show security match-policies
구문
show security match-policiesdestination-ip <ip-address>destination-port < port-number>destination-vrf <destination-vrf>from-zone <zone-name>globallogical-system <logical-system-name>protocol <protocol-name | protocol-number>result-count <number>root-logical-systemsource-end-user-profile <device-identity-profile-name>source-identity <role-name>source-ip <ip-address>source-port <port-number>tenant <tenant-name>to-zone<zone-name>url category<url-category>
설명
이 show security match-policies 명령을 사용하면 일치 기준(소스 포트, 대상 포트, 소스 IP 주소, 대상 IP 주소 및 프로토콜)을 사용하여 트래픽 문제를 해결할 수 있습니다. 예를 들어, 적절한 정책이 구성되지 않았거나 일치 기준이 올바르지 않아 트래픽이 전달되지 않는 경우 show security match-policies 명령을 사용하여 오프라인으로 작업하고 문제가 실제로 존재하는 위치를 식별할 수 있습니다. 검색 엔진을 사용하여 문제를 식별하므로 트래픽에 적합한 동영상 일치 정책을 사용할 수 있습니다.
이 result-count 옵션은 표시할 정책 수를 지정합니다. 목록에서 활성화된 첫 번째 정책은 일치하는 모든 트래픽에 적용되는 정책입니다. 그 아래의 다른 정책은 첫 번째 정책에 의해 "섀도우"되며 일치하는 트래픽에 의해 발생하지 않습니다.
명령은 show security match-policies 보안 정책에만 적용할 수 있습니다. 침입 탐지 및 방지(IDP) 정책은 지원되지 않습니다.
옵션
-
destination-ip destination-ip- 트래픽의 대상 IP 주소를 표시합니다. -
destination-port destination-port–트래픽의 대상 포트 번호를 표시합니다. 범위는 1에서 65,535까지입니다. -
destination-vrf destination-vrf- (옵션) 대상 VRF 정보를 표시합니다. -
from-zone zone-name- 트래픽 소스 영역의 이름 또는 ID를 표시합니다. 글로벌 정책의 경우 선택 사항입니다. -
global- 글로벌 정책에 대한 정보를 표시합니다. -
logical-system- 논리적 시스템 이름을 표시합니다. -
protocol protocol-name | protocol-number–트래픽의 프로토콜 이름 또는 숫자 값을 표시합니다.-
ah또는51 -
egp또는8 -
esp또는50 -
gre또는47 -
icmp또는1 -
igmp또는2 -
igp또는9 -
ipip또는94 -
ipv6또는41 -
ospf또는89 -
pgm또는113 -
pim또는103 -
rdp또는27 -
rsvp또는46 -
sctp또는132 -
tcp또는6 -
udp또는17 -
vrrp또는112
-
-
result-count number- (선택 사항) 정책 일치 수를 표시합니다. 유효한 범위는 1에서 16까지입니다. 기본값은 1입니다. -
root-logical-system- 루트 논리적 시스템을 기본값으로 표시합니다. -
source-end-user-profiledevice-identity-profile-name- (옵션) 하나 이상의 디바이스에 적용할 수 있는 특성을 지정하는 디바이스 ID 프로파일을 표시합니다. -
source-identity role-name- (선택 사항) 사용자 역할에 의해 결정된 트래픽의 소스 ID를 표시합니다. -
source-ip source-ip- 트래픽의 소스 IP 주소를 표시합니다. -
source-port source-port- 트래픽의 소스 포트 번호를 표시합니다. 범위는 1에서 65,535까지입니다. -
tenant- 테넌트 시스템의 이름을 표시합니다. -
to-zone zone-name- 트래픽의 대상 영역 이름 또는 ID를 표시합니다. 글로벌 정책의 경우 선택 사항입니다.
필요한 권한 수준
보기
출력 필드
표 1 에는 명령의 출력 필드가 나열되어 있습니다 show security match-policies . 출력 필드는 나타나는 대략적인 순서대로 나열됩니다.
| 필드 이름 |
필드 설명 |
|---|---|
|
|
해당 정책의 이름입니다. |
|
|
정책의 일치 기준과 일치하는 트래픽에 대해 수행할 작업입니다. 작업은 다음과 같습니다.
|
|
|
정책 상태:
|
|
|
정책과 연결된 내부 번호입니다. |
|
|
지정된 컨텍스트 내의 정책 수입니다. 예를 들어, from-zoneA에서 zoneB로의 컨텍스트에서 적용할 수 있는 세 가지 정책은 시퀀스 번호 1, 2 및 3으로 정렬될 수 있습니다. 또한 from-zoneC-to-zoneD 컨텍스트에서 4개의 정책에 시퀀스 번호 1, 2, 3, 4가 있을 수 있습니다. |
|
|
원본 영역의 이름입니다. |
|
|
대상 영역의 이름입니다. |
|
|
정책에 대한 소스 주소의 이름 및 해당 IP 주소입니다. 주소 집합은 개별 주소 이름-IP 주소 쌍으로 확인됩니다. |
|
|
대상 영역의 주소록에 입력된 정책에 대한 대상 주소(또는 주소 집합)의 이름과 해당 IP 주소입니다. 패킷의 대상 주소는 정책이 적용되기 위해 이러한 주소 중 하나와 일치해야 합니다. |
|
|
미리 구성된 응용 프로그램 또는 사용자 지정 응용 프로그램의 이름이거나 |
|
|
응용 프로그램에서 사용하는 IP 프로토콜의 숫자 값(예: TCP의 경우 6, ICMP의 경우 1)입니다. |
|
|
ALG가 세션과 연결된 경우 ALG의 이름입니다. 그렇지 않으면 0입니다. |
|
|
응용 프로그램이 종료된 후 활동이 없는 경과 시간입니다. |
|
|
정책에 정의된 일치하는 소스 포트의 범위입니다. |
|
|
정책에 정의된 일치하는 대상 포트의 범위입니다. |
|
|
일치 정책에 정의된 하나 이상의 사용자 역할입니다. |
|
|
글로벌 정책에 대한 정보를 표시합니다. |
|
|
하나 이상의 디바이스에 적용할 수 있는 특성을 지정하는 디바이스 ID 프로파일입니다. |
샘플 출력
- 예 1: 보안 일치 정책 표시
- 예 2: 보안 일치 정책 표시 ... 결과 개수
- 예 3: 보안 일치 정책 표시 ... 소스 아이덴티티
- 예 4: 보안 일치 정책 표시... 글로벌
- show security match-policies tenant TN1 from-zone trust to-zone untrust source-ip 10.10.10.1 destination-ip 192.0.2.1 source-port 1 destination-port 21 protocol tcp
- show security match-policies from-zone client to-zone svr source-ip 10.1.1.1 source-port 88 destination-ip 10.2.2.2 destination-port 80 protocol tcp url-category Enhanced_Games
예 1: 보안 일치 정책 표시
user@host> show security match-policies from-zone z1 to-zone z2 source-ip 10.10.10.1 destination-ip 192.0.2.1 source-port 1 destination-port 21 protocol tcp
Policy: p1, action-type: permit, State: enabled, Index: 4
Sequence number: 1
From zone: z1, To zone: z2
Source addresses:
a2: 198.51.100.0/24
a3: 10.10.10.1/32
Destination addresses:
d2: 203.0.113.0/24
d3: 192.0.2.1/32
Application: junos-ftp
IP protocol: tcp, ALG: ftp, Inactivity timeout: 1800
Source port range: [0-0]
Destination port range: [21-21]
예 2: 보안 일치 정책 표시 ... 결과 개수
user@host> show security match-policies from-zone zone-A to-zone zone-B source-ip 10.10.10.1 destination-ip 192.0.2.5 source_port 1004 destination_port 80 protocol tcp result_count 5
Policy: p1, action-type: permit, State: enabled, Index: 4
Sequence number: 1
From zone: zone-A, To zone: zone-B
Source addresses:
sa1: 10.10.0.0/16
Destination addresses:
da5: 192.0.2.0/24
Application: any
IP protocol: 1, ALG: 0, Inactivity timeout: 0
Source port range: [1000-1030]
Destination port range: [80-80]
Policy: p15, action-type: deny, State: enabled, Index: 18
Sequence number: 15
From zone: zone-A, To zone: zone-B
Source addresses:
sa11: 10.10.10.1/32
Destination addresses:
da15: 192.0.2.5/32
Application: any
IP protocol: 1, ALG: 0, Inactivity timeout: 0
Source port range: [1000-1030]
Destination port range: [80-80]
예 3: 보안 일치 정책 표시 ... 소스 아이덴티티
user@host> show security match-policies from-zone untrust to-zone trust source-ip 10.10.10.1 destination-ip 192.0.2.1 destination_port 21 protocol 6 source-port 1234 source-identity role1
Policy: p1, action-type: permit, State: enabled, Index: 40
Policy Type: Configured
Sequence number: 1
From zone: untrust, To zone: trust
Source addresses:
a1: 10.0.0.0/8
Destination addresses:
d1: 192.0.2.0/24
Application: junos-ftp
IP protocol: tcp, ALG: ftp, Inactivity timeout: 1800
Source port range: [0-0]
Destination port range: [21-21]
Source identities: role1
Per policy TCP Options: SYN check: No, SEQ check: No
예 4: 보안 일치 정책 표시... 글로벌
user@host> show security match-policies global source-ip 10.10.10.1 destination-ip 192.0.2.5 source_port 1004 destination_port 80 protocol tcp result_count 5
Policy: gp1, action-type: permit, State: enabled, Index: 6, Scope Policy: 0
Policy Type: Configured, global
Sequence number: 1
From zones:
Any
To zones:
Any
Source addresses:
any-ipv4(global): 0.0.0.0/0
any-ipv6(global): ::/0
Destination addresses:
any-ipv4(global): 0.0.0.0/0
any-ipv6(global): ::/0
Application: any
IP protocol: 0, ALG: 0, Inactivity timeout: 0
Source port range: [0-0]
Destination port range: [0-0]
Per policy TCP Options: SYN check: No, SEQ check: No, Window scale: No
show security match-policies tenant TN1 from-zone trust to-zone untrust source-ip 10.10.10.1 destination-ip 192.0.2.1 source-port 1 destination-port 21 protocol tcp
user@host> show security match-policies tenant TN1 from-zone trust to-zone untrust source-ip 10.10.10.1 destination-ip 192.0.2.1 source-port 1 destination-port 21 protocol tcp Policy: p1, action-type: permit, State: enabled, Index: 4 Sequence number: 1 From zone: trust, To zone: untrust Source addresses: a2: 198.51.100.0/24 a3: 10.10.10.1/32 Destination addresses: d2: 203.0.113.0/24 d3: 192.0.2.1/32 Application: junos-ftp IP protocol: tcp, ALG: ftp, Inactivity timeout: 1800 Source port range: [0-0] Destination port range: [21-21]
show security match-policies from-zone client to-zone svr source-ip 10.1.1.1 source-port 88 destination-ip 10.2.2.2 destination-port 80 protocol tcp url-category Enhanced_Games
user@host> show security match-policies from-zone client to-zone svr source-ip 10.1.1.1 source-port 88 destination-ip 10.2.2.2 destination-port 80 protocol tcp url-category Enhanced_Games
Policy: p1, action-type: permit, State: enabled, Index: 7
0
Policy Type: Configured
Sequence number: 1
From zone: client, To zone: server
Source vrf group:
any
Destination vrf group:
any
Source addresses:
any-ipv4(global): 0.0.0.0/0
any-ipv6(global): ::/0
Destination addresses:
any-ipv4(global): 0.0.0.0/0
any-ipv6(global): ::/0
Application: any
IP protocol: 0, ALG: 0, Inactivity timeout: 0
Source port range: [0-0]
Destination ports: [0-0]
Url-category:
Enhanced_Sex: 234881056
Enhanced_Games: 234881037
Per policy TCP Options: SYN check: No, SEQ check: No, Window scale: No
Intrusion Detection and Prevention: disabled
Unified Access Control: disabled
Unified Threat Management: enabled
릴리스 정보
Junos OS 릴리스 10.3에서 소개된 명령입니다.
Junos OS 릴리스 10.4에서 명령이 업데이트되었습니다.
Junos OS 릴리스 12.1에서 명령이 업데이트되었습니다.
Junos OS 릴리스 12.1X47-D10에서 옵션인 from-zone 및 to-zone 글로벌 매치 옵션을 포함하도록 명령이 업데이트되었습니다.
이 tenant 옵션은 Junos OS 릴리스 18.3R1에서 소개됩니다.
이 url category 옵션은 Junos OS 릴리스 20.2R1에서 소개되었습니다.