Conditions de correspondance du filtre de pare-feu pour le trafic IPv6
Vous pouvez configurer un filtre de pare-feu avec des conditions de correspondance pour le trafic IPv6 (Internet Protocol version 6) (family inet6
).
Pour les routeurs MX Series avec MPC, vous devez initialiser le compteur de filtres pour les filtres de correspondance Trio uniquement en parcourant la MIB SNMP correspondante, par exemple, show snmp mib walk name ascii
. Cela oblige Junos à apprendre les compteurs de filtres et à s’assurer que les statistiques des filtres sont affichées. Ces instructions s’appliquent à tous les filtres de pare-feu en mode amélioré, aux filtres avec des conditions flexibles et aux filtres avec certaines actions de terminaison. Pour plus de détails, consultez ces rubriques, répertoriées sous Documentation associée.
Tableau 1 décrit les conditions de correspondance que vous pouvez configurer au niveau de la [edit firewall family inet6 filter filter-name term term-name from]
hiérarchie.
Condition de correspondance |
Description |
|
---|---|---|
|
Faites correspondre le champ d’adresse source ou de destination IPv6, sauf si l’option |
|
|
Spécifiez les groupes dont vous souhaitez hériter des données de configuration. Vous pouvez spécifier plusieurs noms de groupe. Vous devez les lister par ordre de priorité d’héritage. Les données de configuration du premier groupe sont prioritaires sur les données des groupes suivants. |
|
|
Spécifiez les groupes dont vous ne souhaitez pas hériter des données de configuration. Vous pouvez spécifier plusieurs noms de groupe. |
|
|
Faites correspondre le champ de l’adresse de destination IPv6, sauf si l’option Vous ne pouvez pas spécifier à la fois les conditions de correspondance |
|
|
Faites correspondre un ou plusieurs noms de classe de destination spécifiés (ensembles de préfixes de destination regroupés et dotés d’un nom de classe). Pour plus d’informations, reportez-vous à la section Conditions de correspondance du filtre de pare-feu en fonction des classes d’adresses. |
|
|
Ne faites pas correspondre un ou plusieurs noms de classe de destination spécifiés. Pour plus de détails, voir la condition de |
|
|
Faites correspondre le champ Port de destination UDP ou TCP. Vous ne pouvez pas spécifier à la fois les conditions de correspondance Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les numéros de port sont également répertoriés) : |
|
|
Ne correspond pas au champ Port de destination UDP ou TCP. Pour plus de détails, voir la condition de |
|
|
Faites correspondre le préfixe de destination IPv6 à la liste spécifiée, sauf si l’option La liste des préfixes est définie au niveau de la |
|
|
Faites correspondre un type d’en-tête d’extension contenu dans le paquet en identifiant une valeur d’en-tête suivant. REMARQUE :
Cette condition de correspondance est uniquement prise en charge sur les MPC des routeurs MX Series. Dans le premier fragment d’un paquet, le filtre recherche une correspondance dans l’un des types d’en-tête d’extension. Lorsqu’un paquet avec un en-tête de fragment est trouvé (un fragment suivant), le filtre recherche uniquement une correspondance du type d’en-tête d’extension suivant, car l’emplacement des autres en-têtes d’extension est imprévisible. À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : Pour faire correspondre n’importe quelle valeur de l’option d’en-tête d’extension, utilisez le synonyme Pour les routeurs MX Series avec MPC, initialisez les nouveaux filtres de pare-feu qui incluent cette condition en parcourant la MIB SNMP correspondante. |
|
|
Correspond si le paquet est le premier fragment. |
|
|
Ne correspond pas à un type d’en-tête d’extension contenu dans le paquet. Pour plus de détails, voir la condition de REMARQUE :
Cette condition de correspondance est uniquement prise en charge sur les MPC des routeurs MX Series. |
|
|
|
Longueur de l’entrée d’entier (1..32 bits) ; (Facultatif) Longueur de l’entrée de chaîne (1..128 bits) |
|
Décalage binaire après le décalage (match-start + octet) (0..7) |
|
|
Décalage d’octets après le point de départ de la correspondance |
|
|
Sélectionner une correspondance flexible à partir d’un champ de modèle prédéfini |
|
|
Masquer les bits dans les données de paquet à mettre en correspondance |
|
|
Point de départ à faire correspondre dans le paquet |
|
|
Données/chaîne de valeur à mettre en correspondance |
|
Pour plus d’informations, reportez-vous à la section Conditions de correspondance flexibles du filtre de pare-feu . |
||
Les plages doivent utiliser le format suivant : Integercloud de tailleInteger |
|
Longueur des données à apparier en bits (0..32) |
|
Décalage binaire après le décalage (match-start + octet) (0..7) |
|
|
Décalage d’octets après le point de départ de la correspondance |
|
|
Sélectionner une correspondance flexible à partir d’un champ de modèle prédéfini |
|
|
Point de départ à faire correspondre dans le paquet |
|
|
Plage de valeurs à faire correspondre |
|
|
Ne correspond pas à cette plage de valeurs |
|
Pour plus d’informations, reportez-vous à la section Conditions de correspondance flexibles du filtre de pare-feu . |
||
|
Faites correspondre la classe de transfert du paquet. Spécifiez Pour plus d’informations sur le transfert de classes et les files d’attente de sortie internes au routeur, consultez Comprendre comment les classes de transfert affectent des classes aux files d’attente de sortie. |
|
|
Ne correspond pas à la classe de transfert du paquet. Pour plus de détails, voir la condition de |
|
|
Faites correspondre la limite de sauts à la limite de sauts spécifiée ou à l’ensemble de limites de sauts. Pour Pris en charge sur les interfaces hébergées sur des MIC ou MPC dans les routeurs MX Series uniquement. REMARQUE :
Cette condition de correspondance est prise en charge sur les routeurs PTX Series lorsqu’elle |
|
|
Ne faites pas correspondre la limite de sauts à la limite de sauts spécifiée ou à l’ensemble de limites de sauts. Pour plus de détails, voir la condition de Pris en charge sur les interfaces hébergées sur des MIC ou MPC dans les routeurs MX Series uniquement. REMARQUE :
Cette condition de correspondance est prise en charge sur les routeurs PTX Series lorsqu’elle |
|
|
Faites correspondre le champ Code de message ICMP. Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la Si vous configurez cette condition de correspondance, vous devez également configurer la condition de À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées). Les mots-clés sont regroupés selon le type ICMP auquel ils sont associés :
|
|
|
Ne correspond pas au champ Code de message ICMP. Pour plus de détails, voir la condition de |
|
|
Faites correspondre le champ de type de message ICMP. Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : Pour |
|
|
Ne correspond pas au champ Type de message ICMP. Pour plus de détails, voir la condition de |
|
|
Faites correspondre l’interface sur laquelle le paquet a été reçu. REMARQUE :
Si vous configurez cette condition de correspondance avec une interface qui n’existe pas, le terme ne correspond à aucun paquet. |
|
|
Faites correspondre l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces spécifié ou à l’ensemble de groupes d’interfaces. Pour Pour affecter une interface logique à un groupe Pour plus d’informations, consultez Vue d’ensemble du filtrage des paquets reçus sur un ensemble de groupes d’interfaces. |
|
|
Ne faites pas correspondre l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces ou à l’ensemble de groupes d’interfaces spécifiés. Pour plus de détails, voir la condition de |
|
|
Faites correspondre l’interface sur laquelle le paquet a été reçu à l’ensemble d’interfaces spécifié. Pour définir un jeu d’interfaces , incluez l’instruction Pour plus d’informations, reportez-vous à la section Présentation du filtrage des paquets reçus sur un jeu d’interfaces. |
|
|
Faites correspondre le champ d’option IP 8 bits, s’il est présent, à la valeur ou à la liste de valeurs spécifiée. À la place d’une valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs d’option sont également répertoriées) : Pour faire correspondre n’importe quelle valeur de l’option IP , utilisez le synonyme Par exemple, la condition Pour la plupart des interfaces, un terme de filtre qui spécifie une correspondance sur une ou plusieurs valeurs d’option IP spécifiques (une
Le concentrateur de port modulaire (MPC) 10 Gigabit Ethernet, le MPC 100 Gigabit Ethernet, le MPC 60 Gigabit Ethernet, le MPC Ethernet de file d’attente 60 Gigabit et le MPC de file d’attente améliorée Ethernet 60 Gigabit sur les routeurs MX Series sont capables d’analyser le champ d’option IP de l’en-tête de paquet IPv4. Pour les interfaces configurées sur ces MPC, tous les paquets mis en correspondance à l’aide de la |
|
|
Ne faites pas correspondre le champ d’option IP à la valeur ou à la liste de valeurs spécifiée. Pour plus d’informations sur la spécification de , reportez-vous à la |
|
|
Correspond si le paquet est un fragment. |
|
|
Faites correspondre si le paquet est le dernier fragment. |
|
|
Faites correspondre le niveau de priorité de perte de paquets (PLP). Spécifiez un ou plusieurs niveaux : Pris en charge sur les routeurs M120 et M320 ; Routeurs M7i et M10i avec CFEB-E (Enhanced CFEB) ; et les routeurs et commutateurs EX Series et MX Series. Pour le trafic IP sur les routeurs M320, MX Series, T Series et les commutateurs EX Series avec des concentrateurs PIC flexibles (FPC) II améliorés, vous devez inclure l’instruction au niveau de la Pour plus d’informations sur l’instruction, reportez-vous à la |
|
|
Ne correspond pas au niveau PLP. Pour plus de détails, voir la condition de |
|
|
Faites correspondre le premier champ Next Header de 8 bits du paquet. La prise en charge de la condition de correspondance de pare-feu est disponible à partir de REMARQUE :
Les plates-formes MX ont une
Faites correspondre le premier champ Next Header de 8 bits du paquet. À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) : REMARQUE :
|
|
|
Ne faites pas correspondre le champ En-tête suivant de 8 bits qui identifie le type d’en-tête entre l’en-tête IPv6 et la charge utile. Pour plus de détails, voir le type de |
|
|
Faites correspondre la longueur du paquet reçu, en octets. La longueur fait uniquement référence au paquet IP, y compris l’en-tête du paquet, et n’inclut aucune surcharge d’encapsulation de couche 2. |
|
|
Ne correspond pas à la longueur du paquet reçu, en octets. Pour plus de détails, voir le type de |
|
|
Faites correspondre le type de protocole de charge utile. À la place de la Vous pouvez également utiliser cette REMARQUE :
Cette condition de correspondance est uniquement prise en charge sur les MPC sur les routeurs MX Series. Initialisez les nouveaux filtres de pare-feu qui incluent cette condition en exécutant la MIB SNMP correspondante. |
|
|
Ne correspond pas au type de protocole de charge utile. Pour plus de détails, voir le type de REMARQUE :
Cette condition de correspondance est uniquement prise en charge sur les MPC sur les routeurs MX Series |
|
|
Faites correspondre le champ du port source ou de destination UDP ou TCP. Si vous configurez cette condition de correspondance, vous ne pouvez pas configurer la condition de correspondance ou la Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte répertoriés sous |
|
|
Ne correspond pas au champ UDP ou TCP source ou port de destination. Pour plus de détails, voir la condition de |
|
|
Faites correspondre les préfixes des champs d’adresse source ou de destination aux préfixes de la liste spécifiée, sauf si l’option La liste des préfixes est définie au niveau de la |
|
|
Correspond à un paquet reçu d’un filtre sur lequel une |
|
|
Faites correspondre l’adresse IPv6 du nœud source qui envoie le paquet, sauf si cette Vous ne pouvez pas spécifier à la fois les conditions de correspondance |
|
|
Faites correspondre un ou plusieurs noms de classe source spécifiés (ensembles de préfixes de source regroupés et dotés d’un nom de classe). Pour plus d’informations, reportez-vous à la section Conditions de correspondance du filtre de pare-feu en fonction des classes d’adresses. |
|
|
Ne correspond pas à un ou plusieurs noms de classe source spécifiés. Pour plus de détails, voir la condition de |
|
|
Faites correspondre le champ Port source UDP ou TCP. Vous ne pouvez pas spécifier les Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la REMARQUE :
Pour Junos OS Evolved, vous devez configurer l’instruction À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte répertoriés avec la |
|
|
Ne correspond pas au champ Port source UDP ou TCP. Pour plus de détails, voir la condition de |
|
|
Faites correspondre le préfixe d’adresse IPv6 du champ source du paquet, sauf si l’option Spécifiez un nom de liste de préfixes défini au niveau de la |
|
|
Faites correspondre les paquets TCP autres que le premier paquet d’une connexion. Il s’agit d’un synonyme textuel de REMARQUE :
Cette condition ne vérifie pas implicitement que le protocole est TCP. Pour vérifier cela, spécifiez la condition de Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la condition de |
|
|
Faites correspondre un ou plusieurs des 6 bits d’ordre inférieur dans le champ d’indicateurs TCP 8 bits de l’en-tête TCP. Pour spécifier des champs de bits individuels, vous pouvez spécifier les synonymes de texte ou les valeurs hexadécimales suivants :
Dans une session TCP, l’indicateur SYN est défini uniquement dans le paquet initial envoyé, tandis que l’indicateur ACK est défini dans tous les paquets envoyés après le paquet initial. Vous pouvez enchaîner plusieurs drapeaux à l’aide des opérateurs logiques de champ de bits. Pour connaître les conditions de correspondance de champs binaires combinés, reportez-vous à la section et Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la condition de |
|
|
Correspond au paquet initial d’une connexion TCP. Il s’agit d’un synonyme textuel de Cette condition ne vérifie pas implicitement que le protocole est TCP. Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la condition de |
|
|
Correspond au champ 8 bits qui spécifie la priorité de classe de service (CoS) du paquet. Ce champ était auparavant utilisé comme champ de type de service (ToS) dans IPv4. Vous pouvez spécifier une valeur numérique à partir de À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte suivants (les valeurs de champ sont également répertoriées) :
|
|
|
Ne correspond pas au champ 8 bits qui spécifie la priorité CoS du paquet. Pour plus de détails, voir la description du |
Si vous spécifiez une adresse IPv6 dans une condition de correspondance (les conditions de correspondance , ou source-address
de address
correspondance), utilisez la syntaxe des représentations textuelles décrite dans la RFC 4291, destination-address
Architecture d’adressage IP version 6. Pour plus d’informations sur les adresses IPv6, consultez Présentation d’IPv6 et Normes IPv6 prises en charge.https://www.juniper.net/documentation/en_US/junos/topics/concept/routing-protocols-ipv6-overview.html
Tableau de l'historique des modifications
La prise en charge des fonctionnalités est déterminée par la plateforme et la version que vous utilisez. Utilisez l' Feature Explorer pour déterminer si une fonctionnalité est prise en charge sur votre plateforme.
next-header
Junos OS version 13.3R6.