ファイアウォールフィルターの一致条件およびアクション(ACXシリーズルーター)

[edit firewall family any filter filter-name term term-name]

ACXシリーズルーターでは、このトラフィックタイプに一致する条件はサポートされていません。

[edit firewall family inet filter filter-name term term-name

一致条件の完全なリストについては、 IPv4トラフィックの一致条件(ACXシリーズルーター)を参照してください。

[edit firewall family mpls filter filter-name term term-name]

一致条件の完全なリストについては、 MPLS トラフィックの一致条件(ACX シリーズルーター)を参照してください。MPLSトラフィックの一致条件(ACXシリーズルーター)

[edit firewall family ccc filter filter-name term term-name]

ACXシリーズルーターでは、このトラフィックタイプに一致する条件はサポートされていません。

[edit firewall family bridge filter filter-name term term-name]

[edit firewall family ethernet-switching filter filter-name term term-name] (ACX5048およびACX5096ルーターにのみ適用されます。

「 終了アクション(ACXシリーズルーター)」を参照してください。終了アクション(ACXシリーズルーター)

非終了アクション(ACXシリーズルーター)を参照してください。非終了アクション(ACXシリーズルーター)

IPv4宛先アドレスフィールドに一致します。

UDPまたはTCP宛先ポート フィールドに一致します。

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で protocol udpまたは protocol tcp一致ステートメントを設定することもお勧めします。

数値の代わりに、以下のテキスト （ポート番号も記載されています）のいずれかを指定します。afs (1483)、 (bgp179)、 (512)、 (68)、 (67bootps)、 (514)、 (2401)、 (67)、 (53)、 (2domaineklogin105)dhcp、 (2106)、 ekshell(512)、 (79exec)、 (21)、 (20)、 (80)、 (443)、 (113)、 (143)、 (88)、 (543)、 (761)、 (7finger54)、 (760)http、 (5krb-prop44https)、 (389)、 krbupdatekshellldap(646)、 (513)、 (434)、 (435)、 (639)、loginmobileip-agentmobilip-mnmsdpnetbios-dgm (138)、 (137)、 (139)、 (2049)、 (119)、 (518)、 biff(123)、 (110)、 (1nntpntalkntppop3723)、 bootpc(515sunrpcsyslogtacacs)、 (1813)、cmd (1812)、 (520)、 pptp(2108)、 (25)、 (161)、 (162)nfsd、 (444)、radiusriprkinitsmtpsnmpsnmptrapsnppsocksssh (netbios-ssn1080printerradacct)、 (22)、 (111)、 (514)、 (49)、 (65)、 (517)、 (23)、 (69)、 (525)、 (513)、oimapkerberos-seckloginkpasswdr  (177).identtacacs-dstalktelnettftptimedcvspserverwhoxdmcpnetbios-nsftpftp-dataldp

名前付きリストの IP 宛先プレフィックスに一致します。

DSCP（差別化されたサービスコードポイント）に一致します。DiffServプロトコルは、IPヘッダーのtype-of-service（ToS）バイトを使用します。このバイトの最上位の6ビットがDSCPを形成します。詳細については、動作集約分類子が信頼されているトラフィックをどのように優先するかの理解を参照してください。

0 から 63 までの数値を指定できます。値を 16 進形式で指定するには、プレフィックスとして 0x を含めます。値を 2 進形式で指定するには、プレフィックスとして b を含めます。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。

• RFC 3246, An Expeded Forwarding PHB（Per-Hop Behavior）は、1つのコード ポイントを定義します。ef (46)。

• RFC 2597, Assure Forwarding PHB Group は、合計12個の3つのコードポイントに対し、4つのクラスを定義します（各クラスには3つのドロップ優先順位があります）。

  • af11 (10), af12 (12), af13 (14)

  • af21 (18), af22 (20), af23 (22)

  • af31 (26), af32 (28), af33 (30)

  • af41 (34), af42 (36), af43 (38)

（イングレスのみ）IPヘッダーの3ビットIPフラグメント化フラグフィールドに一致します。

数字フィールド値の代わりに、以下のキーワード（フィールド値も記載されています）のいずれかを指定します。dont-fragment （0x4）、more-fragments（0x2）、またはreserved （0x8）。

ICMPメッセージコードフィールドに一致します。

この一致条件を設定した場合、同じ条件で protocol icmp一致条件も設定することをお勧めします。

この一致条件を設定する場合、同じ条件で 一致条件も設定 する必要があります。icmp-type message-type ICMPメッセージコードは、ICMPメッセージ タイプよりも具体的な情報を提供しますが、ICMPメッセージ コードの意味は、関連するICMPメッセージ タイプに依存します。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。キーワードは、それらが関連するICMPタイプによってグループ化されます。

• parameter-problem：ip-header-bad (0)、required-option-missing (1)

• redirect：redirect-for-host (1)、 redirect-for-network(0)、 redirect-for-tos-and-host(3)、 redirect-for-tos-and-net(2)

• time-exceeded：ttl-eq-zero-during-reassembly (1)、 ttl-eq-zero-during-transit(0)

• unreachable：communication-prohibited-by-filtering (13)、 destination-host-prohibited(10)、destination-host-unknown (7)、 destination-network-prohibited(9)、destination-network-unknown (6)、 fragmentation-needed(4)、host-precedence-violation (14)、 host-unreachable(1)、host-unreachable-for-TOS (12)、 network-unreachable(0)、network-unreachable-for-TOS (11)、 port-unreachable(3)、precedence-cutoff-in-effect (15)、 protocol-unreachable(2)、 source-host-isolated(8)、source-route-failed (5)

ICMPメッセージタイプフィールドに一致します。

この一致条件を設定した場合、同じ条件で protocol icmp一致条件も設定することをお勧めします。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。echo-reply(0)echo-request、 (info-reply8)、 (1info-request6)、 (15)mask-reply、 mask-request(1parameter-problem7)、 (redirect18)router-advertisement、 (1router-solicit2)、 source-quench(5)time-exceeded、  (9)timestamp、 (1timestamp-reply0)、 (unreachable4)、 (11)、 (13)、 (14)、または (3)。

指定された値に、8ビットIPオプション フィールドを一致させます。

ACX シリーズ ルーターは、パケットが処理のためにパケット転送エンジンに送信されることを保証する 一致条件のみ をサポートします。ip-options_any

IP優先度フィールドに一致します。

数字フィールド値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。critical-ecp （0xa0）、 （flash0x60）、 （flash-override0x80）、（0x4immediate0）、（0xinternet-controlc0）、（0xe0）net-control、（0x20）、または（0x00）。routinepriority 16進法、2進法、または10進法で優先度を指定できます。

IPプロトコルタイプフィールドに一致します。数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。(60)、 (8)、 (50)、 (44)、 (47)、 (0)、 (1)、 (58)、 (58)、 (2)、 (4)、 (41)、 、 (89)、 (103)、 、 (46)、 (132)、 (6)、 (17)、 また (112)。dstoptsegpespfragmentgrehop-by-hopicmpicmp6icmpv6igmpipipipv6no-next-headerospfpimroutingrsvpsctptcpudp vrrp

パケットを送信する送信元ノードのIPv4アドレスに一致します。

UDPまたはTCP送信元ポート フィールドに一致します。

IPv4 トラフィックのこの一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で protocol udpまたは protocol tcp一致ステートメントを設定することもお勧めします。

数値の代わりに、 destination-port number一致条件で記載されているテキスト同義語の1つを指定します。

名前付きリスト内のIPソースプレフィックスに一致します。

TCPヘッダーの8ビットTCPフラグフィールドの下位6ビットの1つ以上に一致します。

個別のビットフィールドを指定するには、以下のテキスト同義語または16進数値を指定できます。

• fin (0x01)

• syn (0x02)

• rst (0x04)

• push (0x08)

• ack (0x10)

• urgent (0x20)

TCPセッションでは、SYNフラグは送信された最初のパケットのみで設定され、ACKフラグは最初のパケットの後に送信されたすべてのパケットに設定されます。

ビットフィールド論理演算子を使用して複数のフラグを結合できます。

組み合わせたビットフィールド一致条件については、一致条件を参照してください 。tcp-initial

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で 一protocol tcp致ステートメントを設定することもお勧めします。

TCP接続の最初のパケットに一致します。これは、 tcp-flags "(!ack & syn)"のエイリアスです。

この条件は、プロトコルが TCPであることを暗示的に確認しません。この一致条件を設定した場合、同じ条件で protocol tcp一致条件も設定することをお勧めします。

IPv4生存時間値に一致します。TTL値またはTTL値の範囲を指定します。には 、2 から 255 までの 1 つ以上の値を指定できます。number

IPv6宛先アドレスフィールドに一致します。

UDPまたはTCP宛先ポート フィールドに一致します。

同じ条件に portおよびdestination-port 一致条件を両方指定することはできません。

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で または 一致条件を設定することもお勧めします。next-header udpnext-header tcp

数値の代わりに、以下のテキスト （ポート番号も記載されています）のいずれかを指定します。afs (1483)、 (bgp179)、 (512)、 (68)、 (67bootps)、 (514)、 (2401)、 (67)、 (53)、 (2domaineklogin105)dhcp、 (2106)、 ekshell(512)、 (79exec)、 (21)、 (20)、 (80)、 (443)、 (113)、 (143)、 (88)、 (543)、 (761)、 (7finger54)、 (760)http、 (5krb-prop44https)、 (389)、 krbupdatekshellldap(646)、 (513)、 (434)、 (435)、 (639)、loginmobileip-agentmobilip-mnmsdpnetbios-dgm (138)、 (137)、 (139)、 (2049)、 (119)、 (518)、 biff(123)、 (110)、 (1nntpntalkntppop3723)、 bootpc(515sunrpcsyslogtacacs)、 (1813)、cmd (1812)、 (520)、 pptp(2108)、 (25)、 (161)、 (162)nfsd、 (444)、radiusriprkinitsmtpsnmpsnmptrapsnppsocksssh (netbios-ssn1080printerradacct)、 (22)、 (111)、 (514)、 (49)、 (65)、 (517)、 (23)、 (69)、 (525)、 (513)、oimapkerberos-seckloginkpasswdr  (177).identtacacs-dstalktelnettftptimedcvspserverwhoxdmcpnetbios-nsftpftp-dataldp

名前付きリストの IP 宛先プレフィックスに一致します。

次のヘッダー値を識別することによって、パケットに含まれる拡張ヘッダーの種類に一致します。

パケットの最初のフラグメントで、フィルターはいずれかの拡張ヘッダー タイプで一致を検索します。フラグメント ヘッダーを持つパケット(後続のフラグメント)が見つかった場合、他の拡張ヘッダーの位置は予測できないため、フィルターは次の拡張ヘッダー タイプの一致のみを検索します。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。(51)、 (60)、 (50)、 (44)、 (0)、 (135)、 または (43)。ahdestinationespfragmenthop-by-hopmobilityrouting

拡張ヘッダー オプションの 任意の 値に一致するには、テキスト シノニム を使用します。any

ホップ制限を、指定されたホップ制限またはホップ制限のセットに一致させます。hop-limitの場合、0～255 の単一の値または値の範囲を指定します。

ICMPメッセージコードフィールドに一致します。

この一致条件を設定した場合、同じ条件で または 一致条件も設定することをお勧めします。next-header icmpnext-header icmp6

この一致条件を設定する場合、同じ条件で 一致条件も設定 する必要があります。icmp-type message-type ICMPメッセージコードは、ICMPメッセージ タイプよりも具体的な情報を提供しますが、ICMPメッセージ コードの意味は、関連するICMPメッセージ タイプに依存します。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。キーワードは、それらが関連するICMPタイプによってグループ化されます。

• parameter-problem：(0)、(1)、 (2)ip6-header-badunrecognized-next-headerunrecognized-option

• time-exceeded：ttl-eq-zero-during-reassembly (1)、 ttl-eq-zero-during-transit(0)

• 宛先到達不能: (1)、 (3)、 (0)、 (4)administratively-prohibitedaddress-unreachableno-route-to-destinationport-unreachable

ICMPメッセージタイプフィールドに一致します。

この一致条件を設定した場合、同じ条件で または 一致条件も設定することをお勧めします。next-header icmpnext-header icmp6

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。(149)、 (148)、 (1)、 (129)、 (128)、 (145)、 (144)、 (142)、 (141)、 (130)、 (131)、 (132)、 (147)、 (146)、 (136)、 (135)、 (140)、 (139)、 (2)、 (4)、 (100)、 (101)、 (200)、 (201)、 (137)、 (134)、 (138)、 (133)、 または (3)。certificate-path-advertisementcertificate-path-solicitationdestination-unreachableecho-replyecho-requesthome-agent-address-discovery-replyhome-agent-address-discovery-requestinverse-neighbor-discovery-advertisementinverse-neighbor-discovery-solicitationmembership-querymembership-reportmembership-terminationmobile-prefix-advertisement-replymobile-prefix-solicitationneighbor-advertisementneighbor-solicitnode-information-replynode-information-requestpacket-too-bigparameter-problemprivate-experimentation-100private-experimentation-101private-experimentation-200private-experimentation-201redirectrouter-advertisementrouter-renumberingrouter-solicittime-exceeded

(201) の場合 、角括弧内の値の範囲を指定することもできます。private-experimentation-201

パケットの最初の 8 ビットの Next Header フィールドに一致します。ファイアウォール一致条件のサポートは、Junos OS リリース 13.3R6 以降で利用可能です。next-header

IPv6では、一致条件でファイアウォールフィルターを設定する際に、用語ではなく 用語を使用することが推奨されます。payload-protocolnext-header どちらでも使用できますが、 実際のペイロードプロトコルを使用して一致を見つけるのに対し、IPv6ヘッダーに続く最初のヘッダーに表示されるものは単に取得するため、 より信頼性の高い一致条件が提供されます。payload-protocolnext-header さらに、IPv6 で を使用する場合は 、高速フィルター ブロックの検索プロセスがバイパスされ、代わりに標準フィルターが使用されます。next-header

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。(51)、 (60)、 (8)、 (50)、 (44)、 (47)、 (0)、 (1)、 (58)、 (58)、 (2)、 (4)、 (41)、 (135)、 (59)、 (89)、 (103)、 (43)、 (46)、 (132)、 (6)、 (17)、 または (112)。ahdstopsegpespfragmentgrehop-by-hopicmpicmp6icmpv6igmpipipipv6mobilityno-next-headerospfpimroutingrsvpsctptcpudp vrrp

パケットを送信する送信元ノードのIPv6アドレスに一致します。

UDPまたはTCP送信元ポート フィールドに一致します。

同じ項に portおよび source-port一致条件を指定することはできません。

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で または 一致条件を設定することもお勧めします。next-header udpnext-header tcp

数値の代わりに、 destination-port number一致条件で記載されているテキスト同義語の1つを指定します。

名前付きリスト内のIPソースプレフィックスに一致します。

TCPヘッダーの8ビットTCPフラグフィールドの下位6ビットの1つ以上に一致します。

個別のビットフィールドを指定するには、以下のテキスト同義語または16進数値を指定できます。

• fin (0x01)

• syn (0x02)

• rst (0x04)

• push (0x08)

• ack (0x10)

• urgent (0x20)

TCPセッションでは、SYNフラグは送信された最初のパケットのみで設定され、ACKフラグは最初のパケットの後に送信されたすべてのパケットに設定されます。

ビットフィールド論理演算子を使用して複数のフラグを結合できます。

組み合わせたビットフィールド一致条件については、 tcp-establishedおよび tcp-initial一致条件を参照してください。

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で一致条件を設定する こともお勧めします。next-header tcp

TCP接続の最初のパケットに一致します。これは、 の テキスト同義語です。tcp-flags "(!ack & syn)"

この条件は、プロトコルが TCPであることを暗示的に確認しません。この一致条件を設定した場合、同じ条件で next-header tcp一致条件も設定することをお勧めします。

パケットのサービスクラス(CoS)優先度を指定する8ビットフィールドに一致します。

このフィールドは、以前は IPv4 の type-of-service(ToS)フィールドとして使用されていました。

0から 63までの数値を指定できます。値を16進形式で指定するには、0x をプレフィックスに含めます。値を2進法で指定するには、 bをプレフィックスとして含めます。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。

• RFC 3246, An Expeded Forwarding PHB（Per-Hop Behavior）は、1つのコード ポイントを定義します。ef (46)。

• RFC 2597, Assure Forwarding PHB Group は、合計12個の3つのコードポイントに対し、4つのクラスを定義します（各クラスには3つのドロップ優先順位があります）。

  • af11 (10), af12 (12), af13 (14)

  • af21 (18), af22 (20), af23 (22)

  • af31 (26), af32 (28), af33 (30)

  • af41 (34), af42 (36), af43 (38)

MPLS ヘッダーの実験(EXP)ビット番号またはビット番号の範囲。には 、0 から 7 までの 1 つ以上の値を 10 進数、2 進数、または 16 進数形式で指定できます。number

• family any

• family inet

• family mpls

• family ccc

• family bridge

• family vpls

• family inet

• family inet6

• family mpls

• family ccc

• family bridge

• family vpls

• family inet

• family inet6

• family bridge

• family any

• family inet

• family inet6

• family mpls

• family ccc

• family bridge

• family vpls

• family any

• family inet

• family inet6

• family mpls

• family ccc

• family bridge

• family vpls

family inet

• family inet

• family inet6

• family bridge

• family any

• family inet

• family inet6

• family mpls

• family ccc

• family bridge

• family vpls

family inet6

• family any

• family inet

• family mpls

• family ccc

• family any

• family inet

• family mpls

• family ccc

family inet

• family inet