Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Conditions de correspondance flexibles des filtres de pare-feu

Les conditions de correspondance des filtres de pare-feu standard varient selon la famille de protocoles du trafic en correspondance. Par exemple, les termes disponibles pour le trafic des protocoles de pontage sont différents de ceux disponibles pour les familles de protocoles inet ou inet6. Les champs disponibles pour la correspondance au sein de chaque famille de protocoles sont cependant fixes ou prédéfinés. Cela signifie que les filtres peuvent s’assortir aux modèles des champs prédéfinés uniquement.

Dans des conditions de correspondance flexibles, il est possible de construire des filtres de pare-feu qui démarrent la correspondance aux emplacements de couche 2, de couche 3, de couche 4 ou de charge utile. À partir de là, des critères de compensation supplémentaires peuvent être spécifiés, ce qui permet d’utiliser des correspondances de motif à des emplacements personnalisés définis par l’utilisateur au sein d’un paquet.

Des termes de filtre de correspondance flexibles sont appliqués aux interfaces MPC ou MIC en tant que filtres d’entrée ou de sortie comme tous les autres termes de filtre de pare-feu. Des termes de filtre de correspondance flexibles peuvent également être créés en tant que modèles au niveau [edit firewall] de la hiérarchie. Ces modèles peuvent ensuite être référencés dans une durée de correspondance flexible.

Pour les routeurs MX Series, les conditions de correspondance flexibles ne sont prise en charge que par MPC ou MPC. Pour les environnements où des MPC, PIC et ou DPC sont installés en même temps que les MPC ou les MIC, assurez-vous d’appliquer les critères de filtre de pare-feu de correspondance flexibles aux interfaces MPC ou MIC.

Remarque :

Pour MX Series routeurs avec MPC, vous devez initialiser le compteur de filtres pour les filtres de correspondance Trio uniquement dans le MIB en s’adonnant au système SNMP MIB. Par exemple, pour tout filtre configuré ou modifié en rapport avec leurs filtres Trio uniquement, vous devez exécuter une commande telle que: show snmp mib walk (ascii | decimal) object-id. Junos est alors contraint d’apprendre les compteurs des filtres et de s’assurer que les statistiques des filtres sont affichées (c’est parce que le premier sondage qui a mené au filtrage des statistiques ne peut pas afficher toutes les statistiques). Les filtres de correspondance trio sont ceux qui incluent au moins une condition ou une action de correspondance uniquement prises en charge par la puce Trio.

Cette directive s’applique à tous les enhanced-mode filtres de pare-feu. Il s’applique également aux conditions de filtre de correspondance flexibles pour la plage de correspondances ou au masque de correspondance, et aux conditions de correspondance des filtres de pare-feu pour le trafic IPv6 avec l’une des conditions de Conditions de correspondance des filtres de pare-feu pour le trafic IPv4gre-key correspondance suivantes: Conditions de correspondance des filtres de pare-feu pour le trafic IPv6 payload-protocol, extension headers, is_fragment. Il s’applique également aux filtres avec l’un des: Actions de terminaison de filtre de pare-feu encapsulate ou decapsulate l’une des raisons Filtre de pare-feu Actions non-déterminés suivantes: policy-mapet clear-policy-map .

Hiérarchie de l’instruction

Les termes flexibles du filtre de correspondance sont disponibles en trois variations, comme indiqué dans Tableau 1 . La flexible-match variation est configurée au niveau de la [edit firewall] hiérarchie. Il sert à définir des modèles de correspondance flexibles. Les flexible-filter-match-mask et flexible-match-range sont configurés au niveau de la [edit firewall family [inet|inet6|bridge|ethernet-switching|ccc|vpls] filter <filter-name> term <term-name> from] hiérarchie. Utilisez le family ethernet-switching filtre pour EX9200 commutateurs.

Types de correspondance de filtres flexibles

Tableau 1 : Types de correspondance de filtres flexibles

Type de correspondance de filtre flexible

Attributs disponibles

Description

flexible-match

<name>

Créez un modèle d’assortiment flexible nommé <name>attribute.

 

bit-length

Longueur des données à assortir en bits, non requise pour l’entrée de chaîne (0.32)

Pour QFX5120 et EX4650 commutateurs, les seules longueurs de bits valides sont 16 et 32.

bit-offset

Bits compenser après le décalage (0,7)

byte-offset

Compensation des bytes après le point de début de la correspondance

match-start

Point de départ pour correspondance dans le paquet

flexible-match-mask

bit-length

Longueur des données à assortir en bits, non requise pour l’entrée de chaîne (0.128)

bit-offset

Bits compenser après le décalage (0,7)

byte-offset

Compensation des bytes après le point de début de la correspondance

flexible-mask-name

Sélectionnez une correspondance flexible dans un champ de modèle prédéfiny. Requis sauf match-start si la configuration est requise.

mask-in-hex

Masquer les bits dans les données de paquet pour les faire correspondre.

match-start

Point de départ pour correspondre au paquet. Requis sauf flexible-mask-name si la configuration est requise.

prefix

Valeur de données/chaîne à correspondre.

flexible-match-range

bit-length

Durée des données à correspondre en bits. (0.32) Requis, sauf flexible-range-name si elle est configurée.

bit-offset

Bits compenser après le décalage (match-start + byte). (0..7)

byte-offset

Compensation des bytes après le point de début de la correspondance

flexible-range-name

Sélectionnez une correspondance flexible à partir d’un modèle prédéfiny.

match-start

Point de départ pour correspondre au paquet. Requis sauf flexible-range-name si la configuration est requise.

range

Plage de valeurs à correspondre.

range-except

Plage de valeurs à ne pas correspondre.

Emplacements de début de filtrage flexibles

Des termes de filtre de correspondance flexibles sont créés en donnant un point de départ ou un point d’ancrage dans le paquet. Les points de départ peuvent être les points de départ: couche 2, couche 3, couche 4 ou charge utile, selon la famille de protocoles utilisé. Tableau 2 affiche les emplacements de démarrage flexibles des filtrages par famille de protocoles. Vous utilisez ces emplacements de début disponibles comme match-start emplacements pour les termes flexibles du filtre de correspondance.

À partir de ces emplacements de démarrage, il est possible d’utiliser des correspondances d’byte et de bits spécifiques à des emplacements très spécifiques dans le paquet.

Tableau 2 : Emplacements de début de filtrage flexibles

Famille de protocoles

Sites de démarrage disponibles

inet

layer-3, layer-4 and payload

Pour QFX5120 et EX4650, des filtres de correspondance flexibles (uniquement) de couche 2 et de couche 3 ont été ajoutés dans la version 20.1R1.

inet6

layer-3, layer-4 and payload

Pour QFX5120 et EX4650, des filtres de correspondance flexibles (uniquement) de couche 2 et de couche 3 ont été ajoutés dans la version 20.1R1.

bridge

layer-2, layer-3, layer-4 and payload

ccc

layer-2, layer-3, layer-4 and payload

mpls

layer-3 and payload

vpls

layer-2, layer-3, layer-4 and payload

ethernet-switching

(EX9200 commutateurs) layer-2, layer-3, layer-4 and payload

Pour les commutateurs QFX5120 et EX4650, des filtres de correspondance flexibles (uniquement) de couche 2 et de couche 3 ont été ajoutés dans la version 20.1R1. Vous trouverez ci-dessous un exemple d’utilisation d’un accord de correspondance et de compensation des paquets de couche 2.

Exemples de correspondance de filtres flexibles

L’exemple suivant illustre l’utilisation et le contexte pour flexible-match-mask .

Le <mask-name> spécifique au nom du masque flexible, modèle prédéfinis utilisé pour la condition de correspondance flexible. Les modèles peuvent être définis pour spécifier à quel endroit (position) le paquet la condition de correspondance flexible doit être exécutée.

La <mask>pour mask-in-hex est au format hexadécimaux. Par exemple, un masque configuré de spécifie une correspondance pour le 4 bits du premier conseil 0xf0fc (appelé <mask-name>)et pour le premier six bits du deuxième bit du second conseil. Si le paquet est un paquet IPv4 et <mask-name> reporte aux deux premiers octets dans l’en-tête de L3, la recherche se trouve dans le champ de version IP et le champ DSCP. Autre exemple: un masque configuré spécifie une recherche de l’intégralité du premier nombre d’opérations et de deux bits à partir 0xffc0 du deuxième. Si le nom <mask> indique les deux premiers octets dans l’en-tête de L3 et que le paquet est un paquet IPv6, cela spécifie le champ de version IP et le champ DSCP dans le champ Traffic Class.

L<patterne >préfixe est une chaîne ASCII. Si les deux premiers caractères sont, la chaîne est traitée comme un numéro 0x hexadécimaux codage des bits appropriés. Par exemple, le préfixe configuré, combiné à un masque et à 0x40c0 <mask-name>réferment des deux premiers octets dans l’en-tête de L3, indique une recherche dans les quatre premiers bits (le champ de version est égal à 4) et dans le champ 0xf0fc01001100 00 DSCP IPv4 (DSCP est égal à cs6). Ou, l’utilisation du préfixe configuré combiné à un masque et à 0x6c00 <mask-name>réferment des deux premiers octets dans l’en-tête L3, spécifie une recherche pour les quatre premiers bits (le champ de version est égal à 6) et dans le champ 0xffc001101100 00 DSCP IPv6 (DSCP est égal à cs6).

Le premier exemple définit un modèle de masque qui sélectionne les deux premiers octets (16 bits) de l’en-tête L3 pour une correspondance flexible:

L’exemple suivant définit un modèle de masque qui sélectionne le troisième à le sixième octobre (32 bits) de la charge utile du paquet pour une correspondance flexible:

Cet exemple montre une correspondance de caractère ASCII pour la chaîne JNPR (caractères ASCII: 0x4a, , ) dans la troisième à la sixième à la charge utile 0x4e0x50 du 0x52 paquet. Le filtre utilise le FM-FOUR-PAYLOAD-BYTES modèle de masque défini dans l’exemple précédent.

Cet exemple montre un filtre Family Ccc qui recherche le DSCP égal à cs6 DSCP et le filtre DSCP, que les ef paquets encapsulés soient des IPv4 ou IPv6. Il utilise le modèle FM-FIRST-TWO-L3-BYTES de masque défini dans le premier exemple.

Cet exemple montre comment utiliser une longueur de correspondance, à partir d’un décalage de paquets de couche 2, dans un filtre de pare-feu pour un QFX5120-32C, QFX5120-48Y ou un équipement EX4650 exécutant Junos Release 20.1R1. Ici, nous utilisons un peu de 32 bits et la famille (et sont également pris en charge, de même qu’avec un décalage de couche ethernet-switchinginetinet6 3).

Tableau de l'historique des versions
Version
Description
20.1R1
Pour les commutateurs QFX5120 et EX4650, des filtres de correspondance flexibles (uniquement) de couche 2 et de couche 3 ont été ajoutés dans la version 20.1R1.