Conditions de correspondance du filtre de pare-feu pour le trafic IPv6
Vous pouvez configurer un filtre de pare-feu avec des conditions de correspondance pour le trafic IPv6 (Internet Protocol version 6) (family inet6
).
Pour les routeurs MX Series avec MPC, vous devez initialiser le compteur de filtres pour les filtres de correspondance Trio uniquement en parcourant la MIB SNMP correspondante, par exemple, show snmp mib walk name ascii
. Cela oblige Junos à apprendre les compteurs de filtres et à s’assurer que les statistiques des filtres sont affichées. Ces instructions s’appliquent à tous les filtres de pare-feu en mode amélioré, aux filtres avec des conditions flexibles et aux filtres avec certaines actions de terminaison. Pour plus de détails, consultez ces rubriques, répertoriées sous Documentation associée.
Tableau 1 décrit les conditions de correspondance que vous pouvez configurer au niveau de la [edit firewall family inet6 filter filter-name term term-name from]
hiérarchie.
Condition de correspondance |
Description |
|||||||||||||||||||||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
Faites correspondre le champ d’adresse source ou de destination IPv6, sauf si l’option |
|||||||||||||||||||||||||||||
|
Spécifiez les groupes dont vous souhaitez hériter des données de configuration. Vous pouvez spécifier plusieurs noms de groupe. Vous devez les lister par ordre de priorité d’héritage. Les données de configuration du premier groupe sont prioritaires sur les données des groupes suivants. |
|||||||||||||||||||||||||||||
|
Spécifiez les groupes dont vous ne souhaitez pas hériter des données de configuration. Vous pouvez spécifier plusieurs noms de groupe. |
|||||||||||||||||||||||||||||
|
Faites correspondre le champ de l’adresse de destination IPv6, sauf si l’option Vous ne pouvez pas spécifier à la fois les conditions de correspondance et |
|||||||||||||||||||||||||||||
|
Faites correspondre un ou plusieurs noms de classe de destination spécifiés (ensembles de préfixes de destination regroupés et dotés d’un nom de classe). Pour plus d’informations, reportez-vous à la section Conditions de correspondance du filtre de pare-feu en fonction des classes d’adresses. |
|||||||||||||||||||||||||||||
|
Ne faites pas correspondre un ou plusieurs noms de classe de destination spécifiés. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre le champ Port de destination UDP ou TCP. Vous ne pouvez pas spécifier à la fois les conditions de correspondance et Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les numéros de port sont également répertoriés) : |
|||||||||||||||||||||||||||||
|
Ne correspond pas au champ Port de destination UDP ou TCP. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre le préfixe de destination IPv6 à la liste spécifiée, sauf si l’option La liste des préfixes est définie au niveau de la |
|||||||||||||||||||||||||||||
|
Faites correspondre un type d’en-tête d’extension contenu dans le paquet en identifiant une valeur d’en-tête suivant. REMARQUE :
Cette condition de correspondance est uniquement prise en charge sur les MPC des routeurs MX Series. Dans le premier fragment d’un paquet, le filtre recherche une correspondance dans l’un des types d’en-tête d’extension. Lorsqu’un paquet avec un en-tête de fragment est trouvé (un fragment suivant), le filtre recherche uniquement une correspondance du type d’en-tête d’extension suivant, car l’emplacement des autres en-têtes d’extension est imprévisible. À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : Pour faire correspondre n’importe quelle valeur de l’option d’en-tête d’extension, utilisez le synonyme Pour les routeurs MX Series avec MPC, initialisez les nouveaux filtres de pare-feu qui incluent cette condition en parcourant la MIB SNMP correspondante. |
|||||||||||||||||||||||||||||
|
Correspond si le paquet est le premier fragment. |
|||||||||||||||||||||||||||||
étiquette_flux flow label value |
Faites correspondre le champ d’étiquette de flux de 20 bits dans l’en-tête d’un paquet IPv6. Les valeurs sont comprises entre 0x1 et 0xFFFFF. Les conditions de correspondance flow-label et next-header ne peuvent pas coexister. Seule l’une ou l’autre de ces conditions de correspondance peut être appliquée à la fois. Pour activer flow-label et désactiver next-header , appliquez la configuration suivante : Le tableau suivant récapitule le comportement de la condition de correspondance d’étiquette de flux avec la condition d’en-tête suivant .
REMARQUE :
Les |
|||||||||||||||||||||||||||||
masque flow-label flow label valuemask value |
En plus de la valeur d’étiquette de flux normale, vous pouvez utiliser une valeur de masque lors de la configuration de la correspondance ; La valeur mask correspond à des bits spécifiques de la valeur Flow-Label donnée. REMARQUE :
La |
|||||||||||||||||||||||||||||
|
Ne correspond pas à un type d’en-tête d’extension contenu dans le paquet. Pour plus de détails, voir la condition de REMARQUE :
Cette condition de correspondance est uniquement prise en charge sur les MPC des routeurs MX Series. |
|||||||||||||||||||||||||||||
|
|
Longueur de l’entrée d’entier (1..32 bits) ; (Facultatif) Longueur de l’entrée de chaîne (1..128 bits) |
||||||||||||||||||||||||||||
|
Décalage binaire après le décalage (match-start + octet) (0..7) |
|||||||||||||||||||||||||||||
|
Décalage d’octets après le point de départ de la correspondance |
|||||||||||||||||||||||||||||
|
Sélectionner une correspondance flexible à partir d’un champ de modèle prédéfini |
|||||||||||||||||||||||||||||
|
Masquer les bits dans les données de paquet à mettre en correspondance |
|||||||||||||||||||||||||||||
|
Point de départ à faire correspondre dans le paquet |
|||||||||||||||||||||||||||||
|
Données/chaîne de valeur à mettre en correspondance |
|||||||||||||||||||||||||||||
Pour plus d’informations, reportez-vous à la section Conditions de correspondance flexibles du filtre de pare-feu . |
||||||||||||||||||||||||||||||
Les plages doivent utiliser le format suivant : Integercloud de tailleInteger |
|
Longueur des données à apparier en bits (0..32) |
||||||||||||||||||||||||||||
|
Décalage binaire après le décalage (match-start + octet) (0..7) |
|||||||||||||||||||||||||||||
|
Décalage d’octets après le point de départ de la correspondance |
|||||||||||||||||||||||||||||
|
Sélectionner une correspondance flexible à partir d’un champ de modèle prédéfini |
|||||||||||||||||||||||||||||
|
Point de départ à faire correspondre dans le paquet |
|||||||||||||||||||||||||||||
|
Plage de valeurs à faire correspondre |
|||||||||||||||||||||||||||||
|
Ne correspond pas à cette plage de valeurs |
|||||||||||||||||||||||||||||
Pour plus d’informations, reportez-vous à la section Conditions de correspondance flexibles du filtre de pare-feu . |
||||||||||||||||||||||||||||||
|
Faites correspondre la classe de transfert du paquet. Spécifiez Pour plus d’informations sur le transfert de classes et les files d’attente de sortie internes au routeur, consultez Comprendre comment les classes de transfert affectent des classes aux files d’attente de sortie. |
|||||||||||||||||||||||||||||
|
Ne correspond pas à la classe de transfert du paquet. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre la limite de sauts à la limite de sauts spécifiée ou à l’ensemble de limites de sauts. Pour Pris en charge sur les interfaces hébergées sur des MIC ou MPC dans les routeurs MX Series uniquement. REMARQUE :
Cette condition de correspondance est prise en charge sur les routeurs PTX Series lorsqu’elle |
|||||||||||||||||||||||||||||
|
Ne faites pas correspondre la limite de sauts à la limite de sauts spécifiée ou à l’ensemble de limites de sauts. Pour plus de détails, voir la condition de Pris en charge sur les interfaces hébergées sur des MIC ou MPC dans les routeurs MX Series uniquement. REMARQUE :
Cette condition de correspondance est prise en charge sur les routeurs PTX Series lorsqu’elle |
|||||||||||||||||||||||||||||
|
Faites correspondre le champ Code de message ICMP. Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la Si vous configurez cette condition de correspondance, vous devez également configurer la condition de À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées). Les mots-clés sont regroupés selon le type ICMP auquel ils sont associés :
|
|||||||||||||||||||||||||||||
|
Ne correspond pas au champ Code de message ICMP. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre le champ de type de message ICMP. Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : Pour |
|||||||||||||||||||||||||||||
|
Ne correspond pas au champ Type de message ICMP. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre l’interface sur laquelle le paquet a été reçu. REMARQUE :
Si vous configurez cette condition de correspondance avec une interface qui n’existe pas, le terme ne correspond à aucun paquet. |
|||||||||||||||||||||||||||||
|
Faites correspondre l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces spécifié ou à l’ensemble de groupes d’interfaces. Pour Pour affecter une interface logique à un groupe Pour plus d’informations, consultez Vue d’ensemble du filtrage des paquets reçus sur un ensemble de groupes d’interfaces. |
|||||||||||||||||||||||||||||
|
Ne faites pas correspondre l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces ou à l’ensemble de groupes d’interfaces spécifiés. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre l’interface sur laquelle le paquet a été reçu à l’ensemble d’interfaces spécifié. Pour définir un jeu d’interfaces, incluez l’instruction Pour plus d’informations, reportez-vous à la section Présentation du filtrage des paquets reçus sur un jeu d’interfaces. |
|||||||||||||||||||||||||||||
|
Faites correspondre le champ d’option IP 8 bits, s’il est présent, à la valeur ou à la liste de valeurs spécifiée. À la place d’une valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs d’option sont également répertoriées) : Pour faire correspondre n’importe quelle valeur de l’option IP, utilisez le synonyme Par exemple, la condition Pour la plupart des interfaces, un terme de filtre qui spécifie une
Le concentrateur de port modulaire (MPC) 10 Gigabit Ethernet, le MPC 100 Gigabit Ethernet, le MPC 60 Gigabit Ethernet, le MPC Ethernet de file d’attente 60 Gigabit et le MPC de file d’attente améliorée Ethernet 60 Gigabit sur les routeurs MX Series sont capables d’analyser le champ d’option IP de l’en-tête de paquet IPv4. Pour les interfaces configurées sur ces MPC, tous les paquets mis en correspondance à l’aide de la |
|||||||||||||||||||||||||||||
|
Ne faites pas correspondre le champ d’option IP à la valeur ou à la liste de valeurs spécifiée. Pour plus d’informations sur la spécification de , |
|||||||||||||||||||||||||||||
|
Correspond si le paquet est un fragment. |
|||||||||||||||||||||||||||||
|
Faites correspondre si le paquet est le dernier fragment. |
|||||||||||||||||||||||||||||
|
Faites correspondre le niveau de priorité de perte de paquets (PLP). Spécifiez un ou plusieurs niveaux : Pris en charge sur les routeurs M120 et M320 ; Routeurs M7i et M10i avec CFEB-E (Enhanced CFEB) ; et les routeurs et commutateurs EX Series et MX Series. Pour le trafic IP sur les routeurs M320, MX Series, T Series et les commutateurs EX Series avec des concentrateurs PIC flexibles (FPC) II améliorés, vous devez inclure l’instruction Pour plus d’informations sur l’instruction, reportez-vous à la |
|||||||||||||||||||||||||||||
|
Ne correspond pas au niveau PLP. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre le premier champ Next Header de 8 bits du paquet. La prise en charge de la REMARQUE :
Les plates-formes MX ont une
Faites correspondre le premier champ Next Header de 8 bits du paquet. À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : REMARQUE :
|
|||||||||||||||||||||||||||||
|
Ne faites pas correspondre le champ En-tête suivant de 8 bits qui identifie le type d’en-tête entre l’en-tête IPv6 et la charge utile. Pour plus de détails, voir le type de |
|||||||||||||||||||||||||||||
|
Faites correspondre la longueur du paquet reçu, en octets. La longueur fait uniquement référence au paquet IP, y compris l’en-tête du paquet, et n’inclut aucune surcharge d’encapsulation de couche 2. |
|||||||||||||||||||||||||||||
|
Ne correspond pas à la longueur du paquet reçu, en octets. Pour plus de détails, voir le type de |
|||||||||||||||||||||||||||||
|
Faites correspondre le type de protocole de charge utile. À la place de la Vous pouvez également utiliser cette REMARQUE :
Cette condition de correspondance est uniquement prise en charge sur les MPC sur les routeurs MX Series. Initialisez les nouveaux filtres de pare-feu qui incluent cette condition en exécutant la MIB SNMP correspondante. |
|||||||||||||||||||||||||||||
|
Ne correspond pas au type de protocole de charge utile. Pour plus de détails, voir le type de REMARQUE :
Cette condition de correspondance est uniquement prise en charge sur les MPC sur les routeurs MX Series |
|||||||||||||||||||||||||||||
|
Faites correspondre le champ du port source ou de destination UDP ou TCP. Si vous configurez cette condition de correspondance, vous ne pouvez pas configurer la condition de Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte répertoriés sous |
|||||||||||||||||||||||||||||
|
Ne correspond pas au champ UDP ou TCP source ou port de destination. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre les préfixes des champs d’adresse source ou de destination aux préfixes de la liste spécifiée, sauf si l’option La liste des préfixes est définie au niveau de la |
|||||||||||||||||||||||||||||
|
Correspond à un paquet reçu d’un filtre sur lequel une |
|||||||||||||||||||||||||||||
|
Faites correspondre l’adresse IPv6 du nœud source qui envoie le paquet, sauf si cette Vous ne pouvez pas spécifier à la fois les conditions de correspondance et |
|||||||||||||||||||||||||||||
|
Faites correspondre un ou plusieurs noms de classe source spécifiés (ensembles de préfixes de source regroupés et dotés d’un nom de classe). Pour plus d’informations, reportez-vous à la section Conditions de correspondance du filtre de pare-feu en fonction des classes d’adresses. |
|||||||||||||||||||||||||||||
|
Ne correspond pas à un ou plusieurs noms de classe source spécifiés. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre le champ Port source UDP ou TCP. Vous ne pouvez pas spécifier les Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte répertoriés avec la |
|||||||||||||||||||||||||||||
|
Ne correspond pas au champ Port source UDP ou TCP. Pour plus de détails, voir la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre le préfixe d’adresse IPv6 du champ source du paquet, sauf si l’option Spécifiez un nom de liste de préfixes défini au niveau de la |
|||||||||||||||||||||||||||||
|
Faites correspondre les paquets TCP autres que le premier paquet d’une connexion. Il s’agit d’un synonyme textuel de REMARQUE :
Cette condition ne vérifie pas implicitement que le protocole est TCP. Pour vérifier cela, spécifiez la condition de Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la condition de |
|||||||||||||||||||||||||||||
|
Faites correspondre un ou plusieurs des 6 bits d’ordre inférieur dans le champ d’indicateurs TCP 8 bits de l’en-tête TCP. Pour spécifier des champs de bits individuels, vous pouvez spécifier les synonymes de texte ou les valeurs hexadécimales suivants :
Dans une session TCP, l’indicateur SYN est défini uniquement dans le paquet initial envoyé, tandis que l’indicateur ACK est défini dans tous les paquets envoyés après le paquet initial. Vous pouvez enchaîner plusieurs drapeaux à l’aide des opérateurs logiques de champ de bits. Pour connaître les conditions de correspondance de champs binaires combinés, reportez-vous à la section et Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la condition de |
|||||||||||||||||||||||||||||
|
Correspond au paquet initial d’une connexion TCP. Il s’agit d’un synonyme textuel de Cette condition ne vérifie pas implicitement que le protocole est TCP. Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la condition de |
|||||||||||||||||||||||||||||
|
Correspond au champ 8 bits qui spécifie la priorité de classe de service (CoS) du paquet. Ce champ était auparavant utilisé comme champ de type de service (ToS) dans IPv4. Vous pouvez spécifier une valeur numérique à partir de À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) :
|
|||||||||||||||||||||||||||||
|
Ne correspond pas au champ 8 bits qui spécifie la priorité CoS du paquet. Pour plus de détails, voir la description du |
source-port-range-optimize
et destination-port-range-optimize
sont pris en charge pour le filtre de pare-feu IPv6 dans le sens entrant au niveau de la [edit firewall family inet6 filter <filter-name> term <term-name> from]
hiérarchie.
L’espace TCAM disponible est limité pour la programmation des entrées de filtre. L’espace TCAM peut être épuisé lorsque vous essayez de faire correspondre un grand nombre de plages de ports sources ou de destination. Pour résoudre ce problème, et destination-port-range-optimize
peut être configuré à partir de l’interface de ligne de commande, source-port-range-optimize
ce qui réduira considérablement le nombre d’entrées TCAM utilisées lorsque les plages de ports sources ou de destination sont configurées dans les conditions de correspondance des filtres de pare-feu.
Un exemple de configuration est présenté ci-dessous.
set firewall family ethernet-switching filter TEST term t1 from source-port 2000-10000 set firewall family ethernet-switching filter TEST term t1 from source-port-range-optimize set firewall family ethernet-switching filter TEST term t1 from destination-port 3000-9000 set firewall family ethernet-switching filter TEST term t1 from destination-port-range-optimize
Si vous spécifiez une adresse IPv6 dans une condition de correspondance (les conditions de correspondance , ou de address
correspondance), utilisez la syntaxe des représentations textuelles décrite dans la RFC 4291, Architecture d’adressage IP version 6source-address
. destination-address
Pour plus d’informations sur les adresses IPv6, consultez Présentation d’IPv6 et Normes IPv6 prises en charge.
Tableau de l'historique des modifications
La prise en charge des fonctionnalités est déterminée par la plateforme et la version que vous utilisez. Utilisez l' Feature Explorer pour déterminer si une fonctionnalité est prise en charge sur votre plateforme.
next-header
condition de correspondance de pare-feu est disponible à partir de Junos OS version 13.3R6.