Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

방화벽 필터 유연한 일치 조건

표준 방화벽 필터 일치 조건은 일치되는 트래픽의 프로토콜 패밀리에 따라 달라집니다. 예를 들어 브리지 프로토콜 트래픽에 사용 가능한 용어는 inet 또는 inet6 프로토콜 패밀리에서 사용할 수 있는 용어와 다릅니다. 그러나 각 프로토콜 패밀리 내에서 일치하기 위해 사용할 수 있는 필드는 고정되거나 사전 정의된 것입니다. 즉, 필터는 미리 정의된 필드 내 패턴만 일치할 수 있습니다.

유연한 일치 조건을 사용하여 레이어-2, 레이어-3, 레이어-4 또는 페이로드 위치에서 일치하는 방화벽 필터를 구성할 수 있습니다. 이때 추가 오프셋 기준을 지정할 수 있으므로 패킷 내의 사용자 정의 사용자 정의 위치에서 패턴 일치를 지원할 수 있습니다.

다른 방화벽 필터 조건과 같은 입력 또는 출력 필터로 MPC 또는 MIC 인터페이스에 유연한 일치 필터 조건이 적용됩니다. 유연한 일치 필터 용어는 계층 수준에서 [edit firewall] 템플릿으로도 만들 수 있습니다. 이러한 템플릿은 유연한 매치 용어 내에서 참조될 수 있습니다.

MX 시리즈 라우터의 경우 MMPC 또는 MIC로만 유연한 일치 조건을 지원할 수 있습니다. MPC나 MIC와 함께FPC, PC 및 DPC가 설치된 환경의 경우 유연한 일치 방화벽 필터 기준만 MPC 또는 MIC 인터페이스에 적용해야 합니다.

주:

MX 시리즈 라우터의 경우 해당 SNMP 라우터를 걸어서 액세스하기 위해 관리 정보 베이스(MIB) 필터에 대한 필터 카운터를 초기화해야 관리 정보 베이스(MIB). 예를 들어, Trio 전용 필터와 관련해 구성 또는 변경된 필터의 경우 다음과 같은 명령을 실행해야 합니다. show snmp mib walk (ascii | decimal) object-id. 따라서 Junos는 필터 카운터를 학습하고 필터 통계가 표시되도록 합니다(이는 필터 통계에 대한 첫 번째 폴링이 모든 카운터를 표시하지 않을 수 있기 때문에). Trio 전용 매치 필터는 최소 1개 이상의 일치 조건 또는 동작이 포함된 필터로, Trio 칩세트에서만 지원됩니다.

이 지침은 모든 방화벽 enhanced-mode 필터에 적용됩니다. 또한, 오프셋 범위 또는 오프셋-마스크에 대한 유연한 일치 필터 IPv4 트래픽에 대한 방화벽 필터 일치 조건 조건, gre-key IPv6 트래픽의 방화벽 필터 일치 조건(다음과 같은 일치 조건)에 적용됩니다. payload-protocol, extension headers, is_fragment. 필터에도 다음 중 하나가 방화벽 필터 종료 작업 적용됩니다. encapsulate 또는, 또는 다음 중 하나를 통해 할 decapsulate방화벽 필터 논 터미트 작업 있습니다. policy-mapclear-policy-map 를 통해

명령문 계층

그림과 같이 3가지 변형으로 유연한 일치 필터 용어를 사용할 수 표 1 있습니다. 변형은 flexible-match 계층 수준에서 [edit firewall] 구성됩니다. 유연한 일치 템플릿을 정의하는 데 사용됩니다. 및 flexible-filter-match-maskflexible-match-range 계층에서 [edit firewall family [inet|inet6|bridge|ethernet-switching|ccc|vpls] filter <filter-name> term <term-name> from] 구성됩니다. 필터를 family ethernet-switching 사용하여 스위치 EX9200 사용할 수 있습니다.

유연한 필터 일치 유형

표 1: 유연한 필터 일치 유형

유연한 필터 일치 유형

사용 가능한 속성

설명

flexible-match

<name>

이름, 이름, 이름< 일치 > 템플릿을 만듭니다.

 

bit-length

문자열 입력에 필요하지 않은 비트로 일치되는 데이터의 길이(0.32)

QFX5120 및 EX4650 스위치의 경우 16 및 32가 유일한 유효한 비트 길이입니다.

bit-offset

일치(match-start + byte) 오프셋 이후 비트 오프셋(0.7)

byte-offset

매치 시작 지점 이후의 Byte 오프셋

match-start

패킷 일치 시작 지점

flexible-match-mask

bit-length

문자열 입력에 필요하지 않은 비트로 일치할 데이터의 길이(0.128)

bit-offset

일치(match-start + 바이트) 오프셋 이후 비트 오프셋(0.7)

byte-offset

매치 시작 지점 이후의 Byte 오프셋

flexible-mask-name

사전 정의한 템플릿 필드에서 유연한 일치를 선택합니다. 구성되지 않는 match-start 한 필요합니다.

mask-in-hex

일치할 패킷 데이터의 비트를 마스크로 챙기세요.

match-start

패킷 일치 시작 지점. 구성되지 않는 flexible-mask-name 한 필요합니다.

prefix

일치할 가치 있는 데이터/문자열.

flexible-match-range

bit-length

비트로 일치되는 데이터의 길이. (0.32) 구성이 없는 flexible-range-name 경우 필요.

bit-offset

(매치 스타트 + 바이트) 오프셋 이후 비트 오프셋. (0..7)

byte-offset

매치 시작 지점 이후의 Byte 오프셋

flexible-range-name

사전 정의한 템플릿에서 유연한 일치를 선택합니다.

match-start

패킷 일치 시작 지점. 구성되지 않는 flexible-range-name 한 필요합니다.

range

일치할 값 범위.

range-except

일치하지 않는 값 범위

유연한 필터 일치 시작 위치

유연한 일치 필터 용어는 패킷 내의 시작 위치 또는 앵커 지점을 제공하여 구성됩니다. 시작 위치는 다음 중 어느 것일 수 있습니다. 사용하는 프로토콜 패밀리에 따라 레이어-2, 레이어-3, 레이어-4 또는 페이로드가 해당됩니다. 프로토콜 패밀리에 따라 사용 가능한 유연한 필터 일치 표 2 시작 위치를 보여줍니다. 유연한 일치 필터 조건을 위한 위치로 사용 가능한 시작 위치를 match-start 사용합니다.

이러한 시작 위치에서 특정 바이트 및 비트 오프셋을 사용하여 패킷 내의 매우 특정 위치에서 필터가 패턴을 일치하도록 할 수 있습니다.

표 2: 유연한 필터 일치 시작 위치

프로토콜 패밀리

시작 위치 제공

inet

layer-3, layer-4 and payload

junos QFX5120 및 EX4650 스위치의 경우, 레이어 2 및 레이어-3(유일한) 유연한 일치 필터가 Junos Release 20.1R1.

inet6

layer-3, layer-4 and payload

junos QFX5120 및 EX4650 스위치의 경우, 레이어 2 및 레이어-3(유일한) 유연한 일치 필터가 Junos Release 20.1R1.

bridge

layer-2, layer-3, layer-4 and payload

ccc

layer-2, layer-3, layer-4 and payload

mpls

layer-3 and payload

vpls

layer-2, layer-3, layer-4 and payload

ethernet-switching

(EX9200 스위치) layer-2, layer-3, layer-4 and payload

모든 QFX5120 및 EX4650, Layer 2 및 Layer-3(오직) 유연한 일치 필터 지원이 Junos Release 20.1R1. 레이어-2 패킷 오프셋 및 일치 길이를 사용하는 예는 아래에서 찾을 수 있습니다.

유연한 필터 매치 예

다음 예제에서는 의 사용과 컨텍스트를 설명하고 flexible-match-mask 있습니다.

< 이름의 > 유연한 일치 조건에 사전 정의한 템플릿이 사용되는 유연한 마스크 이름에 해당합니다. 유연한 일치 조건이 실행해야 하는 패킷 내 위치(위치)를 지정하기 위해 템플릿을 정의할 수 있습니다.

마스크를 < > 형식입니다. 예를 들어, 구성된 마스크는 첫 번째 0xf0fc 바이트(<mask-name> 참조), 두 번째 바이트의 처음 6비트에 대해 매칭을 지정합니다. 패킷이 IPv4 패킷인 경우<mask-name>refer를 L3 헤더에서 처음 2비트로 표시하면 IP 버전 필드 및 DSCP 필드를 검색합니다. 또 다른 예로, 구성된 마스크는 전체 1 바이트 검색과 두 번째 바이트에서 2비트에 대한 검색을 0xffc0 지정합니다. <mask-name>refers를 L3 헤더에서 처음 2비트로, 패킷이 IPv6 패킷인 경우, Traffic Class 필드에서 IP 버전 필드 및 DSCP를 지정합니다.

prefix를> < < asCII 문자열입니다. 처음 두 문자의 경우 문자열이 적절한 비트를 인코딩하는 0x axadecimal 번호로 처리됩니다. 예를 들어, 처음 2 바이트의 L3 헤더에서 마스크와 0x40c00xf0fc<mask-name>referring을 함께 구성한 Prefix는 처음 4비트(버전 필드는 4개와 같음) 및 0100 IPv4 DSCP 필드의 검색을 1100 00 나타냅니다(DSCP는 cs6와 같습니다). 또는, L3 헤더에서 처음 2 바이트의 검색을 마스크 및 <mask 이름과 함께 함께 구성한 Prefix를 사용하는 경우> 처음 4개의 비트(버전 필드는 6과 동일)에 대한 검색을 지정하며 0x6c000xffc001101100 00 IPv6 DSCP 필드의 DSCP 필드는 cs6와 같습니다.

첫 번째 예는 유연한 매칭을 위해 L3 헤더로부터 처음 2 바이트(16비트)를 선택하는 마스크 템플릿을 정의합니다.

다음 예제에서는 유연한 매칭을 위해 패킷 페이로드의 3~6 바이트(32비트)를 선택하는 마스크 템플릿을 정의합니다.

다음 예제에서는 문자열 JNPR(ASCII 문자: 0x4a0x4e, 0x50 를, 패킷 페이로드의 세 0x52 번째~6번째 패킷 페이로드에서 3~6비트까지의 패킷 페이로드를 생성합니다. 필터는 이전 FM-FOUR-PAYLOAD-BYTES 예제에 정의된 마스크 템플릿을 사용한다.

다음 예제에서는 캡슐화된 패킷이 cs6 IPv4인지 IPv6인지 여부에 관계없이 DSCP와 DSCP에 동등한 DSCP를 찾고 있는 ccc 필터를 ef 보여줍니다. 첫 번째 FM-FIRST-TWO-L3-BYTES 예에서 정의된 마스크 템플릿을 사용하죠.

다음 예제에서는 layer-2 패킷 오프셋부터 시작하여 QFX5120-32C, QFX5120-48Y 또는 Junos Release EX4650 실행되는 EX4650 필터에서 일치하는 길이를 사용하는 방법을 20.1R1. 여기에서는 32비트의 비트 길이와 이 ethernet-switching 패밀리를 inet 사용하며 레이어-3 오프셋을 사용하는 경우와 inet6 같은 지원도 있습니다.

출시 내역 표
릴리스
설명
20.1R1
모든 QFX5120 및 EX4650, Layer 2 및 Layer-3(오직) 유연한 일치 필터 지원이 Junos Release 20.1R1.