Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

방화벽 필터 유연한 일치 조건

표준 방화벽 필터 일치 조건은 일치되는 트래픽의 프로토콜 제품군에 따라 달라집니다. 예를 들어 브리지 프로토콜 트래픽에 사용할 수 있는 용어는 inet 또는 inet6 프로토콜 제품군에서 사용할 수 있는 용어와 다릅니다. 그러나 각 프로토콜 제품군 내에서 매칭하는 데 사용할 수 있는 필드는 고정되거나 사전 정의되어 있습니다. 즉, 필터는 사전 정의된 필드 내의 패턴에만 일치할 수 있습니다.

유연한 일치 조건을 사용하여 레이어 2, 레이어 3, 레이어-4 또는 페이로드 위치에서 일치를 시작하는 방화벽 필터를 구축할 수 있습니다. 여기에서 추가 오프셋 기준을 지정하여 패킷 내의 사용자 정의 맞춤형 위치에서 패턴 일치를 수행할 수 있습니다.

유연한 매치 필터 용어는 다른 방화벽 필터 용어와 마찬가지로 입력 또는 출력 필터로 MPC 또는 MIC 인터페이스에 적용됩니다. 계층 수준에서 템플릿 [edit firewall] 으로 유연한 매치 필터 용어를 만들 수도 있습니다. 그런 다음 유연한 매치 기간 내에 이러한 템플릿을 참조할 수 있습니다.

MX 시리즈 라우터의 경우 유연한 매치 조건은 MPC 또는 MIC만 지원됩니다. FPC, PIC 또는 DPC가 MPC 또는 MIC와 함께 설치된 환경의 경우 MPC 또는 MIC 인터페이스에만 유연한 일치 방화벽 필터 기준을 적용해야 합니다.

주:

MPC를 사용하는 MX 시리즈 라우터의 경우 해당 SNMP MIB를 보행하여 MIB에서 Trio 전용 일치 필터를 위한 필터 카운터를 초기화해야 합니다. 예를 들어 Trio 전용 필터와 관련하여 구성되거나 변경된 모든 필터의 경우 다음과 같은 명령을 실행해야 합니다. show snmp mib walk (ascii | decimal) object-id. 따라서 Junos는 필터 카운터를 학습하고 필터 통계가 표시되는지 확인합니다(이는 필터 통계를 필터링하는 첫 번째 폴이 모든 카운터를 표시하지 않을 수 있기 때문입니다). Trio 전용 매치 필터는 최소 1개의 매치 조건 또는 Trio 칩셋에서만 지원되는 액션을 포함하고 있습니다.

이 지침은 모든 enhanced-mode 방화벽 필터에 적용됩니다. 또한 오프셋 범위 또는 오프셋 마스크를 IPv4 트래픽 방화벽 일치 조건 위한 유연한 매치 필터 조건, gre-key IPv6 트래픽에 대한 방화벽 필터 일치 조건(아래와 같은 일치 조건)에도 적용됩니다. payload-protocol, extension headers, is_fragment. 또한 다음 방화벽 필터 종료 작업중 하나를 갖춘 필터에도 적용됩니다. encapsulate 또는 decapsulate, 또는 다음 방화벽 필터 비계속 작업중 하나: policy-map, .clear-policy-map

명령문 계층

유연한 매치 필터 용어는 에 표시된 표 1대로 세 가지 변형으로 사용할 수 있습니다. 변형은 flexible-match 계층 수준에서 구성 [edit firewall] 됩니다. 유연한 매치 템플릿을 정의하는 데 사용됩니다. flexible-filter-match-maskflexible-match-range 계층 구조에서 [edit firewall family [inet|inet6|bridge|ethernet-switching|ccc|vpls] filter <filter-name> term <term-name> from] 구성됩니다. family ethernet-switching EX9200 스위치의 필터를 사용합니다.

유연한 필터 일치 유형

표 1: 유연한 필터 일치 유형

유연한 필터 일치 유형

가용 속성

설명

flexible-match

<name>

속성으로 명명된 유연한 일치 템플릿을 <name> 만듭니다.

 

bit-length

문자열 입력(0.32)을 위해 필요하지 않은 비트 단위로 일치할 데이터 길이

QFX5120 및 EX4650 스위치의 경우, 16과 32는 유일하게 유효한 비트 길이입니다.

bit-offset

(매치 시작 + 바이트) 오프셋(0.7) 후 비트 오프셋

byte-offset

매치 시작점 이후 바이트 오프셋

match-start

패킷의 일치를 위한 시작점

flexible-match-mask

bit-length

문자열 입력에 필요하지 않은 비트 단위로 일치할 데이터 길이(0.128)

bit-offset

(매치 시작 + 바이트) 오프셋(0.7) 후 비트 오프셋

byte-offset

매치 시작점 이후 바이트 오프셋

flexible-mask-name

사전 정의된 템플릿 필드에서 유연한 일치를 선택합니다. 구성되지 않는 한 match-start 필요합니다.

mask-in-hex

일치할 패킷 데이터의 비트를 마스크합니다.

match-start

패킷 일치를 위한 시작점 구성되지 않는 한 flexible-mask-name 필요합니다.

prefix

일치할 데이터/문자열 값

flexible-match-range

bit-length

비트에서 일치할 데이터의 길이. (0.32) 구성되지 않는 한 flexible-range-name 필요합니다.

bit-offset

(일치 시작 + 바이트) 오프셋 이후 비트 오프셋. (0..7)

byte-offset

매치 시작점 이후 바이트 오프셋

flexible-range-name

사전 정의된 템플릿에서 유연한 일치를 선택합니다.

match-start

패킷 일치를 위한 시작점 구성되지 않는 한 flexible-range-name 필요합니다.

range

일치할 값의 범위

range-except

일치할 값의 범위

유연한 필터 일치 시작 위치

유연한 매치 필터 용어는 패킷 내에서 시작 위치 또는 앵커 포인트를 제공하여 구성됩니다. 시작 위치는 다음 중 어느 것이든 가능합니다. 사용 중인 프로토콜 제품군에 따라 레이어 2, 레이어 3, 레이어 4 또는 페이로드를 사용할 수 있습니다. 표 2 프로토콜 제품군별 사용 가능한 유연한 필터 일치 시작 위치를 보여줍니다. 사용 가능한 이러한 시작 위치를 유연한 매치 필터 조건을 위한 위치로 match-start 사용합니다.

이러한 시작 위치에서 특정 바이트 및 비트 오프셋을 활용하여 패킷 내의 매우 특정 위치에서 패턴을 일치시킬 수 있습니다.

표 2: 유연한 필터 일치 시작 위치

프로토콜 제품군

사용 가능한 시작 위치

inet

layer-3, layer-4 and payload

QFX5120 및 EX4650 스위치의 경우, Junos 릴리스 20.1R1에 레이어 2 및 레이어 3(전용) 유연한 매치 필터를 지원합니다.

inet6

layer-3, layer-4 and payload

QFX5120 및 EX4650 스위치의 경우, Junos 릴리스 20.1R1에 레이어 2 및 레이어 3(전용) 유연한 매치 필터를 지원합니다.

bridge

layer-2, layer-3, layer-4 and payload

ccc

layer-2, layer-3, layer-4 and payload

mpls

layer-3 and payload

vpls

layer-2, layer-3, layer-4 and payload

ethernet-switching

(EX9200 스위치) layer-2, layer-3, layer-4 and payload

QFX5120 및 EX4650 스위치의 경우, Junos 릴리스 20.1R1에 레이어 2 및 레이어 3(전용) 유연한 매치 필터를 지원합니다. 레이어-2 패킷 오프셋 및 일치 길이 사용 예는 아래에서 확인할 수 있습니다.

유연한 필터 일치 사례

다음 예제에서는 에 대한 사용 및 컨텍스트를 flexible-match-mask설명합니다.

<mask-name> 유연한 일치 조건을 위해 flexible-mask-name 사전 정의된 템플릿을 사용하는 지정합니다. 유연한 일치 조건이 실행되어야 하는 패킷의 위치(위치)를 지정하도록 템플릿을 정의할 수 있습니다.

for mask-in-hex<mask> 1진수 형식입니다. 예를 들어, 구성된 마스크 0xf0fc 는 첫 번째 바이트(참조 <mask-name>)에서 주먹 4비트와 두 번째 바이트의 처음 6비트의 일치를 지정합니다. 패킷이 IPv4 패킷이고 <mask-name> L3 헤더에서 처음 두 바이트를 참조하는 경우, 이 검색은 IP 버전 필드 및 DSCP 필드입니다. 또 다른 예로 구성된 마스크 0xffc0 는 전체 첫 번째 바이트와 두 번째 바이트에서 2비트의 검색을 지정합니다. L3 헤더에서 <mask-name> 처음 두 바이트를 참조하고 패킷이 IPv6 패킷인 경우, 트래픽 클래스 필드에서 IP 버전 필드와 DSCP를 지정합니다.

지정된 prefix 문자열은 <pattern> ASCII 문자열입니다. 처음 두 문자가 0x있는 경우 문자열은 적절한 비트를 인코딩하는 16진수 숫자로 처리됩니다. 예를 들어, 마스크 0xf0fc 와 함께 구성된 prefix 0x40c0 는 L3 헤더의 처음 2바이트, 처음 4비트(버전 필드가 4와 같음)와 IPv4 DSCP 필드(DSCP는 cs6와 1100 00 같음)에서 검색 0100<mask-name> 나타냅니다. 또는 마스크 0xffc0 와 함께 구성된 Prefix 0x6c00<mask-name> 사용하고 L3 헤더에서 처음 두 바이트를 참조하여 처음 4비트(버전 필드가 6와 같음)와 IPv6 DSCP 필드(DSCP는 cs6와 1100 00 같음)에서 검색 0110 을 지정합니다.

첫 번째 예는 유연한 일치를 위해 L3 헤더에서 처음 2바이트(16비트)를 선택하는 마스크 템플릿을 정의합니다.

다음 예는 유연한 일치를 위해 패킷 페이로드의 세 번째 바이트에서 여섯 번째 바이트(32비트)를 선택하는 마스크 템플릿을 정의합니다.

이 예에서는 문자열 JNPR (ASCII 문자: 0x4a, 0x4e, 0x500x52) 패킷 페이로드의 세 번째 바이트에서 6바이트까지 필터는 이전 예제에 정의된 마스크 템플릿을 사용합니다 FM-FOUR-PAYLOAD-BYTES .

이 예에서는 캡슐화된 패킷이 IPv4인지 IPv6인지 여부에 관계없이 DSCP와 동일한 cs6 DSCP와 DSCP ef를 찾는 패밀리 ccc 필터를 보여줍니다. 첫 번째 예제에서 정의된 마스크 템플릿을 사용합니다 FM-FIRST-TWO-L3-BYTES .

이 예제에서는 Junos Release 20.1R1을 실행하는 QFX5120-32C, QFX5120-48Y 또는 EX4650 디바이스의 방화벽 필터에서 레이어-2 패킷 오프셋에서 시작하는 일치 길이를 사용하는 방법을 보여줍니다. 여기에서는 비트 길이가 32비트와 ethernet-switching 제품군inet 을 사용하며 inet6 레이어-3 오프셋을 사용하는 것과 마찬가지로 지원됩니다.

출시 내역 표
릴리스
설명
20.1R1
QFX5120 및 EX4650 스위치의 경우, Junos 릴리스 20.1R1에 레이어 2 및 레이어 3(전용) 유연한 매치 필터를 지원합니다.