Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Conditions de correspondance des filtres de pare-feu en fonction des champs d’adresse

Vous pouvez configurer les conditions de correspondance des filtres de pare-feu pour évaluer les champs d’adresse de paquet (adresses source et de destination IPv4, adresses source et de destination IPv6 ou adresses source et de destination adresse MAC (MAC) par rapport aux adresses ou valeurs de préfixe spécifiées.

Correspondance implicite sur l’adresse « 0/0 sauf » pour les conditions de correspondance du filtre de pare-feu En fonction des champs d’adresse

Chaque condition de correspondance de filtre de pare-feu basée sur un ensemble d’adresses ou de préfixes d’adresse est associée à une correspondance implicite sur l’adresse (pour le trafic IPv4 ou VPLS) ou (pour le trafic 0.0.0.0/0 except0:0:0:0:0:0:0:0/0 except IPv6). En conséquence, tout paquet dont le champ d’adresse spécifié ne correspond pas aux adresses ou préfixes d’adresses spécifiées ne correspond pas à l’ensemble du terme.

Appariement d’un champ d’adresse à un masque ou préfixe de sous-réseau

Vous pouvez spécifier une condition de correspondance unique pour correspondre à une adresse source ou à une adresse de destination qui tombe dans un préfixe d’adresse spécifié.

Notation du masque de sous-réseau IPv4

Pour une adresse IPv4, vous pouvez spécifier une valeur de masque de sous-réseau plutôt qu’une longueur de préfixe. Quelques chiffres clés :

Notation des préfixes

Pour spécifier l’adresse préfixe, utilisez la notation prefix / prefix-length . Dans l’exemple suivant, une correspondance est possible si l’adresse de destination correspond au 10.0.0.0/8 préfixe:

Longueur de préfixe par défaut pour les adresses IPv4

Si vous ne spécifiez pas /prefix-length une adresse IPv4, la longueur du préfixe indique par défaut . /32 L’exemple suivant illustre la valeur de préfixe par défaut:

Longueur de préfixe par défaut pour les adresses IPv6

Si vous ne spécifiez pas /prefix-length une adresse IPv6, la longueur du préfixe indique par défaut . /128 L’exemple suivant illustre la valeur de préfixe par défaut:

Longueur de préfixe par défaut pour les adresses MAC

Si vous ne spécifiez pas une adresse adresse MAC (MAC) d’un VPLS, d’une CCC de couche 2 ou d’un paquet de pontage de couche 2, la longueur du /prefix-length préfixe est par défaut /48 supérieure. L’exemple suivant illustre la valeur de préfixe par défaut:

Associer un champ d’adresse à une valeur exclu

Pour les conditions de correspondance entre l’adresse et le champ, vous pouvez utiliser le mot-clé pour spécifier qu’une correspondance se produit pour un champ d’adresse qui ne correspond pas à l’adresse ou au except préfixe spécifié.

À l’exception des adresses IP dans le trafic IPv4 ou IPv6

Pour les conditions de correspondance IPv4 et IPv6 suivantes, vous pouvez utiliser les mots-clés pour spécifier qu’une correspondance se produit pour un champ d’adresse IP qui ne correspond pas à l’adresse IP indiquée ou au except préfixe:

  • address address except—Une correspondance se produit si l’adresse IP source ou l’adresse IP de destination ne correspond pas à l’adresse ou au préfixe spécifié.

  • source-address address except—Une correspondance se produit si l’adresse IP source ne correspond pas à l’adresse ou au préfixe spécifié.

  • destination-address address except—Une correspondance se produit si l’adresse IP de destination ne correspond pas à l’adresse ou au préfixe spécifié.

Dans l’exemple suivant, une correspondance est faite pour toutes les adresses de destination IPv4 qui tombent sous le préfixe, à l’exception des adresses qui tombent 172.0.0.0/8 sous 172.16.0.0/16 . Toutes les autres adresses ne correspondent pas implicitement à cette condition.

Dans l’exemple suivant, une correspondance se produit pour toute adresse de destination IPv4 qui ne se trouve pas dans le 10.1.1.0/24 préfixe:

Adresses IP exclu dans VPLS ou trafic de pontage de couche 2

Pour les conditions de correspondance VPLS et de pontage de couche 2 suivantes sur les routeurs MX Series uniquement, vous pouvez inclure le mot-clé pour spécifier qu’une correspondance se produit pour un champ d’adresse IP qui ne correspond pas à l’adresse IP ou au except préfixe spécifié:

  • ip-address address except—Une correspondance se produit si l’adresse IP source ou l’adresse IP de destination ne correspond pas à l’adresse ou au préfixe spécifié.

  • source-ip-address address except—Une correspondance se produit si l’adresse IP source ne correspond pas à l’adresse ou au préfixe spécifié.

  • destination-ip-address address except—Une correspondance se produit si l’adresse IP de destination ne correspond pas à l’adresse ou au préfixe spécifié.

Dans l’exemple suivant pour le filtrage du trafic VPLS sur un routeur MX Series, une correspondance est faite si l’adresse IP source se situe dans la plage d’exception et les correspondances de l’adresse IP de 55.0.1.0/255.0.255.05172.16.5.0/8 destination:

Adresses MAC exclu dans VPLS ou trafic de pontage de couche 2

Pour les conditions de correspondance de trafic VPLS ou de pontage de couche 2 suivantes, vous pouvez utiliser le mot-clé pour spécifier qu’une correspondance se produit pour un champ d’adresse MAC qui ne correspond pas à l’adresse MAC ou au except préfixe spécifié:

  • source-mac-address address except—Une correspondance se produit si l’adresse MAC source ne correspond pas à l’adresse ou au préfixe spécifié.

  • destination-mac-address address except—Une correspondance se produit si l’adresse MAC de destination ne correspond pas à l’adresse ou au préfixe spécifié.

L’exclusion de toutes les adresses nécessite une correspondance explicite sur l’adresse « 0/0 »

Si vous spécifiez une condition de correspondance de filtre de pare-feu qui se compose d’une ou plusieurs conditions de correspondance del’adresse exception (conditions de correspondance d’adresse qui utilisent le mot-clé) mais aucune condition de correspondance d’adresse correspondance de pare-feu, les paquets qui ne correspondent pas à l’un des except préfixes configurés échouent le fonctionnement global de la correspondance. Pour configurer un terme filtre de pare-feu qui correspond aux conditions de correspondance de l’exception d’adresse pour correspondre à une adresse qui n’est pas dans la liste de préfixes, indiquez une correspondance explicite de cette façon que le terme contient une 0/0 adresse matchable.

Pour l’exemple de filtre de pare-feu suivant pour le trafic IPv4, le terme ne permet pas d’écarter le trafic correspondant, et le compteur manque le résultat de la commande from-trusted-addressesINTRUDERS-COUNT du mode show firewall opérationnel:

Pour faire correspondre les conditions de correspondance d’une exception d’adresse à une adresse qui n’est pas dans la liste de préfixe, inclure une correspondance explicite de l’ensemble des conditions de 0/0 correspondance:

Avec l’ajout de l’adresse de préfixe source à la condition de correspondance, le terme écarte le trafic correspondant, et le compteur 0.0.0.0/0 INTRUDERS-COUNT s’affiche dans la commande du from-trusted-addressesshow firewall mode opérationnel:

Associer l’un ou l’autre des champs d’adresse IP à une valeur unique

Pour le trafic IPv4 et IPv6 et pour le trafic VPLS et le trafic de pontage de couche 2 sur les routeurs MX Series uniquement, vous pouvez utiliser une condition de correspondance unique pour correspondre une adresse ou une valeur de préfixe unique au champ d’adresse IP source ou de destination.

Correspondance des adresses IP dans le trafic IPv4 ou IPv6

Pour le trafic IPv4 ou IPv6, vous pouvez utiliser une condition de correspondance unique pour spécifier la même adresse ou la même valeur de préfixe que la correspondance pour le champ d’adresse IP source ou de destination. Au lieu de créer des termes de filtres distincts qui spécifient la même adresse pour les conditions de correspondance et de correspondance, vous utilisez source-address uniquement la condition de destination-addressaddress correspondance. Une correspondance est possible si l’adresse IP source ou l’adresse IP de destination correspond à l’adresse ou au préfixe spécifié.

Si vous utilisez le mot-clé avec la condition de correspondance, une correspondance s’applique si l’adresse IP source et l’adresse IP de destination correspondent à la valeur spécifiée avant que except l’exception ne s’applique. address

Dans un terme de filtre de pare-feu qui spécifie la condition de correspondance ou la source-addressdestination-address condition de correspondance, vous ne pouvez pas également spécifier la address condition de correspondance.

Correspondance du champ d’adresse IP dans VPLS ou du trafic de pontage de couche 2

Pour le trafic VPLS ou le trafic de pontage de couche 2 sur les routeurs MX Series uniquement, vous pouvez utiliser une condition de correspondance unique pour spécifier la même adresse ou la même valeur de préfixe que la correspondance pour le champ d’adresse IP source ou de destination. Au lieu de créer des termes de filtres distincts qui spécifient la même adresse pour les conditions de correspondance et de correspondance, vous utilisez source-ip-address uniquement la condition de destination-ip-addressip-address correspondance. Une correspondance est possible si l’adresse IP source ou l’adresse IP de destination correspond à l’adresse ou au préfixe spécifié.

Si vous utilisez le mot-clé avec la condition de correspondance, une correspondance s’applique si l’adresse IP source et l’adresse IP de destination correspondent à la valeur spécifiée avant que except l’exception ne s’applique. ip-address

Dans un terme de filtre de pare-feu qui spécifie la condition de correspondance ou la source-ip-addressdestination-ip-address condition de correspondance, vous ne pouvez pas également spécifier la ip-address condition de correspondance.

Appariement d’un champ d’adresse à des préfixes noncontigus

Pour le trafic IPv4 uniquement, spécifiez une condition de correspondance unique afin de faire correspondre le champ de l’adresse IP source ou de destination à tout préfixe spécifié. Les préfixes n’ont pas besoin d’être contigus. Autrement dit, les préfixes sous la condition de correspondance n’ont pas besoin d’être adjacents ou voisins les source-addressdestination-address uns aux autres.

Dans l’exemple suivant, une correspondance est possible si l’adresse de destination correspond soit au 10.0.0.0/8 préfixe, soit au 192.168.0.0/32 préfixe:

L’ordre dans lequel vous spécifiez les préfixes dans la condition de correspondance n’est pas important. Les paquets sont évalués à l’aune de tous les préfixes de la condition de correspondance afin de déterminer s’il y a correspondance. Si les préfixes se chevauchent, des règles de correspondances plus longues sont utilisées pour déterminer si une correspondance se produit. Une condition de correspondance de préfixes noncontigus inclut une instruction implicite, ce qui signifie que tout préfixe qui ne correspond pas à un préfixe inclus dans la condition de correspondance est expressément considéré comme ne pas 0/0 except correspondre.

Étant donné que les préfixes sont indépendants des ordre et utilisent les règles de correspondance les plus longues, les préfixes plus longs sous-ensemble plus courts aussi longtemps qu’ils sont du même type (que vous spécifiez ou except non). Cela est dû au fait que tout ce qui correspond à un préfixe plus long serait également assorti au plus court.

Prenons l’exemple suivant:

Dans la source-address condition de correspondance, deux adresses sont ignorées. La 172.16.3.0/16 valeur est ignorée car elle tombe sous l’adresse 172.16.0.0/10 , qui est du même type. La 10.2.2.2 except valeur est ignorée, car elle se trouve sous-estimée par la valeur de correspondance 0.0.0.0/0 except implicite.

Supposez que l’adresse IP source suivante soit évaluée par ce filtre de pare-feu:

  • Adresse IP source: cette adresse est en correspondance avec le préfixe et l’action est donc prise dans 172.16.1.2172.16.0.0/10then l’énoncé.

  • Adresse IP 172.16.2.2 source: cette adresse est proche du 172.16.2.0/24 préfixe. Étant donné que ce préfixe est désintééré (c’est-à-dire inclut les mots-clés), il existe une exceptinsmatérialisation explicite. Le terme suivant est évalué dans le filtre s’il en existe un. S’il n’y a plus de termes, le paquet est éliminé.

  • Adresse IP source: cette adresse ne correspond à aucun des 10.1.2.3 préfixes inclus dans la source-address condition. Il est alors correspondre à l’implicite à la fin de la liste de préfixes configurés dans la condition de correspondance et est considéré comme 0.0.0.0/0 exceptsource-address incochable.

    L’instruction est ignorée car elle tombe sous l’adresse ; ces deux affirmations 172.16.3.0/24172.16.0.0/10 sont du même type.

    L’instruction est ignorée, car elle se trouve sous la forme d’une instruction implicite à la fin de la liste de préfixes configurée dans 10.2.2.2 except0.0.0.0/0 except la condition de source-address correspondance.

bonnes pratiques :

Lorsqu’un terme de filtre de pare-feu inclut la condition de correspondance et qu’un terme ultérieur inclut la condition de correspondance pour la même adresse, les paquets peuvent être traitées par ce dernier terme avant d’être évalués par des conditions from address addressfrom source-address address intermédiaires. En conséquence, les paquets qui doivent être rejetés par les termes intermédiaires peuvent être acceptés à la place, ou les paquets qui devraient être acceptés peuvent être rejetés à la place.

Pour éviter que cela ne se produise, nous vous recommandons d’en faire la liste. Pour chaque terme de filtre de pare-feu qui contient la condition de correspondance, remplacez ce terme from address address par deux termes distincts: une qui contient la from source-address address condition de correspondance, et une autre qui contient from destination-address address la condition de correspondance.

Appariement d’un champ d’adresse à une liste de préfixes

Vous pouvez définir une liste de préfixes d’adresses IPv4 ou IPv6 à utiliser dans une déclaration de stratégie de routage ou dans une condition de correspondance de filtre de pare-feu sans état qui évalue les champs d’adresses de paquets.

Pour définir une liste de préfixes d’adresses IPv4 ou IPv6, inclure prefix-list prefix-list l’énoncé.

Vous pouvez inclure l’énoncé aux niveaux hiérarchiques suivants:

  • [edit policy-options]

  • [edit logical-systems logical-system-name policy-options]

Une fois que vous avez défini une liste de préfixes, vous pouvez l’utiliser pour spécifier une condition de correspondance de filtre de pare-feu basée sur un préfixe d’adresse IPv4 ou IPv6.