Conditions de correspondance du filtre de pare-feu pour le trafic IPv4
Vous pouvez configurer un filtre de pare-feu avec des conditions de correspondance pour le traficfamily inet
IPv4 (Internet Protocol version 4).
Pour les routeurs MX Series avec MPC, vous devez initialiser le compteur de filtres pour les filtres de correspondance Trio uniquement dans la MIB en marchant sur la MIB SNMP correspondante, par exemple, show snmp mib walk name ascii
. Cela oblige Junos à apprendre les compteurs de filtre et s’assure que les statistiques des filtres sont affichées (car le premier sondage à filtrer les statistiques peut ne pas afficher tous les compteurs). Ces conseils s’appliquent à tous les filtres de pare-feu en mode amélioré, aux filtres avec des conditions flexibles et aux filtres avec certaines actions d’arrêt. Consultez ces sujets, répertoriés sous Documentation associée, pour plus de détails.
Tableau 1 décrit les match-conditions
paramètres que vous pouvez configurer au niveau de la [edit firewall family inet filter filter-name term term-name from]
hiérarchie.
Condition de correspondance |
Description |
|
---|---|---|
|
Correspondez au champ d’adresse source ou de destination IPv4, sauf si l’option Le |
|
|
(routeurs M Series, sauf M120 et M320) Correspondez à la valeur SPI (Security Parameter Index) de l’en-tête d’authentification IPsec (AH). REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
(routeurs M Series, sauf M120 et M320) Ne correspondez pas à la valeur SPI AH IPsec. REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Spécifiez les groupes dont les données de configuration doivent être héritées. Vous pouvez spécifier plusieurs noms de groupe. Vous devez les lister par ordre de priorité d’héritage. Les données de configuration du premier groupe ont la priorité sur les données des groupes suivants. |
|
|
Spécifiez les groupes dont les données de configuration ne doivent pas hériter. Vous pouvez spécifier plusieurs noms de groupe. |
|
|
Correspondez au champ d’adresse de destination IPv4, sauf si l’option Vous ne pouvez pas spécifier les conditions et |
|
|
Correspondance avec un ou plusieurs noms de classes de destination spécifiés (ensembles de préfixes de destination regroupés et donnés un nom de classe). Pour plus d’informations, voir Conditions de correspondance des filtres de pare-feu en fonction des classes d’adresse. |
|
|
Ne correspondez pas à un ou plusieurs noms de classes de destination spécifiés. Pour plus de détails, consultez l’état des |
|
|
Correspond au champ de port de destination UDP ou TCP. Vous ne pouvez pas spécifier les conditions et Lorsque vous configurez des correspondances basées sur des ports, vous devez également configurer l’instruction Au lieu de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les numéros de port sont également répertoriés) : |
|
|
Ne correspondez pas au champ de port de destination UDP ou TCP. Pour plus de détails, consultez l’état des |
|
|
Faites correspondre les préfixes de destination dans la liste spécifiée, sauf si l’option Spécifiez le nom d’une liste de préfixes définie au niveau ] hiérarchique |
|
|
Faites correspondre le point de code de services différenciés (DSCP). Le protocole DiffServ utilise l’octet de type de service (ToS) dans l’en-tête IP. Les 6 bits les plus importants de cet octet forment le DSCP. Pour plus d’informations, voir Comprendre comment les classificateurs d’agrégation de comportement hiérarchisent le trafic fiable. La prise en charge du filtrage du point de code de services (DSCP) et de la classe de transfert pour les paquets provenant du moteur de routage, y compris les paquets IS-IS encapsulés dans l’encapsulation de routage générique (GRE). Par la suite, lorsque vous effectuez une mise à niveau à partir d’une version précédente de Junos OS où vous disposez à la fois d’une classe de service (CoS) et d’un filtre de pare-feu, et qui intègrent tous deux des actions de filtrage de classe DS ou de transfert, les critères du filtre de pare-feu priment automatiquement sur les paramètres CoS. Il en va de même pour la création de nouvelles configurations; c’est-à-dire que lorsque les mêmes paramètres existent, le filtre de pare-feu prime sur le CoS, quel que soit le premier à avoir été créé. Vous pouvez spécifier une valeur numérique à partir de Au lieu de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) :
|
|
|
Ne correspondez pas au numéro DSCP. Pour plus d’informations, consultez la condition de |
|
|
Correspondez à la valeur SPI ESP (Encapsulating Security Payload) IPsec. Correspondez à cette valeur SPI spécifique. Vous pouvez spécifier la valeur ESP SPI sous forme hexadécimale, binaire ou décimale. REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Correspondez à la valeur IPS ESP IPsec. Ne correspondez pas à cette valeur SPI spécifique. REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Correspondance si le paquet est le premier fragment d’un paquet fragmenté. Ne correspondez pas si le paquet est un fragment traînant d’un paquet fragmenté. Le premier fragment d’un paquet fragmenté a une valeur de décalage de fragment de Cette condition de correspondance est un alias pour la condition de correspondance de champ Pour correspondre à la fois aux fragments de première et de piste, vous pouvez utiliser deux termes qui spécifient des conditions de correspondance différentes : |
|
|
|
Longueur des données à correspondre en bits, non nécessaire pour l’entrée de chaîne (0..128) |
|
Bit offset après le décalage (match-start + octet) offset (0..7) |
|
|
Décalage d’octet après le point de départ de la correspondance |
|
|
Sélectionnez une correspondance flexible dans le champ de modèle prédéfini |
|
|
Masquer les bits dans les données de paquets à correspondre |
|
|
Point de départ correspondant dans le paquet |
|
|
Données de valeur/chaîne à apparier |
|
|
|
Longueur des données à apparier en bits (0..32) |
|
Bit offset après le décalage (match-start + octet) offset (0..7) |
|
|
Décalage d’octet après le point de départ de la correspondance |
|
|
Sélectionnez une correspondance flexible dans le champ de modèle prédéfini |
|
|
Point de départ correspondant dans le paquet |
|
|
Plage de valeurs à correspondre |
|
|
Ne pas correspondre à cette plage de valeurs |
|
|
Correspond à la classe de transfert du paquet. Spécifiez Pour plus d’informations sur les classes de transfert et les files d’attente de sortie internes au routeur, consultez la section Comprendre comment les classes de transfert attribuent des classes aux files d’attente de sortie. |
|
|
Ne correspondez pas à la classe de transfert du paquet. Pour plus de détails, consultez l’état des |
|
|
(Entrant uniquement) Correspond au champ des indicateurs de fragmentation IP de trois bits dans l’en-tête IP. Au lieu de la valeur numérique du champ, vous pouvez spécifier l’un des mots clés suivants (les valeurs de champ sont également répertoriées) : |
|
|
Faites correspondre le champ de décalage de fragment de 13 bits dans l’en-tête IP. La valeur est le décalage, en unités de 8 octets, dans le message global du datagramme vers le fragment de données. Spécifiez une valeur numérique, une plage de valeurs ou un ensemble de valeurs. Une valeur de décalage indique La Pour correspondre à la fois aux fragments de première et de piste, vous pouvez utiliser deux termes qui spécifient des conditions de correspondance différentes ( |
|
|
Ne correspondez pas au champ décalé de fragments de 13 bits. |
|
|
Correspondez au champ gre-key. Le champ clé GRE est un nombre de 4 octets inséré par l’encapsulateur GRE. Il s’agit d’un champ optionnel pour l’encapsulation GRE. Il range peut s’agir d’un seul numéro de clé GRE ou d’une gamme de chiffres clés. Pour les routeurs MX Series avec MPC, initialisez de nouveaux filtres de pare-feu qui incluent cette condition en parcourant la MIB SNMP correspondante. |
|
|
Correspond au champ de code du message ICMP. REMARQUE :
Lorsque vous utilisez cette condition de correspondance, vous devez également utiliser la term Allow _ICMP { from protocol icmp { icmp-code ip-header-bad; icmp-type echo-reply; } then { policer ICMP_Policier; count Allow_ICMP; Vous devez également configurer la condition de Au lieu de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées). Les mots clés sont regroupés par type ICMP auquel ils sont associés :
|
|
|
Ne correspondez pas au champ de code du message ICMP. Pour plus de détails, consultez l’état des |
|
|
Correspond au champ de type de message ICMP. REMARQUE :
Lorsque vous utilisez cette condition de correspondance, vous devez également utiliser la term Allow _ICMP { from protocol icmp { icmp-code ip-header-bad; icmp-type echo-reply; } then { policer ICMP_Policier; count Allow_ICMP; Vous devez également configurer la condition de REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction Au lieu de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Ne correspondez pas au champ de type de message ICMP. Pour plus de détails, consultez l’état des |
|
|
Correspond à l’interface sur laquelle le paquet a été reçu. REMARQUE :
Si vous configurez cette condition de correspondance avec une interface qui n’existe pas, le terme ne correspond à aucun paquet. |
|
|
Faites correspondre l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces ou à l’ensemble de groupes d’interfaces spécifiés. Pour Pour attribuer une interface logique à un groupe REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. Pour plus d’informations, consultez la présentation du filtrage des paquets reçus sur un ensemble de groupes d’interface. |
|
|
Ne correspondez pas à l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces ou à l’ensemble de groupes d’interfaces spécifiés. Pour plus de détails, consultez l’état des REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Faites correspondre l’interface sur laquelle le paquet a été reçu à l’ensemble d’interfaces spécifié. Pour définir un ensemble d’interfaces, incluez l’instruction REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. Pour plus d’informations, voir Filtrage des paquets reçus sur un ensemble d’interfaces. |
|
|
Faites correspondre le champ d’option IP 8 bits, le cas échéant, à la valeur ou à la liste de valeurs spécifiées. Au lieu d’une valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs d’option sont également répertoriées) : Pour correspondre à n’importe quelle valeur de l’option IP, utilisez le synonyme Par exemple, la condition Pour la plupart des interfaces, un terme de filtre qui spécifie une
Le concentrateur de ports modulaire 10 Gigabit Ethernet (MPC), le MPC 100 Gigabit Ethernet, le MPC 60 Gigabit Ethernet, le MPC de file d’attente Ethernet 60 Gigabit et le MPC de file d’attente améliorée 60 Gigabit Ethernet sur les routeurs MX Series sont capables d’analyser le champ d’option IP de l’en-tête de paquet IPv4. Pour les interfaces configurées sur ces MPC, tous les paquets correspondants à l’aide de la La REMARQUE :
|
|
|
Ne faites pas correspondre le champ d’option IP à la valeur ou à la liste de valeurs spécifiées. Pour plus d’informations sur la spécification du |
|
|
L’utilisation de cette condition entraîne une correspondance si l’indicateur Plus de fragments est activé dans l’en-tête IP ou si le décalage du fragment n’est pas zéro. REMARQUE :
Pour correspondre à la fois aux fragments de première et de piste, vous pouvez utiliser deux termes qui spécifient des conditions de correspondance différentes ( |
|
|
Correspond au niveau de priorité de perte de paquets (PLP). Spécifiez un ou plusieurs niveaux : Compatible avec les routeurs M120 et M320 ; M7i et routeurs M10i avec le CFEB-E amélioré (CFEB-E) ; et les routeurs MX Series. Pour le trafic IP sur les routeurs M320, MX Series et T Series équipés de concentrateurs PIC flexibles (FPC) Enhanced II), vous devez inclure l’instruction Pour plus d’informations sur l’instruction |
|
|
Ne correspondez pas au niveau PLP. Pour plus de détails, consultez l’état des |
|
|
Correspond à la longueur du paquet reçu, en octets. La longueur se réfère uniquement au paquet IP, y compris l’en-tête du paquet, et n’inclut pas de frais d’encapsulation de couche 2. Vous pouvez également spécifier une plage de valeurs à correspondre. |
|
|
Ne correspondez pas à la longueur du paquet reçu, en octets. Pour plus de détails, voir le type de |
|
|
Correspond au champ source ou port de destination UDP ou TCP. Si vous configurez cette condition de correspondance, vous ne pouvez pas configurer la Lorsque vous configurez des correspondances basées sur des ports, vous devez également configurer l’instruction Au lieu de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte répertoriés sous |
|
|
Ne correspondez pas au champ udp ou TCP source ou de destination. Pour plus de détails, consultez l’état des |
|
|
Correspond au champ de priorité IP. Au lieu de la valeur numérique du champ, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Ne correspondez pas au champ de priorité IP. Au lieu de la valeur numérique du champ, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Faites correspondre les préfixes des champs d’adresse source ou de destination aux préfixes de la liste spécifiée, sauf si l’option La liste de préfixes est définie au niveau de la REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX1000. |
|
|
Correspond au champ de type de protocole IP. Au lieu de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Ne correspondez pas au champ de type de protocole IP. Au lieu de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : |
|
|
Correspond au type de technologie d’accès radio (RAT) spécifié dans le champ Tech-Type 8 bits de l’extension de type de technologie d’accès Proxy Mobile IPv4 (PMIPv4). Le type de technologie spécifie la technologie d’accès par laquelle l’équipement mobile est connecté au réseau d’accès. Spécifiez une valeur unique, une plage de valeurs ou un ensemble de valeurs. Vous pouvez spécifier un type de technologie sous la forme d’une valeur numérique comprise entre 0 et 255 ou sous la forme d’un mot-clé système.
|
|
|
Ne correspondez pas au type de RAT. |
|
|
Correspond à un paquet reçu d’un filtre sur lequel une REMARQUE :
Cette condition de correspondance n’est pas prise en charge sur les routeurs PTX Series. |
|
|
Correspondez à l’adresse IPv4 du nœud source qui envoie le paquet, sauf si l’option Vous ne pouvez pas spécifier les conditions et |
|
|
Faites correspondre un ou plusieurs noms de classe source spécifiés (ensembles de préfixes source regroupés et donnés un nom de classe). Pour plus d’informations, voir Conditions de correspondance des filtres de pare-feu en fonction des classes d’adresse. |
|
|
Ne correspondez pas à un ou plusieurs noms de classe source spécifiés. Pour plus de détails, consultez l’état des |
|
|
Correspond au champ de port source UDP ou TCP. Vous ne pouvez pas spécifier les Lorsque vous configurez des correspondances basées sur des ports, vous devez également configurer l’instruction Au lieu de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte répertoriés avec la condition de |
|
|
Ne correspondez pas au champ de port source UDP ou TCP. Pour plus de détails, consultez l’état des |
|
|
Faites correspondre les préfixes source dans la liste spécifiée, sauf si l’option Spécifiez le nom d’une liste de préfixes définie au niveau ] hiérarchique |
|
|
Correspondance des paquets TCP d’une session TCP établie (paquets autres que le premier paquet d’une connexion). Il s’agit d’un alias pour Cette condition de correspondance ne vérifie pas implicitement que le protocole est TCP. Pour vérifier cela, spécifiez la condition de |
|
|
Faites correspondre un ou plusieurs des 6 bits d’ordre bas dans le champ indicateurs TCP 8 bits de l’en-tête TCP. Pour spécifier des champs de bits individuels, vous pouvez spécifier les synonymes de texte suivants ou des valeurs hexadécimales :
Dans une session TCP, l’indicateur SYN est défini uniquement dans le paquet initial envoyé, tandis que l’indicateur ACK est défini dans tous les paquets envoyés après le paquet initial. Vous pouvez enchaîner plusieurs indicateurs à l’aide des opérateurs logiques de champ bit. Pour les conditions de correspondance bit-field combinées, voir les conditions et Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également l’instruction Pour le trafic IPv4 uniquement, cette condition de correspondance ne vérifie pas implicitement si le datagramme contient le premier fragment d’un paquet fragmenté. Pour vérifier cette condition pour le trafic IPv4 uniquement, utilisez la condition de |
|
|
Correspond au paquet initial d’une connexion TCP. Il s’agit d’un alias pour Cette condition ne vérifie pas implicitement que le protocole est TCP. Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la condition de |
|
|
Correspond au numéro IPv4 de temps de vie. Spécifiez une valeur TTL ou une plage de valeurs TTL. Pour |
|
|
Ne correspondez pas au numéro TTL IPv4. Pour plus de détails, consultez l’état des |