).ahdstoptsegpespfragmentgrehop-by-hopicmpicmp6icmpv6igmpipipipv6ospfpimrsvpsctptcpudp vrrp

Interfaces IPv4 (inet).

source-address ip-address

Campo Dirección IP de origen, que es la dirección del nodo que envió el paquete.

Interfaces IPv4 (inet) e IPv6 (inet6).

source-address address [ except ]

Haga coincidir la dirección IP del nodo de origen que envía el paquete, a menos que se incluya la opción.except Si se incluye la opción, no coincida con la dirección IP del nodo de origen que envía el paquete.

No puede especificar las condiciones de coincidencia y en el mismo término.addresssource-address

Interfaces IPv4 (inet) e IPv6 (inet6).

source-port value

Haga coincidir el puerto de origen TCP o UDP. También debe configurar la instrucción o match en el mismo término.protocol udpprotocol tcp

En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados con la condición de coincidencia.destination-port number

Interfaces IPv4 (inet) e IPv6 (inet6).

source-port-except number

No coincida con el campo Puerto de origen UDP o TCP. Para obtener más información, consulte la condición de coincidencia.source-port

Interfaces IPv4 (inet) e IPv6 (inet6).

source-prefix-list prefix-list

Lista de prefijos de origen IP. Puede definir una lista de prefijos de direcciones IP en un alias de lista de prefijos para uso frecuente. Defina esta lista en el nivel jerárquico .[edit policy-options]

Interfaces IPv4 (inet) e IPv6 (inet6).

tcp-flags value

Haga coincidir uno o más de los 6 bits de orden bajo en el campo Indicadores TCP de 8 bits del encabezado TCP.

Para especificar campos de bits individuales, puede especificar los siguientes sinónimos de texto o valores hexadecimales:

  • fin(0x01)

  • syn(0x02)

  • rst(0x04)

  • push(0x08)

  • ack(0x10)

  • urgent(0x20)

En una sesión TCP, el indicador SYN se establece sólo en el paquete inicial enviado, mientras que el indicador ACK se establece en todos los paquetes enviados después del paquete inicial.

Puede encadenar varios indicadores mediante los operadores lógicos de campo de bits.

Si configura esta condición de coincidencia, se recomienda configurar también la instrucción de coincidencia en el mismo término para especificar que se está utilizando el protocolo TCP en el puerto.protocol tcp

Solo para el tráfico IPv4, esta condición de coincidencia no comprueba implícitamente si el datagrama contiene el primer fragmento de un paquete fragmentado. Para comprobar esta condición solo para el tráfico IPv4, utilice la condición de coincidencia.first-fragment

Interfaces IPv4 (inet) e IPv6 (inet6).

traffic-class value

Campo de 8 bits que especifica la prioridad de clase de servicio (CoS) del paquete. El campo traffic-class se utiliza para especificar un valor de punto de código DiffServ (DSCP). Este campo se usaba anteriormente como el campo de tipo de servicio (ToS) en IPv4 y la semántica de este campo (por ejemplo, DSCP) es idéntica a la de IPv4.

Puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo):

, , , , , , , , , , , , , , , , af11 (10)af12 (12)af13 (14)af21 (18)af22 (20)af23 (22)af31 (26)af32 (28)af33 (30)af41 (34)af42 (36)af43 (38)cs0 (0)cs1 (8)cs2 (16)cs3 (24)cs4 (32)cs5 (40)cs6 (48)cs7 (56)ef (46)

Interfaces IPv6 (inet6).

traffic-class-except number

No coincida con el campo de 8 bits que especifica la prioridad CoS del paquete. Para obtener más información, consulte la descripción del partido.traffic-class

Interfaces IPv6 (inet6).

ttl number

Haga coincidir el número de tiempo de vida IPv4 o IPv6. Especifique un valor TTL o un rango de valores TTL. Para , puede especificar uno o varios valores desde .number0255

Interfaces IPv4 (inet) e IPv6 (inet6).

ttl-except number

No coincida con el número TTL IPv4 o IPv6. Para obtener más información, consulte la condición de coincidencia.ttl

Interfaces IPv4 (inet) e IPv6 (inet6).

vxlan

Especifique un valor numérico o un rango de valores numéricos para el VNI. Aplique el filtro en la interfaz de entrada.

  • vni vni-value: hace coincidir el VNI.

  • vni-except vni-value: no coincide con el VNI.

Interfaces IPv4 (inet).

Utilice instrucciones para definir las acciones que deben producirse si un paquete coincide con todas las condiciones de una instrucción. muestra las acciones que puede especificar en un término. thenfromTabla 2 (Si no incluye una instrucción, el sistema acepta paquetes que coincidan con el filtro).then

Tabla 2: Acciones y modificadores de acción

Acción

Description

accept

Aceptar un paquete. Esta es la acción predeterminada para los paquetes que coinciden con un término.

discard

Descartar un paquete silenciosamente sin enviar un mensaje de Protocolo de mensajes de control de Internet (ICMP).

count counter-name

Cuente el número de paquetes que coincidan con el término.

forwarding-class class

Clasifique el paquete en una de las siguientes clases de reenvío predeterminadas o en una clase de reenvío definida por el usuario:

  • best-effort

  • fcoe

  • mcast

  • network-control

  • no-loss

Nota:

La acción se admite en interfaces IPv4, IPv6 y MPLS.forwarding-class

log

Registre la información del encabezado del paquete en el motor de enrutamiento. Para ver esta información, ingrese el comando del modo operativo.show firewall log

Nota:

El modificador de acción solo se admite en interfaces de entrada IPv4 e IPv6.log

loss-priority level

Establezca la prioridad de pérdida de paquetes (PLP).

policer policer-name

Enviar paquetes a un policía (con el fin de aplicar la limitación de velocidad). El PTX10003 admite aplicadores de dos colores, de una sola velocidad de tres colores (srTCM) y de dos marcadores de tres colores (trTCM).

Nota:

El modificador de acción no se admite en combinación con la acción.policerloss-priority

redirect instance-name

(Solo se admite en dispositivos PTX10004, PTX10008 y PTX10016 que ejecutan Junos Evolved OS versión 22.1R1).

Enviar paquetes al controlador P4, como se especifica en la instancia definida en el nivel de la jerarquía de Junos.[services inline-monitoring instance instance-name controllerp4]

reject message-type

Descarte un paquete y envíe un mensaje ICMPv4 o ICMPv6 de "destino inalcanzable" (tipo 3). Para registrar los paquetes rechazados, configure el modificador de acción .syslog

Puede especificar uno de los siguientes tipos de mensajes: administratively-prohibited (default), bad-host-tos, bad-network-tos, host-prohibited, host-unknown, host-unreachable, network-prohibited, network-unknown, network-unreachable, port-unreachable, precedence-cutoff, precedence-violation, protocol-unreachable, source-host-isolated, source-route-failed, .

Nota:

No se admite el tipo de mensaje.tcp-reset

Si no especifica un tipo de mensaje, la notificación ICMP "destino inalcanzable" se envía con el mensaje predeterminado "comunicación filtrada administrativamente".

syslog

Registre una alerta para este paquete.

routing-instance instance-name

Reenvíe paquetes coincidentes a una instancia de enrutamiento virtual. Los paquetes se pueden reenviar a la instancia predeterminada.

Soportado en y virtual-routerforwarding instance-types.

Condiciones y acciones de coincidencia del filtro de firewall IPv6 (PTX10001-20C)

En este tema se describe la coincidencia de condiciones, acciones y modificadores de acción del filtro de firewall IPv6 para enrutadores PTX10001-20C.

Cada término de un filtro de firewall consta de condiciones de coincidencia y una acción. Las condiciones de coincidencia son los campos y valores que debe contener un paquete para que se considere una coincidencia. Puede definir condiciones de coincidencia única o múltiple en instrucciones de coincidencia. También puede incluir la instrucción no coincide, en cuyo caso el término coincide con todos los paquetes.

Cuando un paquete coincide con un filtro, el enrutador realiza la acción especificada en el término. También puede especificar modificadores de acción para contar, reflejar y clasificar paquetes. Si no se especifican condiciones de coincidencia para el término, el enrutador acepta el paquete de forma predeterminada.

Nota:

En enrutadores PTX10001-20C, solo puede aplicar un filtro de firewall en interfaces IPv6 en la dirección de entrada.

  • Tabla 3 Describe las condiciones de coincidencia admitidas.

  • Tabla 4 muestra las acciones que puede especificar en un término. Si no incluye una instrucción, el sistema acepta paquetes que coincidan con el filtro.then

  • Tabla 5 muestra los modificadores de acción que puede utilizar para contar, reflejar, limitar la velocidad y clasificar paquetes.

Tabla 3: Condiciones de coincidencia admitidas por IPv6

Condición de coincidencia

Description

address address [ except ]

Haga coincidir el campo Dirección de origen o destino IPv6, a menos que se incluya la opción.except Si se incluye la opción, no coincida con el campo Dirección de origen o destino IPv6.

apply-groups

Especifique de qué grupos desea heredar los datos de configuración. Puede especificar más de un nombre de grupo. Debe enumerarlos en orden de prioridad de herencia. Los datos de configuración del primer grupo tienen prioridad sobre los datos de los grupos siguientes.

apply-groups-except

Especifique de qué grupos no desea heredar los datos de configuración. Puede especificar más de un nombre de grupo.

destination-address address [ except ]

Haga coincidir el campo Dirección de destino IPv6 a menos que se incluya la opción.except Si se incluye la opción, no coincida con el campo Dirección de destino IPv6.

No puede especificar las condiciones de coincidencia y en el mismo término.addressdestination-address

destination-port number

Haga coincidir el campo Puerto de destino UDP o TCP.

No puede especificar las condiciones de coincidencia y en el mismo término.portdestination-port

Si configura esta condición de coincidencia, se recomienda configurar también la condición de coincidencia o en el mismo término para especificar qué protocolo se está utilizando en el puerto.next-header udpnext-header tcp

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los números de puerto): (1483), (179), (512), (68), (67), (514), (2401), (67), (53), (2105), (2106), (512), (79), (21), (20), (80), (443), (113), (143), (88), (543), (761), (754), (760), (544), (389), (646), (513), (434), (435), (639), (138), (137), (139), (2049), (119),  (518), (123), (110), (1723), (515), (1813), (1812), (520), (2108), (25), (161), (162), (444), (1080), (22), (111), (514), (49), (65), (517), (23), (69), (525), (513) o (177).afsbgpbiffbootpcbootpscmdcvspserverdhcpdomainekloginekshellexecfingerftpftp-datahttphttpsidentimapkerberos-seckloginkpasswdkrb-propkrbupdatekshellldapldploginmobileip-agentmobilip-mnmsdpnetbios-dgmnetbios-nsnetbios-ssnnfsdnntpntalkntppop3pptpprinterradacctradiusriprkinitsmtpsnmpsnmptrapsnppsockssshsunrpcsyslogtacacstacacs-dstalktelnettftptimedwhoxdmcp

destination-port-except number

No coincida con el campo Puerto de destino UDP o TCP. Para obtener más información, consulte la condición de coincidencia.destination-port

destination-prefix-list prefix-list-name [ except ]

Haga coincidir el prefijo de destino IPv6 con la lista especificada, a menos que se incluya la opción.except Si se incluye la opción, no haga coincidir el prefijo de destino IPv6 con la lista especificada.

La lista de prefijos se define en el nivel de jerarquía ].[edit policy-options prefix-list prefix-list-name

icmp-code message-code

Haga coincidir el campo de código del mensaje ICMP.

Si configura esta condición de coincidencia, le recomendamos que también configure la condición de coincidencia o en el mismo término.next-header icmpnext-header icmp6

Un código de mensaje ICMP proporciona información más específica que un tipo de mensaje ICMP, pero el significado de un código de mensaje ICMP depende del tipo de mensaje ICMP asociado.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo). Las palabras clave se agrupan por el tipo de ICMP con el que están asociadas:

  • parámetro-problema: (0), (1), (2)ip6-header-badunrecognized-next-headerunrecognized-option

  • Tiempo excedido: (1), (0)ttl-eq-zero-during-reassemblyttl-eq-zero-during-transit

  • Destino inalcanzable: (1), (3), (0), (4)administratively-prohibitedaddress-unreachableno-route-to-destinationport-unreachable

icmp-code-except message-code

No coincida con el campo de código de mensaje ICMP. Para obtener más información, consulte la condición de coincidencia.icmp-code

message-type

Haga coincidir el campo de tipo de mensaje ICMP.

También debe configurar o hacer coincidir la condición en el mismo término.icmpnext-header icmp6

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (149), (148), (1), (129), (128), (145), (144), (142), (141), (130), (131), (132), (147), (146), (136), (135), (140), (139), (2), (4), (100), (101), (200), (201), (137), (134), (138), (133) o (3).certificate-path-advertisementcertificate-path-solicitationdestination-unreachableecho-replyecho-requesthome-agent-address-discovery-replyhome-agent-address-discovery-requestinverse-neighbor-discovery-advertisementinverse-neighbor-discovery-solicitationmembership-querymembership-reportmembership-terminationmobile-prefix-advertisement-replymobile-prefix-solicitationneighbor-advertisementneighbor-solicitnode-information-replynode-information-requestpacket-too-bigparameter-problemprivate-experimentation-100private-experimentation-101private-experimentation-200private-experimentation-201redirectrouter-advertisementrouter-renumberingrouter-solicittime-exceeded

Para (201), también puede especificar un rango de valores entre corchetes.private-experimentation-201

icmp-type-except message-type

No coincida con el campo de tipo de mensaje ICMP. Para obtener más información, consulte la condición de coincidencia.icmp-type

next

Continúe con el siguiente término en un filtro.

next-header header-type

Haga coincidir el primer campo Encabezado siguiente de 8 bits del paquete.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (51), (60), (8), (50), (44), (47), (0), (1), (58), (58), (2), (4), (41), (135), (59), (89), (103), (43), (46), (132), (6), (17) o (112).ahdstopsegpespfragmentgrehop-by-hopicmpicmp6icmpv6igmpipipipv6mobilityno-next-headerospfpimroutingrsvpsctptcpudp vrrp

Nota:

y las condiciones de coincidencia realizan la misma función. es la opción preferida. está oculto en la CLI de Junos OS. next-header icmp6next-header icmpv6next-header icmp6next-header icmpv6

next-header-except header-type

No coincida con el campo Encabezado siguiente de 8 bits que identifica el tipo de encabezado entre el encabezado IPv6 y la carga. Para obtener más información, consulte el tipo de coincidencia.next-header

port number

Haga coincidir el campo Puerto de origen o destino UDP o TCP.

Si configura esta condición de coincidencia, no puede configurar la condición de coincidencia ni la condición de coincidencia en el mismo término.destination-portsource-port

Si configura esta condición de coincidencia, se recomienda configurar también la condición de coincidencia o en el mismo término para especificar qué protocolo se está utilizando en el puerto.next-header udpnext-header tcp

En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados en .destination-port

port-except number

No coincida con el campo Puerto de origen o destino UDP o TCP. Para obtener más información, consulte la condición de coincidencia.port

port-mirror instance-name

Espejo de puerto del paquete.

port-mirror-instance instance-name

El puerto refleja un paquete para una instancia.

prefix-list prefix-list-name [ except ]

Haga coincidir los prefijos de los campos de dirección de origen o destino con los prefijos de la lista especificada, a menos que se incluya la opción.except Si se incluye la opción, no haga coincidir los prefijos de los campos de dirección de origen o destino con los prefijos de la lista especificada.

La lista de prefijos se define en el nivel jerárquico .[edit policy-options prefix-list prefix-list-name]

sample

Muestree el paquete.

source-address address [ except ]

Haga coincidir la dirección IPv6 del nodo de origen que envía el paquete, a menos que se incluya la opción.except Si se incluye la opción, no coincida con la dirección IPv6 del nodo de origen que envía el paquete.

No puede especificar las condiciones de coincidencia y en el mismo término.addresssource-address

source-port number

Haga coincidir el campo Puerto de origen UDP o TCP.

No puede especificar las condiciones y coincidir en el mismo término.portsource-port

Si configura esta condición de coincidencia, se recomienda configurar también la condición de coincidencia o en el mismo término para especificar qué protocolo se está utilizando en el puerto.next-header udpnext-header tcp

Nota:

Para Junos OS Evolved, debe configurar la instrucción or match en el mismo término.next-header udpnext-header tcp

En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados con la condición de coincidencia.destination-port number

source-port-except number

No coincida con el campo Puerto de origen UDP o TCP. Para obtener más información, consulte la condición de coincidencia.source-port

source-prefix-list name [ except ]

Haga coincidir el prefijo de dirección IPv6 del campo de origen del paquete, a menos que se incluya la opción.except Si se incluye la opción, no coincida con el prefijo de dirección IPv6 del campo de origen del paquete.

Especifique un nombre de lista de prefijos definido en el nivel de jerarquía.[edit policy-options prefix-list prefix-list-name]

Nota:

Si especifica una dirección IPv6 en una condición de coincidencia (las condiciones , o de coincidencia), use la sintaxis para las representaciones de texto descritas en RFC 4291, Arquitectura de direccionamiento IP versión 6.addressdestination-addresssource-address Para obtener más información acerca de las direcciones IPv6, consulte Descripción general de IPv6 y Estándares IPv6 compatibles.https://www.juniper.net/documentation/en_US/junos/topics/concept/routing-protocols-ipv6-overview.htmlhttps://www.juniper.net/documentation/en_US/junos/topics/reference/standards/ipv6.html

Tabla 4: Acciones para filtros de firewall IPv6

Acción

Description

accept

Aceptar un paquete. Esta es la acción predeterminada para los paquetes que coinciden con un término.

discard

Descartar un paquete silenciosamente sin enviar un mensaje de Protocolo de mensajes de control de Internet (ICMP).

redirect instance-name

(Solo se admite en dispositivos PTX10004, PTX10008 y PTX10016 que ejecutan Junos Evolved OS versión 22.1R1).

Enviar paquetes al controlador P4, como se especifica en la instancia definida en el nivel de controlador de la jerarquía de Junos.[services inline-monitoring instance instance-name https://www.juniper.net/documentation/us/en/software/junos/flow-monitoring/topics/ref/statement/services-inline-monitoring-instance-controller.htmlp4]

Tabla 5: Modificadores de acción para filtros de firewall IPv6

Modificador de acción

Description

count counter-name

Cuente el número de paquetes que coincidan con el término.

forwarding-class class

Clasifique el paquete en una de las siguientes clases de reenvío predeterminadas o en una clase de reenvío definida por el usuario:

  • best-effort

  • fcoe

  • mcast

  • network-control

  • no-loss

Nota:

Para configurar una clase de reenvío, también debe configurar la prioridad de pérdida.

loss-priority (low | medium-low | medium-high | high)

Establezca la prioridad de pérdida de paquetes (PLP).