Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Conditions de correspondance du filtre de pare-feu en fonction des champs d’adresse

Vous pouvez configurer des conditions de correspondance de filtre de pare-feu qui évaluent les champs d’adresse de paquets (adresses source et de destination IPv4, adresses source et de destination IPv6, adresses source et de destination MAC) par rapport aux adresses ou valeurs de préfixe spécifiées.

Correspondance implicite sur l’adresse « 0/0 sauf » pour les conditions de correspondance des filtres de pare-feu basées sur les champs d’adresse

Chaque condition de correspondance de filtre de pare-feu basée sur un ensemble d’adresses ou de préfixes d’adresse est associée à une correspondance implicite sur l’adresse 0.0.0.0/0 except (pour le trafic IPv4 ou VPLS) ou 0:0:0:0:0:0:0:0/0 except (pour le trafic IPv6). En conséquence, tout paquet dont le champ d’adresse spécifié ne correspond pas à l’une des adresses ou préfixes d’adresse spécifiés ne correspond pas à l’ensemble du terme.

Correspondance d’un champ d’adresse à un masque ou préfixe de sous-réseau

Vous pouvez spécifier une condition de correspondance unique pour correspondre à une adresse source ou une adresse de destination qui relève d’un préfixe d’adresse spécifié.

Notation du masque de sous-réseau IPv4

Pour une adresse IPv4, vous pouvez spécifier une valeur de masque de sous-réseau plutôt qu’une longueur de préfixe. Par exemple :

Notation du préfixe

Pour spécifier le préfixe d’adresse, utilisez la notation prefix/prefix-length. Dans l’exemple suivant, une correspondance se produit si une adresse de destination correspond au préfixe 10.0.0.0/8:

Longueur de préfixe par défaut pour les adresses IPv4

Si vous ne spécifiez /prefix-length pas d’adresse IPv4, la longueur du préfixe est par défaut de /32. L’exemple suivant illustre la valeur de préfixe par défaut :

Longueur de préfixe par défaut pour les adresses IPv6

Si vous ne spécifiez /prefix-length pas d’adresse IPv6, la longueur du préfixe est par défaut de /128. L’exemple suivant illustre la valeur de préfixe par défaut :

Longueur de préfixe par défaut pour les adresses MAC

Si vous ne spécifiez /prefix-length pas l’adresse MAC (Media Access Control) d’un paquet vplS, CCC de couche 2 ou de pontage de couche 2, la longueur du préfixe est par défaut de /48. L’exemple suivant illustre la valeur de préfixe par défaut :

Correspondance d’un champ d’adresse à une valeur exclue

Pour les conditions de correspondance adresse-champ, vous pouvez inclure le except mot-clé pour spécifier qu’une correspondance se produit pour un champ d’adresse qui ne correspond pas à l’adresse ou au préfixe spécifié.

Exclusion des adresses IP dans le trafic IPv4 ou IPv6

Pour les conditions de correspondance IPv4 et IPv6 suivantes, vous pouvez inclure le except mot-clé pour spécifier qu’une correspondance a lieu pour un champ d’adresse IP qui ne correspond pas à l’adresse IP ou au préfixe spécifié :

  • address address except: une correspondance se produit si l’adresse IP source ou l’adresse IP de destination ne correspond pas à l’adresse ou au préfixe spécifié.

  • source-address address except: une correspondance se produit si l’adresse IP source ne correspond pas à l’adresse ou au préfixe spécifié.

  • destination-address address except: une correspondance se produit si l’adresse IP de destination ne correspond pas à l’adresse ou au préfixe spécifié.

Dans l’exemple suivant, une correspondance s’effectue pour toutes les adresses de destination IPv4 qui tombent sous le préfixe, à l’exception 172.0.0.0/8 des adresses qui relèvent 172.16.0.0/16de . Toutes les autres adresses ne correspondent pas implicitement à cette condition.

Dans l’exemple suivant, une correspondance se produit pour toute adresse de destination IPv4 qui n’entre pas dans le préfixe 10.1.1.0/24:

À l’exclusion des adresses IP dans le trafic vpls ou de pontage de couche 2

Pour les conditions de correspondance VPLS et de pontage de couche 2 suivantes uniquement sur les routeurs MX Series, vous pouvez inclure le except mot-clé pour spécifier qu’une correspondance a lieu pour un champ d’adresse IP qui ne correspond pas à l’adresse IP ou au préfixe spécifié :

  • ip-address address except: une correspondance se produit si l’adresse IP source ou l’adresse IP de destination ne correspond pas à l’adresse ou au préfixe spécifié.

  • source-ip-address address except: une correspondance se produit si l’adresse IP source ne correspond pas à l’adresse ou au préfixe spécifié.

  • destination-ip-address address except: une correspondance se produit si l’adresse IP de destination ne correspond pas à l’adresse ou au préfixe spécifié.

Dans l’exemple suivant pour le filtrage du trafic VPLS sur un routeur MX Series, une correspondance se produit si l’adresse IP source relève de la plage d’exceptions et que l’adresse IP de 55.0.1.0/255.0.255.0 destination correspond 5172.16.5.0/8:

Exclusion des adresses MAC dans le trafic VPLS ou de pontage de couche 2

Pour les conditions de correspondance du trafic de pontage de couche 2 ou VPLS suivantes, vous pouvez inclure le except mot-clé pour spécifier qu’une correspondance se produit pour un champ d’adresse MAC qui ne correspond pas à l’adresse ou au préfixe MAC spécifié :

  • source-mac-address address except: une correspondance se produit si l’adresse MAC source ne correspond pas à l’adresse ou au préfixe spécifié.

  • destination-mac-address address except: une correspondance se produit si l’adresse MAC de destination ne correspond pas à l’adresse ou au préfixe spécifié.

Exclure toutes les adresses nécessite une correspondance explicite sur l’adresse « 0/0 »

Si vous spécifiez une condition de correspondance de filtre de pare-feu qui se compose d’une ou plusieurs conditions de correspondance adresse-exception (conditions de correspondance d’adresse qui utilisent le except mot-clé) mais qu’aucune condition de correspondance d’adresse compatible, les paquets qui ne correspondent à aucune des préfixes configurés échouent à l’opération de correspondance globale. Pour configurer un terme de filtrage de pare-feu des conditions de correspondance adresse-exception pour qu’elle corresponde à toute adresse qui ne figure pas dans la liste des préfixes, incluez une correspondance explicite de 0/0 sorte que le terme contienne une adresse correspondant.

Pour l’exemple de filtre de pare-feu suivant pour le trafic IPv4, le from-trusted-addresses terme ne parvient pas à rejeter le trafic correspondant, et le INTRUDERS-COUNT compteur manque dans la sortie de la show firewall commande du mode opérationnel :

Pour qu’un terme filtre de conditions de correspondance adresse-exception corresponde à une adresse qui ne figure pas dans la liste des préfixes, incluez une correspondance explicite de dans l’ensemble 0/0 de conditions de correspondance :

Avec l’ajout de l’adresse 0.0.0.0/0 de préfixe source à la condition de correspondance, le terme écarte le from-trusted-addresses trafic correspondant, et le compteur INTRUDERS-COUNT s’affiche dans la sortie de la commande du show firewall mode opérationnel :

Correspondance de l’un ou l’autre champ d’adresse IP à une valeur unique

Pour le trafic IPv4 et IPv6 et pour le trafic de pontage de couche 2 et VPLS sur les routeurs MX Series uniquement, vous pouvez utiliser une condition de correspondance unique pour correspondre une seule adresse ou valeur de préfixe au champ d’adresse IP source ou de destination.

Correspondance du champ d’adresse IP dans le trafic IPv4 ou IPv6

Pour le trafic IPv4 ou IPv6, vous pouvez utiliser une condition de correspondance unique pour spécifier la même adresse ou la même valeur de préfixe que la correspondance pour le champ d’adresse IP source ou de destination. Au lieu de créer des termes de filtre distincts qui spécifient la même adresse pour les conditions et destination-address de source-address correspondance, vous utilisez uniquement la condition de address correspondance. Une correspondance se produit si l’adresse IP source ou l’adresse IP de destination correspond à l’adresse ou au préfixe spécifié.

Si vous utilisez le except mot clé avec la address condition de correspondance, une correspondance se produit si l’adresse IP source et l’adresse IP de destination correspondent à la valeur spécifiée avant que l’exception ne s’applique.

Dans un terme de filtre de pare-feu qui spécifie la ou la source-address condition de destination-address correspondance, vous ne pouvez pas également spécifier la condition de address correspondance.

Correspondance du champ d’adresse IP dans le trafic vplS ou de pontage de couche 2

Pour le trafic de pontage de couche 2 ou VPLS sur les routeurs MX Series uniquement, vous pouvez utiliser une condition de correspondance unique pour spécifier la même adresse ou la même valeur de préfixe que la correspondance pour le champ d’adresse IP source ou de destination. Au lieu de créer des termes de filtre distincts qui spécifient la même adresse pour les conditions et destination-ip-address de source-ip-address correspondance, vous utilisez uniquement la condition de ip-address correspondance. Une correspondance se produit si l’adresse IP source ou l’adresse IP de destination correspond à l’adresse ou au préfixe spécifié.

Si vous utilisez le except mot clé avec la ip-address condition de correspondance, une correspondance se produit si l’adresse IP source et l’adresse IP de destination correspondent à la valeur spécifiée avant que l’exception ne s’applique.

Dans un terme de filtre de pare-feu qui spécifie la ou la source-ip-address condition de destination-ip-address correspondance, vous ne pouvez pas également spécifier la condition de ip-address correspondance.

Correspondance d’un champ d’adresse à des préfixes non-incohérents

Pour le trafic IPv4 uniquement, spécifiez une condition de correspondance unique pour faire correspondre le champ d’adresse IP source ou de destination à n’importe quel préfixe spécifié. Les préfixes n’ont pas besoin d’être contigus. En d’autres termes, les préfixes sous la source-address condition ou destination-address de correspondance n’ont pas besoin d’être adjacents ou voisins les uns des autres.

Dans l’exemple suivant, une correspondance se produit si une adresse de destination correspond au 10.0.0.0/8 préfixe ou au 192.168.0.0/32 préfixe :

L’ordre dans lequel vous spécifiez les préfixes dans la condition de correspondance n’est pas significatif. Les paquets sont évalués par rapport à tous les préfixes de la condition de correspondance pour déterminer si une correspondance se produit. Si les préfixes se chevauchent, les règles de correspondance la plus longue sont utilisées pour déterminer si une correspondance se produit. Une condition de correspondance de préfixes non contigués inclut une instruction implicite 0/0 except , ce qui signifie que tout préfixe qui ne correspond pas à un préfixe inclus dans la condition de correspondance est explicitement considéré comme ne correspondant pas.

Étant donné que les préfixes sont indépendants de l’ordre et utilisent des règles de correspondance les plus longues, les préfixes plus longs sous-en-comptent des préfixes plus courts tant qu’ils sont du même type (que vous spécifiez except ou non). En effet, tout ce qui correspondrait au préfixe le plus long correspondrait également au préfixe le plus court.

Prenons l’exemple suivant :

Dans la source-address condition de correspondance, deux adresses sont ignorées. La 172.16.3.0/16 valeur est ignorée car elle relève de l’adresse 172.16.0.0/10, qui est du même type. La 10.2.2.2 except valeur est ignorée car elle est subsumée par la valeur de correspondance implicite 0.0.0.0/0 except .

Supposons que l’adresse IP source suivante soit évaluée par ce filtre de pare-feu :

  • Adresse 172.16.1.2IP source : cette adresse correspond au 172.16.0.0/10 préfixe, ce qui permet d’agir dans l’instruction then .

  • Adresse 172.16.2.2IP source : cette adresse correspond au 172.16.2.0/24 préfixe. Parce que ce préfixe est éliminé (c’est-à-dire qu’il inclut le except mot-clé), une incompatibilité explicite se produit. Le terme suivant du filtre est évalué, s’il y en a un. S’il n’y a plus de termes, le paquet est jeté.

  • Adresse 10.1.2.3IP source : cette adresse ne correspond à aucun des préfixes inclus dans la source-address condition. Au lieu de cela, il correspond à l’implicite 0.0.0.0/0 except à la fin de la liste des préfixes configurés sous la source-address condition de correspondance, et est considéré comme une incompatibilité.

    L’instruction 172.16.3.0/24 est ignorée parce qu’elle relève de l’adresse 172.16.0.0/10, les deux sont du même type.

    L’instruction 10.2.2.2 except est ignorée car elle est subsumée par l’instruction implicite 0.0.0.0/0 except à la fin de la liste de préfixes configurée sous la source-address condition de correspondance.

bonnes pratiques :

Lorsqu’un terme de filtre de pare-feu inclut la from address address condition de correspondance et qu’un terme ultérieur inclut la from source-address address condition de correspondance pour la même adresse, les paquets peuvent être traités par ce dernier terme avant qu’ils ne soient évalués par des conditions intermédiaires. En conséquence, les paquets qui devraient être rejetés selon les conditions intermédiaires peuvent être acceptés à la place, ou les paquets qui devraient être acceptés peuvent être rejetés à la place.

Pour éviter que cela ne se produise, nous vous recommandons de procéder comme suit. Pour chaque terme de filtre de pare-feu qui contient la from address address condition de correspondance, remplacez ce terme par deux termes distincts : un contenant la condition de from source-address address correspondance, et un autre qui contient la condition de from destination-address address correspondance.

Correspondance d’un champ d’adresse à une liste de préfixes

Vous pouvez définir une liste de préfixes d’adresse IPv4 ou IPv6 à utiliser dans une déclaration de stratégie de routage ou dans une condition de correspondance de filtre de pare-feu sans état qui évalue les champs d’adresse de paquet.

Pour définir une liste de préfixes d’adresses IPv4 ou IPv6, incluez l’instruction prefix-list prefix-list .

Vous pouvez inclure l’instruction aux niveaux hiérarchiques suivants :

  • [edit policy-options]

  • [edit logical-systems logical-system-name policy-options]

Une fois que vous avez défini une liste de préfixes, vous pouvez l’utiliser pour spécifier une condition de correspondance de filtre de pare-feu basée sur un préfixe d’adresse IPv4 ou IPv6.