ファイアウォールフィルターの一致条件およびアクション(ACXシリーズルーター)

[edit firewall family any filter filter-name term term-name]

ACXシリーズルーターでは、このトラフィックタイプに一致する条件はサポートされていません。

[edit firewall family inet filter filter-name term term-name

一致条件の完全なリストについては、 IPv4トラフィックの一致条件(ACXシリーズルーター)を参照してください。

[edit firewall family mpls filter filter-name term term-name]

一致条件の完全なリストについては、 MPLS トラフィックの一致条件(ACX シリーズルーター)を参照してください。

[edit firewall family ccc filter filter-name term term-name]

ACXシリーズルーターでは、このトラフィックタイプに一致する条件はサポートされていません。

[edit firewall family bridge filter filter-name term term-name]

[edit firewall family ethernet-switching filter filter-name term term-name] (ACX5048およびACX5096ルーターにのみ適用されます。

「 終了アクション(ACXシリーズルーター)」を参照してください。

非終了アクション(ACXシリーズルーター)を参照してください。

IPv4宛先アドレスフィールドに一致します。

UDPまたはTCP宛先ポート フィールドに一致します。

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で protocol udpまたは protocol tcp一致ステートメントを設定することもお勧めします。

数値の代わりに、以下のテキスト （ポート番号も記載されています）のいずれかを指定します。afs (1483), bgp (179), biff (512), bootpc (68), bootps (67), cmd (514), cvspserver (2401), dhcp (67), domain (53), eklogin (2105), ekshell (2106), exec (512), finger (79), ftp (21), ftp-data (20), http (80), https (443), ident (113), imap (143), kerberos-sec (88), klogin (543), kpasswd (761), krb-prop (754), krbupdate (760), kshell (544), ldap (389), ldp (646), login (513), mobileip-agent (434), mobilip-mn (435), msdp (639), netbios-dgm (138), netbios-ns (137), netbios-ssn (139), nfsd (2049), nntp (119), ntalk (518), ntp (123), pop3 (110), pptp (1723), printer (515), radacct (1813), radius (1812), rip (520), rkinit (2108), smtp (25), snmp (161), snmptrap (162), snpp (444), socks (1080), ssh (22), sunrpc (111), syslog (514), tacacs (49), tacacs-ds (65), talk (517), telnet (23), tftp (69), timed (525), who (513), or xdmcp (177).

名前付きリストの IP 宛先プレフィックスに一致します。

DSCP（差別化されたサービスコードポイント）に一致します。DiffServプロトコルは、IPヘッダーのtype-of-service（ToS）バイトを使用します。このバイトの最上位の6ビットがDSCPを形成します。詳細については、動作集約分類子が信頼されているトラフィックをどのように優先するかの理解を参照してください。

0 から 63 までの数値を指定できます。値を 16 進形式で指定するには、プレフィックスとして 0x を含めます。値を 2 進形式で指定するには、プレフィックスとして b を含めます。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。

• RFC 3246, An Expeded Forwarding PHB（Per-Hop Behavior）は、1つのコード ポイントを定義します。ef (46)。

• RFC 2597, Assure Forwarding PHB Group は、合計12個の3つのコードポイントに対し、4つのクラスを定義します（各クラスには3つのドロップ優先順位があります）。

  • af11 (10), af12 (12), af13 (14)

  • af21 (18), af22 (20), af23 (22)

  • af31 (26), af32 (28), af33 (30)

  • af41 (34), af42 (36), af43 (38)

（イングレスのみ）IPヘッダーの3ビットIPフラグメント化フラグフィールドに一致します。

数字フィールド値の代わりに、以下のキーワード（フィールド値も記載されています）のいずれかを指定します。dont-fragment （0x4）、more-fragments（0x2）、またはreserved （0x8）。

ICMPメッセージコードフィールドに一致します。

この一致条件を設定した場合、同じ条件で protocol icmp一致条件も設定することをお勧めします。

この一致条件を設定する場合、同じ条件で icmp-type message-type 一致条件も設定する必要があります。ICMPメッセージコードは、ICMPメッセージ タイプよりも具体的な情報を提供しますが、ICMPメッセージ コードの意味は、関連するICMPメッセージ タイプに依存します。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。キーワードは、それらが関連するICMPタイプによってグループ化されます。

• parameter-problem：ip-header-bad (0)、required-option-missing (1)

• redirect：redirect-for-host (1)、 redirect-for-network(0)、 redirect-for-tos-and-host(3)、 redirect-for-tos-and-net(2)

• time-exceeded：ttl-eq-zero-during-reassembly (1)、 ttl-eq-zero-during-transit(0)

• unreachable：communication-prohibited-by-filtering (13)、 destination-host-prohibited(10)、destination-host-unknown (7)、 destination-network-prohibited(9)、destination-network-unknown (6)、 fragmentation-needed(4)、host-precedence-violation (14)、 host-unreachable(1)、host-unreachable-for-TOS (12)、 network-unreachable(0)、network-unreachable-for-TOS (11)、 port-unreachable(3)、precedence-cutoff-in-effect (15)、 protocol-unreachable(2)、 source-host-isolated(8)、source-route-failed (5)

ICMPメッセージタイプフィールドに一致します。

この一致条件を設定した場合、同じ条件で protocol icmp一致条件も設定することをお勧めします。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。echo-reply(0)echo-request、 (info-reply8)、 (1info-request6)、 (15)mask-reply、 mask-request(1parameter-problem7)、 (redirect18)router-advertisement、 (1router-solicit2)、 source-quench(5)time-exceeded、  (9)timestamp、 (1timestamp-reply0)、 (unreachable4)、 (11)、 (13)、 (14)、または (3)。

指定された値に、8ビットIPオプション フィールドを一致させます。

ACX シリーズ ルーターは、パケットが処理のためにパケット転送エンジンに送信されるようにする ip-options_any 一致条件のみをサポートします。

IP優先度フィールドに一致します。

数字フィールド値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。critical-ecp 0xa0）、flash 0x60）、flash-override (0x80）、immediate (0x40）、internet-control (0xc0）、net-control (0xe0）、priority (0x20）、または routine (0x00）。16進法、2進法、または10進法で優先度を指定できます。

IPプロトコルタイプフィールドに一致します。数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。dstopts( 60)、 egp (8)、 esp (50)、 fragment (44)、 gre (47)、 hop-by-hop (0)、 icmp (1)、 icmp6 (58)、 icmpv6 (58)、 igmp (2)、 ipip (4)、 ipv6 (41)、 no-next-header、 ospf (89)、 pim (103)、 routing、 rsvp (46)、 sctp (132)、 tcp (6)、 udp  (17)、または vrrp (112)。

パケットを送信する送信元ノードのIPv4アドレスに一致します。

UDPまたはTCP送信元ポート フィールドに一致します。

IPv4 トラフィックのこの一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で protocol udpまたは protocol tcp一致ステートメントを設定することもお勧めします。

数値の代わりに、 destination-port number一致条件で記載されているテキスト同義語の1つを指定します。

名前付きリスト内のIPソースプレフィックスに一致します。

TCPヘッダーの8ビットTCPフラグフィールドの下位6ビットの1つ以上に一致します。

個別のビットフィールドを指定するには、以下のテキスト同義語または16進数値を指定できます。

• fin (0x01)

• syn (0x02)

• rst (0x04)

• push (0x08)

• ack (0x10)

• urgent (0x20)

TCPセッションでは、SYNフラグは送信された最初のパケットのみで設定され、ACKフラグは最初のパケットの後に送信されたすべてのパケットに設定されます。

ビットフィールド論理演算子を使用して複数のフラグを結合できます。

組み合わせたビットフィールド一致条件については、 tcp-initial 一致条件を参照してください。

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で 一protocol tcp致ステートメントを設定することもお勧めします。

TCP接続の最初のパケットに一致します。これは、 tcp-flags "(!ack & syn)"のエイリアスです。

この条件は、プロトコルが TCPであることを暗示的に確認しません。この一致条件を設定した場合、同じ条件で protocol tcp一致条件も設定することをお勧めします。

IPv4生存時間値に一致します。TTL値またはTTL値の範囲を指定します。number の場合、2 から 255 までの 1 つ以上の値を指定できます。

IPv6宛先アドレスフィールドに一致します。

UDPまたはTCP宛先ポート フィールドに一致します。

同じ条件に portおよびdestination-port 一致条件を両方指定することはできません。

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で next-header udp または next-header tcp 一致条件を設定することもお勧めします。

数値の代わりに、以下のテキスト （ポート番号も記載されています）のいずれかを指定します。afs (1483), bgp (179), biff (512), bootpc (68), bootps (67), cmd (514), cvspserver (2401), dhcp (67), domain (53), eklogin (2105), ekshell (2106), exec (512), finger (79), ftp (21), ftp-data (20), http (80), https (443), ident (113), imap (143), kerberos-sec (88), klogin (543), kpasswd (761), krb-prop (754), krbupdate (760), kshell (544), ldap (389), ldp (646), login (513), mobileip-agent (434), mobilip-mn (435), msdp (639), netbios-dgm (138), netbios-ns (137), netbios-ssn (139), nfsd (2049), nntp (119), ntalk (518), ntp (123), pop3 (110), pptp (1723), printer (515), radacct (1813), radius (1812), rip (520), rkinit (2108), smtp (25), snmp (161), snmptrap (162), snpp (444), socks (1080), ssh (22), sunrpc (111), syslog (514), tacacs (49), tacacs-ds (65), talk (517), telnet (23), tftp (69), timed (525), who (513), or xdmcp (177).

名前付きリストの IP 宛先プレフィックスに一致します。

次のヘッダー値を識別することによって、パケットに含まれる拡張ヘッダーの種類に一致します。

パケットの最初のフラグメントで、フィルターはいずれかの拡張ヘッダー タイプで一致を検索します。フラグメント ヘッダーを持つパケット(後続のフラグメント)が見つかった場合、他の拡張ヘッダーの位置は予測できないため、フィルターは次の拡張ヘッダー タイプの一致のみを検索します。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。ah (51)、 destination (60)、 esp (50)、 fragment (44)、 hop-by-hop (0)、 mobility (135)、または routing (43)。

拡張ヘッダー オプションの 任意の 値に一致するには、テキスト シノニム anyを使用します。

ホップ制限を、指定されたホップ制限またはホップ制限のセットに一致させます。hop-limitの場合、0～255 の単一の値または値の範囲を指定します。

ICMPメッセージコードフィールドに一致します。

この一致条件を設定した場合、同じ条件で next-header icmp または next-header icmp6 一致条件も設定することをお勧めします。

この一致条件を設定する場合、同じ条件で icmp-type message-type 一致条件も設定する必要があります。ICMPメッセージコードは、ICMPメッセージ タイプよりも具体的な情報を提供しますが、ICMPメッセージ コードの意味は、関連するICMPメッセージ タイプに依存します。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。キーワードは、それらが関連するICMPタイプによってグループ化されます。

• parameter-problem：ip6-header-bad( 0)、 unrecognized-next-header (1)、 unrecognized-option (2)

• time-exceeded：ttl-eq-zero-during-reassembly (1)、 ttl-eq-zero-during-transit(0)

• 宛先到達不能:administratively-prohibited( 1)、 address-unreachable (3)、 no-route-to-destination (0)、 port-unreachable (4)

ICMPメッセージタイプフィールドに一致します。

この一致条件を設定した場合、同じ条件で next-header icmp または next-header icmp6 一致条件も設定することをお勧めします。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。certificate-path-advertisement (149)、 certificate-path-solicitation (148)、 destination-unreachable (1)、 echo-reply (129)、 echo-request (128)、 home-agent-address-discovery-reply (145)、 home-agent-address-discovery-request (144)、 inverse-neighbor-discovery-advertisement (142)、 inverse-neighbor-discovery-solicitation (141)、 membership-query (130)、 membership-report (131)、 membership-termination (132)、 mobile-prefix-advertisement-reply (147)、 mobile-prefix-solicitation (146)、 neighbor-advertisement (1) 36)、 neighbor-solicit (135)、 node-information-reply (140)、 node-information-request (139)、 packet-too-big (2)、 parameter-problem (4)、 private-experimentation-100 (100)、 private-experimentation-101 (101)、 private-experimentation-200 (200)、 private-experimentation-201 (201)、 redirect (137)、 router-advertisement (134)、 router-renumbering (138)、 router-solicit (133)、または time-exceeded (3)。

private-experimentation-201 (201) の場合、角括弧内の値の範囲を指定することもできます。

パケットの最初の 8 ビットの Next Header フィールドに一致します。next-headerファイアウォール一致条件のサポートは、Junos OSリリース13.3R6以降で利用可能です。

IPv6では、一致条件でファイアウォールフィルターを設定する際に、next-header用語ではなく、payload-protocol用語を使用することを推奨します。どちらでも使用できますが、 payload-protocol は実際のペイロード プロトコルを使用して一致を見つけるのに対し、 next-header は IPv6 ヘッダーに続く最初のヘッダーに表示されるものをすべて取得するため、より信頼性の高い一致条件を提供します。さらに、IPv6 で next-header を使用すると、高速フィルター ブロックの検索プロセスはバイパスされ、代わりに標準フィルターが使用されます。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。ah( 51)、 dstops (60)、 egp (8)、 esp (50)、 fragment (44)、 gre (47)、 hop-by-hop (0)、 icmp (1)、 icmp6 (58)、 icmpv6 (58)、 igmp (2)、 ipip (4)、 ipv6 (41)、 mobility (135)、 no-next-header (59)、 ospf (89)、 pim (103)、 routing (43)、 rsvp (46)、 sctp (132)、 tcp (6)、 udp  (17)、または vrrp (112)。

パケットを送信する送信元ノードのIPv6アドレスに一致します。

UDPまたはTCP送信元ポート フィールドに一致します。

同じ項に portおよび source-port一致条件を指定することはできません。

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で next-header udp または next-header tcp 一致条件を設定することもお勧めします。

数値の代わりに、 destination-port number一致条件で記載されているテキスト同義語の1つを指定します。

名前付きリスト内のIPソースプレフィックスに一致します。

TCPヘッダーの8ビットTCPフラグフィールドの下位6ビットの1つ以上に一致します。

個別のビットフィールドを指定するには、以下のテキスト同義語または16進数値を指定できます。

• fin (0x01)

• syn (0x02)

• rst (0x04)

• push (0x08)

• ack (0x10)

• urgent (0x20)

TCPセッションでは、SYNフラグは送信された最初のパケットのみで設定され、ACKフラグは最初のパケットの後に送信されたすべてのパケットに設定されます。

ビットフィールド論理演算子を使用して複数のフラグを結合できます。

組み合わせたビットフィールド一致条件については、 tcp-establishedおよび tcp-initial一致条件を参照してください。

この一致条件を設定した場合、ポートで使用されるプロトコルを指定するために、同じ条件で next-header tcp 一致条件を設定することもお勧めします。

TCP接続の最初のパケットに一致します。これは tcp-flags "(!ack & syn)"のテキスト同義語です。

この条件は、プロトコルが TCPであることを暗示的に確認しません。この一致条件を設定した場合、同じ条件で next-header tcp一致条件も設定することをお勧めします。

パケットのサービスクラス(CoS)優先度を指定する8ビットフィールドに一致します。

このフィールドは、以前は IPv4 の type-of-service(ToS)フィールドとして使用されていました。

0から 63までの数値を指定できます。値を16進形式で指定するには、0x をプレフィックスに含めます。値を2進法で指定するには、 bをプレフィックスとして含めます。

数値の代わりに、以下のテキストシノニム（フィールド値も記載されています）のいずれかを指定します。

• RFC 3246, An Expeded Forwarding PHB（Per-Hop Behavior）は、1つのコード ポイントを定義します。ef (46)。

• RFC 2597, Assure Forwarding PHB Group は、合計12個の3つのコードポイントに対し、4つのクラスを定義します（各クラスには3つのドロップ優先順位があります）。

  • af11 (10), af12 (12), af13 (14)

  • af21 (18), af22 (20), af23 (22)

  • af31 (26), af32 (28), af33 (30)

  • af41 (34), af42 (36), af43 (38)

MPLS ヘッダーの実験(EXP)ビット番号またはビット番号の範囲。number の場合、0 から 7 までの 1 つ以上の値を 10 進数、2 進数、または 16 進数形式で指定できます。

• family any

• family inet

• family mpls

• family ccc

• family bridge

• family vpls

• family inet

• family inet6

• family mpls

• family ccc

• family bridge

• family vpls

• family inet

• family inet6

• family bridge

• family any

• family inet

• family inet6

• family mpls

• family ccc

• family bridge

• family vpls

• family any

• family inet

• family inet6

• family mpls

• family ccc

• family bridge

• family vpls

family inet

• family inet

• family inet6

• family bridge

• family any

• family inet

• family inet6

• family mpls

• family ccc

• family bridge

• family vpls

family inet6

• family any

• family inet

• family mpls

• family ccc

• family any

• family inet

• family mpls

• family ccc

family inet

• family inet