Conditions de correspondance du filtre de pare-feu pour le trafic IPv4
Vous pouvez configurer un filtre de pare-feu avec des conditions de correspondance pour le trafic IPv4 (Internet Protocol version 4) (family inet
).
Pour les routeurs MX Series avec MPC, vous devez initialiser le compteur de filtres pour les filtres de correspondance Trio uniquement dans la MIB en parcourant la MIB SNMP correspondante, par exemple, show snmp mib walk name ascii
. Cela oblige Junos à apprendre les compteurs de filtre et garantit que les statistiques de filtre sont affichées (cela est dû au fait que le premier sondage pour filtrer les statistiques peut ne pas afficher tous les compteurs). Ces instructions s’appliquent à tous les filtres de pare-feu en mode amélioré, aux filtres avec des conditions flexibles et aux filtres avec certaines actions de terminaison. Pour plus de détails, consultez ces rubriques, répertoriées sous Documentation associée.
Tableau 1 décrit ce que match-conditions
vous pouvez configurer au niveau de la [edit firewall family inet filter filter-name term term-name from]
hiérarchie.
Condition de correspondance |
Description |
|
---|---|---|
|
Faites correspondre le champ d’adresse source ou de destination IPv4, sauf si l’option Le |
|
|
(routeurs M Series, sauf M120 et M320) Faites correspondre la valeur de l’index des paramètres de sécurité (SPI) de l’en-tête d’authentification IPsec (AH). REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
(routeurs M Series, sauf M120 et M320) Ne correspond pas à la valeur IPsec AH SPI. REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Spécifiez les groupes dont vous souhaitez hériter des données de configuration. Vous pouvez spécifier plusieurs noms de groupe. Vous devez les lister par ordre de priorité d’héritage. Les données de configuration du premier groupe sont prioritaires sur les données des groupes suivants. |
|
|
Spécifiez les groupes dont vous ne souhaitez pas hériter des données de configuration. Vous pouvez spécifier plusieurs noms de groupe. |
|
|
Faites correspondre le champ de l’adresse de destination IPv4, sauf si l’option Vous ne pouvez pas spécifier à la fois les conditions de correspondance |
|
|
Faites correspondre un ou plusieurs noms de classe de destination spécifiés (ensembles de préfixes de destination regroupés et dotés d’un nom de classe). Pour plus d’informations, reportez-vous à la section Conditions de correspondance du filtre de pare-feu en fonction des classes d’adresses. |
|
|
Ne faites pas correspondre un ou plusieurs noms de classe de destination spécifiés. Pour plus de détails, voir la condition de |
|
|
Faites correspondre le champ Port de destination UDP ou TCP. Vous ne pouvez pas spécifier à la fois les conditions de correspondance Lorsque vous configurez des correspondances basées sur le port, vous devez également configurer l’instruction ou À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les numéros de port sont également répertoriés) : |
|
|
Ne correspond pas au champ Port de destination UDP ou TCP. Pour plus de détails, voir la condition de |
|
|
Faites correspondre les préfixes de destination dans la liste spécifiée, sauf si l’option Spécifiez le nom d’une liste de préfixes définie au niveau de la |
|
|
Correspond au DSCP (Differentiated Services Code Point). Le protocole DiffServ utilise l’octet de type de service (ToS) dans l’en-tête IP. Les 6 bits les plus significatifs de cet octet forment le DSCP. Pour plus d’informations, consultez Comprendre comment les classificateurs d’agrégation de comportement donnent la priorité au trafic de confiance. Ajout de la prise en charge du filtrage sur le point de code de services différenciés (DSCP) et la classe de transfert pour les paquets provenant du moteur de routage, y compris les paquets IS-IS encapsulés dans l’encapsulation de routage générique (GRE). Par la suite, lors d’une mise à niveau à partir d’une version précédente de Junos OS où vous disposez à la fois d’une classe de service (CoS) et d’un filtre de pare-feu, et qui incluent tous deux des actions de filtre DSCP ou de classe de transfert, les critères du filtre de pare-feu sont automatiquement prioritaires sur les paramètres CoS. Il en va de même lors de la création de nouvelles configurations ; c’est-à-dire que lorsque les mêmes paramètres existent, le filtre de pare-feu est prioritaire sur le CoS, quel que soit celui qui a été créé en premier. Vous pouvez spécifier une valeur numérique à partir de À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) :
|
|
|
Ne pas correspondre sur le numéro DSCP. Pour plus d’informations, consultez la condition de |
|
|
Faites correspondre la valeur SPI de la charge utile de sécurité encapsulating (ESP) IPsec. Correspondance sur cette valeur SPI spécifique. Vous pouvez spécifier la valeur ESP SPI sous forme hexadécimale, binaire ou décimale. REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Faites correspondre la valeur IPsec ESP SPI. Ne pas correspondre sur cette valeur SPI spécifique. REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Correspond si le paquet est le premier fragment d’un paquet fragmenté. Ne pas faire de correspondance si le paquet est un fragment de fin d’un paquet fragmenté. Le premier fragment d’un paquet fragmenté a une valeur de décalage de fragment de Cette condition de correspondance est un alias pour la condition Pour faire correspondre à la fois le premier et le dernier fragment, vous pouvez utiliser deux termes qui spécifient des conditions de correspondance différentes : |
|
|
|
Longueur des données à mettre en correspondance en bits, non nécessaire pour l’entrée de chaîne (0..128) |
|
Décalage binaire après le décalage (match-start + octet) (0..7) |
|
|
Décalage d’octets après le point de départ de la correspondance |
|
|
Sélectionner une correspondance flexible à partir d’un champ de modèle prédéfini |
|
|
Masquer les bits dans les données de paquet à mettre en correspondance |
|
|
Point de départ à faire correspondre dans le paquet |
|
|
Données/chaîne de valeur à mettre en correspondance |
|
|
|
Longueur des données à apparier en bits (0..32) |
|
Décalage binaire après le décalage (match-start + octet) (0..7) |
|
|
Décalage d’octets après le point de départ de la correspondance |
|
|
Sélectionner une correspondance flexible à partir d’un champ de modèle prédéfini |
|
|
Point de départ à faire correspondre dans le paquet |
|
|
Plage de valeurs à faire correspondre |
|
|
Ne correspond pas à cette plage de valeurs |
|
|
Faites correspondre la classe de transfert du paquet. Spécifiez Pour plus d’informations sur le transfert de classes et les files d’attente de sortie internes au routeur, consultez Comprendre comment les classes de transfert affectent des classes aux files d’attente de sortie. |
|
|
Ne correspond pas à la classe de transfert du paquet. Pour plus de détails, voir la condition de |
|
|
(Entrée uniquement) Faites correspondre le champ d’indicateurs de fragmentation IP à trois bits dans l’en-tête IP. À la place de la valeur de champ numérique, vous pouvez spécifier l’un des mots-clés suivants (les valeurs de champ sont également répertoriées) : |
|
|
Faites correspondre le champ de décalage de fragment de 13 bits dans l’en-tête IP. La valeur est le décalage, en unités de 8 octets, dans le message global du datagramme par rapport au fragment de données. Spécifiez une valeur numérique, une plage de valeurs ou un ensemble de valeurs. Une valeur de décalage de La Pour faire correspondre à la fois le premier fragment et le dernier fragment, vous pouvez utiliser deux termes qui spécifient des conditions de correspondance différentes ( |
|
|
Ne correspond pas au champ de décalage de fragment de 13 bits. |
|
|
Faites correspondre le champ gre-key. Le champ de clé GRE est un nombre de 4 octets inséré par l’encapsulateur GRE. Il s’agit d’un champ facultatif à utiliser dans l’encapsulation GRE. Il range peut s’agir d’un seul numéro de clé GRE ou d’une plage de numéros de clé. Pour les routeurs MX Series avec MPC, initialisez les nouveaux filtres de pare-feu qui incluent cette condition en parcourant la MIB SNMP correspondante. |
|
|
Faites correspondre le champ Code de message ICMP. REMARQUE :
Lorsque vous utilisez cette condition de correspondance, vous devez également utiliser la condition de term Allow _ICMP { from protocol icmp { icmp-code ip-header-bad; icmp-type echo-reply; } then { policer ICMP_Policier; count Allow_ICMP; Vous devez également configurer la condition de À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées). Les mots-clés sont regroupés selon le type ICMP auquel ils sont associés :
|
|
|
Ne correspond pas au champ Code de message ICMP. Pour plus de détails, voir la condition de |
|
|
Faites correspondre le champ de type de message ICMP. REMARQUE :
Lorsque vous utilisez cette condition de correspondance, vous devez également utiliser la condition de term Allow _ICMP { from protocol icmp { icmp-code ip-header-bad; icmp-type echo-reply; } then { policer ICMP_Policier; count Allow_ICMP; Vous devez également configurer la condition de REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Ne correspond pas au champ Type de message ICMP. Pour plus de détails, voir la condition de |
|
|
Faites correspondre l’interface sur laquelle le paquet a été reçu. REMARQUE :
Si vous configurez cette condition de correspondance avec une interface qui n’existe pas, le terme ne correspond à aucun paquet. |
|
|
Faites correspondre l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces spécifié ou à l’ensemble de groupes d’interfaces. Pour Pour affecter une interface logique à un groupe REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. Pour plus d’informations, consultez Vue d’ensemble du filtrage des paquets reçus sur un ensemble de groupes d’interfaces. |
|
|
Ne faites pas correspondre l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces ou à l’ensemble de groupes d’interfaces spécifiés. Pour plus de détails, voir la condition de REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Faites correspondre l’interface sur laquelle le paquet a été reçu à l’ensemble d’interfaces spécifié. Pour définir un jeu d’interfaces , incluez l’instruction REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. Pour plus d’informations, reportez-vous à la section Présentation du filtrage des paquets reçus sur un jeu d’interfaces. |
|
|
Faites correspondre le champ d’option IP 8 bits, s’il est présent, à la valeur ou à la liste de valeurs spécifiée. À la place d’une valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs d’option sont également répertoriées) : Pour faire correspondre n’importe quelle valeur de l’option IP , utilisez le synonyme Par exemple, la condition Pour la plupart des interfaces, un terme de filtre qui spécifie une correspondance sur une ou plusieurs valeurs d’option IP spécifiques (une
Le concentrateur de port modulaire (MPC) 10 Gigabit Ethernet, le MPC 100 Gigabit Ethernet, le MPC 60 Gigabit Ethernet, le MPC Ethernet de file d’attente 60 Gigabit et le MPC de file d’attente améliorée Ethernet 60 Gigabit sur les routeurs MX Series sont capables d’analyser le champ d’option IP de l’en-tête de paquet IPv4. Pour les interfaces configurées sur ces MPC, tous les paquets mis en correspondance à l’aide de la La REMARQUE :
|
|
|
Ne faites pas correspondre le champ d’option IP à la valeur ou à la liste de valeurs spécifiée. Pour plus d’informations sur la spécification de , reportez-vous à la |
|
|
L’utilisation de cette condition entraîne une correspondance si l’indicateur More Fragments (Plus de fragments) est activé dans l’en-tête IP et si le décalage du fragment n’est pas égal à zéro. REMARQUE :
Pour faire correspondre à la fois le premier fragment et le dernier fragment, vous pouvez utiliser deux termes qui spécifient des conditions de correspondance différentes ( |
|
|
Faites correspondre le niveau de priorité de perte de paquets (PLP). Spécifiez un ou plusieurs niveaux : Pris en charge sur les routeurs M120 et M320 ; Routeurs M7i et M10i avec CFEB-E (Enhanced CFEB) ; et routeurs MX Series. Pour le trafic IP sur les routeurs M320, MX Series et T Series avec des concentrateurs PIC flexibles (FPC) Enhanced II, vous devez inclure l’instruction au niveau de la Pour plus d’informations sur l’instruction, reportez-vous à la |
|
|
Ne correspond pas au niveau PLP. Pour plus de détails, voir la condition de |
|
|
Faites correspondre la longueur du paquet reçu, en octets. La longueur fait uniquement référence au paquet IP, y compris l’en-tête du paquet, et n’inclut aucune surcharge d’encapsulation de couche 2. Vous pouvez également spécifier une plage de valeurs à mettre en correspondance. |
|
|
Ne correspond pas à la longueur du paquet reçu, en octets. Pour plus de détails, voir le type de |
|
|
Faites correspondre le champ du port source ou de destination UDP ou TCP. Si vous configurez cette condition de correspondance, vous ne pouvez pas configurer la condition de correspondance ou la Lorsque vous configurez des correspondances basées sur le port, vous devez également configurer l’instruction ou À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte répertoriés sous |
|
|
Ne correspond ni au champ de port UDP ou TCP source ni au champ de destination. Pour plus de détails, voir la condition de |
|
|
Correspond au champ Priorité IP. À la place de la valeur de champ numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Ne correspond pas au champ de priorité IP. À la place de la valeur de champ numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Faites correspondre les préfixes des champs d’adresse source ou de destination aux préfixes de la liste spécifiée, sauf si l’option La liste des préfixes est définie au niveau de la REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX1000. |
|
|
Correspond au champ Type de protocole IP. À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Ne correspond pas au champ Type de protocole IP. À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Faites correspondre le type de technologie d’accès radio (RAT) spécifié dans le champ Type technique 8 bits de l’extension de type de technologie d’accès Proxy Mobile IPv4 (PMIPv4). Le type de technologie spécifie la technologie d’accès par laquelle l’appareil mobile est connecté au réseau d’accès. Spécifiez une valeur unique, une plage de valeurs ou un ensemble de valeurs. Vous pouvez spécifier un type de technologie sous la forme d’une valeur numérique comprise entre 0 et 255 ou d’un mot-clé système.
|
|
|
Ne correspond pas au type RAT. |
|
|
Correspond à un paquet reçu d’un filtre sur lequel une REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Faites correspondre l’adresse IPv4 du nœud source qui envoie le paquet, sauf si cette Vous ne pouvez pas spécifier à la fois les conditions de correspondance |
|
|
Faites correspondre un ou plusieurs noms de classe source spécifiés (ensembles de préfixes de source regroupés et dotés d’un nom de classe). Pour plus d’informations, reportez-vous à la section Conditions de correspondance du filtre de pare-feu en fonction des classes d’adresses. |
|
|
Ne correspond pas à un ou plusieurs noms de classe source spécifiés. Pour plus de détails, voir la condition de |
|
|
Faites correspondre le champ Port source UDP ou TCP. Vous ne pouvez pas spécifier les Lorsque vous configurez des correspondances basées sur le port, vous devez également configurer l’instruction ou À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte répertoriés avec la |
|
|
Ne correspond pas au champ Port source UDP ou TCP. Pour plus de détails, voir la condition de |
|
|
Faire correspondre les préfixes source dans la liste spécifiée, sauf si l’option Spécifiez le nom d’une liste de préfixes définie au niveau de la |
|
|
Faites correspondre les paquets TCP d’une session TCP établie (paquets autres que le premier paquet d’une connexion). Il s’agit d’un alias pour Cette condition de correspondance ne vérifie pas implicitement que le protocole est TCP. Pour vérifier cela, spécifiez la condition de |
|
|
Faites correspondre un ou plusieurs des 6 bits d’ordre inférieur dans le champ d’indicateurs TCP 8 bits de l’en-tête TCP. Pour spécifier des champs de bits individuels, vous pouvez spécifier les synonymes de texte ou les valeurs hexadécimales suivants :
Dans une session TCP, l’indicateur SYN est défini uniquement dans le paquet initial envoyé, tandis que l’indicateur ACK est défini dans tous les paquets envoyés après le paquet initial. Vous pouvez enchaîner plusieurs drapeaux à l’aide des opérateurs logiques de champ de bits. Pour connaître les conditions de correspondance de champs binaires combinés, reportez-vous à la section et Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également l’instruction Pour le trafic IPv4 uniquement, cette condition de correspondance ne vérifie pas implicitement si le datagramme contient le premier fragment d’un paquet fragmenté. Pour vérifier cette condition pour le trafic IPv4 uniquement, utilisez la condition de |
|
|
Correspond au paquet initial d’une connexion TCP. Il s’agit d’un alias pour Cette condition ne vérifie pas implicitement que le protocole est TCP. Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la condition de |
|
|
Faites correspondre le numéro de durée de vie IPv4. Spécifiez une valeur TTL ou une plage de valeurs TTL. Pour |
|
|
Ne correspond pas sur le numéro TTL IPv4. Pour plus de détails, voir la condition de |
Tableau de l'historique des modifications
La prise en charge des fonctionnalités est déterminée par la plateforme et la version que vous utilisez. Utilisez l' Feature Explorer pour déterminer si une fonctionnalité est prise en charge sur votre plateforme.