Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

IPv6 트래픽에 대한 방화벽 필터 일치 조건

IPv6(Internet Protocol version 6) 트래픽에 대한 조건에 따라 방화벽 필터를 구성할 수 family inet6 있습니다.

주:

MX 시리즈 라우터의 경우, 예를 들어, 해당 SNMP 라우터를 걸어 트리오 전용 필터에 대한 필터 카운터를 초기화해야 관리 정보 베이스(MIB) show snmp mib walk name ascii 있습니다. 이에 따라 Junos는 필터 카운터를 학습하고 필터 통계가 표시되도록 합니다. 이 지침은 모든 고급 모드 방화벽 필터, 유연한 조건을 적용하는 필터, 특정 종료 작업을 적용하는 필터에 적용됩니다. 자세한 내용은 관련 문서에 나열된 해당 주제를 참조하십시오.

표 1 계층 수준에서 구성할 수 있는 일치 [edit firewall family inet6 filter filter-name term term-name from] 조건을 나타냅니다.

표 1: IPv6 트래픽에 대한 방화벽 필터 일치 조건

일치 조건

설명

address address [ except ]

옵션이 포함되어 있지 않는 한 IPv6 소스 또는 대상 주소 except 필드와 일치 옵션이 포함된 경우 IPv6 소스 또는 대상 주소 필드와 일치하지 않음.

apply-groups

구성 데이터를 사용할 그룹을 지정합니다. 두 개 이상의 그룹 이름을 지정할 수 있습니다. 우선 순위가 정해지기 위해서는 이를 나열해야 합니다. 첫 번째 그룹의 구성 데이터는 후속 그룹의 데이터보다 우선 순위를 니다.

apply-groups-except

구성 데이터를 상속하지 않는 그룹을 지정합니다. 두 개 이상의 그룹 이름을 지정할 수 있습니다.

destination-address address [ except ]

옵션이 포함되어 있지 않은 경우 IPv6 대상 주소 except 필드와 일치합니다. 옵션이 포함된 경우 IPv6 대상 주소 필드와 일치하지 않음.

동일한 용어에서 일치 조건과 조건을 addressdestination-address 모두 지정할 수 없습니다.

destination-class class-names

하나 이상의 지정된 대상 클래스 이름과 일치(함께 그룹화되어 클래스 이름을 지정하는 대상 Prefix의 집합).

자세한 내용은 주소 클래스에 기반한 방화벽 필터 일치 조건을 참조하십시오.

destination-class-except class-names

하나 이상의 지정된 대상 클래스 이름과 일치하지 않습니다. 자세한 내용은 일치 조건을 destination-class 참조합니다.

destination-port number

UDP 또는 TCP 대상 포트 필드에 일치

동일한 용어에서 일치 조건과 조건을 portdestination-port 모두 지정할 수 없습니다.

이 일치 조건을 구성하는 경우 포트에서 어떤 프로토콜이 사용되고 있는지 지정하기 위해 동일한 용어에서 일치 조건을 구성하는 next-header udpnext-header tcp 것이 좋습니다.

주:

Junos OS 에 대해 동일한 용어로 일치 next-header 명령문을 구성해야 합니다.

숫자 값을 대신하여 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(포트 번호도 나열됨). afs(1483), bgp (179), biff (512), bootpcbootps (68), cmd (67), (514), cvspserver (2401), dhcp (67), domain (53), ekloginekshell (2105), exec (2106), (512), finger (79), ftpftp-data (21), http (80), (80), https (443), identimap (113), (143), kerberos-secklogin (88), (543), kpasswdkrb-prop (761), krbupdate (754), (760), kshell (544), ldap (389), ldplogin (646), (513), mobileip-agentmobilip-mn (435), msdp (639), (639), (539) netbios-dgm 138), netbios-ns (137), netbios-ssn (139), nfsd (2049), nntp (119), ntalk (518), ntp (123), pop3 (110), pptp (1723), printer (515), radacctradius (1813), (1812), riprkinit (2108), smtp (2) 5), snmp (161), snmptrapsnpp (162), (444), socks (1080), sshsunrpc (22), (111), syslog (514), tacacs (49), tacacs-ds (65), talk (517), telnet (23), tftp (69), timed (525), who (513) xdmcp 또는 (177)

destination-port-except number

UDP 또는 TCP 대상 포트 필드와 일치하지 않습니다. 자세한 내용은 일치 조건을 destination-port 참조합니다.

destination-prefix-list prefix-list-name [ except ]

옵션이 포함되지 않는 한 IPv6 대상 prefix를 지정된 목록에 except 일치 옵션이 포함된 경우 IPv6 대상 prefix를 지정된 목록에 일치하지 않습니다.

Prefix 목록은 ] 계층 [edit policy-options prefix-list prefix-list-name 수준에서 정의됩니다.

extension-headers header-type

다음 헤더 값을 식별하여 패킷에 포함된 확장 헤더 유형과 일치합니다.

주:

이 일치 조건은 MX 시리즈 라우터의 MMPC에서만 지원됩니다.

패킷의 첫 번째 패킷 패킷 조각에서 필터는 모든 확장 헤더 유형에서 일치를 검색합니다. 패킷 조각 헤더가 있는 패킷(후속 패킷)이 발견되는 경우 다른 확장 헤더의 위치가 예측할 수 없는 경우 필터는 다음 확장 헤더 유형과 일치하는 패킷만 검색합니다.

숫자 값을 대신하여 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열됨). ah (51), destination (60), esp (50), fragmenthop-by-hop (44), (0), mobility (135) 또는 routing (43).

확장 헤더 옵션에 대한 모든 값을 일치하기 위해 텍스트 synonym을 any 사용합니다.

MX 시리즈 라우터의 경우 해당 SNMP 라우터를 단계적으로 걸어서 이러한 조건을 포함해 새로운 방화벽 필터를 초기화할 관리 정보 베이스(MIB).

first-fragment

패킷이 첫 번째 패킷 조각인 경우와 일치합니다.

 

extension-headers-except header-type

패킷에 포함된 확장 헤더 유형과 일치하지 마십시오. 자세한 내용은 일치 조건을 extension-headers 참조합니다.

주:

이 일치 조건은 MX 시리즈 라우터의 MMPC에서만 지원됩니다.

flexible-match-mask value

bit-length

정수 입력 길이(1.32비트),

(선택 사항) 스트링 입력 길이(1.128비트)

bit-offset

일치(match-start + byte) 오프셋 이후 비트 오프셋(0.7)

byte-offset

매치 시작 지점 이후의 Byte 오프셋

flexible-mask-name

사전 정의한 템플릿 필드에서 유연한 일치 선택

mask-in-hex

일치되는 패킷 데이터의 비트를 마킹합니다.

match-start

패킷 일치 시작 지점

prefix

일치할 가치 있는 데이터/문자열

자세한 내용은 방화벽 필터 유연한 일치 조건 참조

flexible-match-range value

범위는 다음 형식을 사용해야 합니다. 정수-정수

bit-length

비트로 일치할 데이터의 길이(0.32)

bit-offset

일치(match-start + byte) 오프셋 이후 비트 오프셋(0.7)

byte-offset

매치 시작 지점 이후의 Byte 오프셋

flexible-range-name

사전 정의한 템플릿 필드에서 유연한 일치 선택

match-start

패킷 일치 시작 지점

range

일치할 값 범위

range-except

이 값 범위와 일치하지 않는 경우

자세한 내용은 방화벽 필터 유연한 일치 조건 참조

forwarding-class class

패킷의 포우링 클래스와 일치합니다.

assured-forwarding, best-effort 또는 expedited-forwarding 를 지정합니다. network-control

포우링 클래스 및 라우터 내부 출력 큐에 대한 자세한 내용은 포링 클래스가 출력 큐에 클래스를 할당하는 방법 이해를 참조하십시오.

forwarding-class-except class

패킷의 포우링 클래스와 일치하지 마십시오. 자세한 내용은 일치 조건을 forwarding-class 참조합니다.

hop-limit hop-limit

지정된 홉 제한 또는 홉 제한 세트에 홉 제한을 일치 의 hop-limit 경우, 단일 값 또는 0에서 255까지의 값 범위를 지정합니다.

MX 시리즈 라우터에서만 MIC 또는 MMPC에서 호스팅되는 인터페이스에서 지원됩니다.

주:

이 일치 조건은 라우터에서 구성되면 PTX 시리즈 enhanced-mode 라우터에서 지원됩니다.

hop-limit-except hop-limit

지정된 홉 제한 또는 홉 제한 세트에 홉 제한을 일치하지 않습니다. 자세한 내용은 일치 조건을 hop-limit 참조합니다.

MX 시리즈 라우터에서만 MIC 또는 MMPC에서 호스팅되는 인터페이스에서 지원됩니다.

주:

이 일치 조건은 라우터에서 구성되면 PTX 시리즈 enhanced-mode 라우터에서 지원됩니다.

icmp-code message-code

ICMP 메시지 코드 필드와 일치합니다.

이 일치 조건을 구성하는 경우 동일한 기간에 해당 조건 또는 일치 next-header icmpnext-header icmp6 조건을 구성하는 것이 좋습니다.

이 일치 조건을 구성하는 경우 동일한 용어에서 일치 icmp-type message-type 조건을 구성해야 합니다. ICMP 메시지 코드는 ICMP 메시지 유형보다 구체적인 정보를 제공하지만, ICMP 메시지 코드의 의미는 관련 ICMP 메시지 유형에 의존합니다.

숫자 값을 대신하여 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열). 키워드는 연관된 ICMP 유형으로 그룹화됩니다.

  • 매개 변수 문제: ip6-header-bad(0), unrecognized-next-headerunrecognized-option (1), (2)

  • 초과 시간: ttl-eq-zero-during-reassembly(1), ttl-eq-zero-during-transit (0)

  • 대상에 대한 응답이 가능하지 않습니다. administratively-prohibited(1), address-unreachableno-route-to-destination (3), (0), port-unreachable (4)

icmp-code-except message-code

ICMP 메시지 코드 필드와 일치하지 않습니다. 자세한 내용은 일치 조건을 icmp-code 참조합니다.

icmp-type message-type

ICMP 메시지 유형 필드와 일치합니다.

이 일치 조건을 구성하는 경우 동일한 기간에 해당 조건 또는 일치 next-header icmpnext-header icmp6 조건을 구성하는 것이 좋습니다.

주:

Junos OS 에 대해 동일한 용어로 일치 next-header 명령문을 구성해야 합니다.

숫자 값을 대신하여 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열됨). certificate-path-advertisementcertificate-path-solicitation(149), (148), destination-unreachableecho-reply (129), echo-request (128), home-agent-address-discovery-reply (145), home-agent-address-discovery-request (144), inverse-neighbor-discovery-advertisement (142), inverse-neighbor-discovery-solicitation (141), membership-query (130), membership-reportmembership-termination (131), mobile-prefix-advertisement-reply (132), mobile-prefix-solicitation (146), (146) neighbor-advertisementneighbor-solicit 136), (135), node-information-replynode-information-request (140), packet-too-big (139), (2), parameter-problemprivate-experimentation-100 (4), private-experimentation-101 (100), (101), private-experimentation-200 (200), private-experimentation-201 (201), redirect (201), router-advertisement (137), router-renumbering (134), router-solicit (138), time-exceeded 또는 (3).

(201)의 경우 평방 각괄호 내에서 값 범위를 private-experimentation-201 지정할 수 있습니다.

icmp-type-except message-type

ICMP 메시지 유형 필드와 일치하지 않습니다. 자세한 내용은 일치 조건을 icmp-type 참조합니다.

interface interface-name

패킷이 수신된 인터페이스와 일치합니다.

주:

존재하지 않는 인터페이스와 일치 조건을 구성하면 해당 용어가 패킷과 일치하지 않습니다.

interface-group group-number

지정된 인터페이스 그룹 또는 인터페이스 그룹 세트에 패킷이 수신된 논리적 인터페이스를 일치합니다. 의 경우, 단일 값 또는 에서 까지의 값 범위를 group-number0255 지정합니다.

인터페이스 그룹에 논리적 인터페이스를 할당하고 group-number 계층 group-number 수준에서 [interfaces interface-name unit number family family filter group] 지정합니다.

자세한 내용은 인터페이스 그룹 집합에서 수신된 패킷 필터링 개요 를 참조하십시오.

interface-group-except group-number

패킷이 지정된 인터페이스 그룹 또는 인터페이스 그룹 세트에 수신된 논리적 인터페이스를 일치하지 마십시오. 자세한 내용은 일치 조건을 interface-group 참조합니다.

interface-set interface-set-name

패킷이 수신된 인터페이스와 지정된 인터페이스 세트를 일치

인터페이스 세트를 정의하기 위해 계층 수준에서 interface-set[edit firewall] 명령문을 포함해야 합니다.

자세한 내용은 인터페이스 세트 개요 에서 수신된 패킷 필터링을 참조하십시오.

ip-options values

8비트 IP 옵션 필드(있는 경우) 지정된 값 또는 값 목록에 일치

숫자 값을 대신하여 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(옵션 값도 나열됨). loose-source-route(131), record-routerouter-alert (7), (148), security (130), stream-idstrict-source-route (136), (137) timestamp 또는 (68).

IP 옵션에 대한 모든 값을 일치하기 위해 텍스트 동의어를 any 사용합니다. 여러 값에 일치하기 위해 평방 브래킷 내의 값 목록을 지정합니다(' [] '. 값의 범위와 일치하기 위해 값 사양 을 value1-value2 ] 사용합니다.

예를 들어, 일치 조건은 을 포함하는 IP 옵션 필드 또는 ip-options [ 0-147 ]loose-source-routerecord-route 0에서 147까지의 다른 모든 값을 security 일치합니다. 그러나 이 일치 조건은 값만 포함하는 IP 옵션 필드에 일치하지 router-alert 않습니다(148).

대부분의 인터페이스에서 하나 이상의 특정 IP 옵션 값(이 외 값)에 일치하는 필터 용어는 커널이 패킷 헤더에서 IP 옵션 필드를 구문 분석할 수 있도록 패킷을 라우팅 엔진 패킷으로 ip-optionany 전송합니다.

  • 하나 이상의 특정 IP 옵션 값에 일치하도록 지정하는 방화벽 필터 용어의 경우 동일한 용어에서 종료 작업을 지정하지 않는 경우 , 또는 비확정 작업을 지정할 ip-optioncountlogsyslogdiscard 없습니다. 이 동작은 라우터의 전송 인터페이스에 적용된 필터의 패킷 수를 두 배로 증가하는 것을 방지합니다.

  • 시스템 병목 현상이 있을 경우 커널에서 처리된 패킷이 드롭될 수 있습니다. 일치하는 패킷이 대신 패킷 전달 엔진(하드웨어에서 패킷 처리가 구현되는 경우)에 전송되도록 보장하기 위해 일치 조건을 ip-options any 사용합니다.

MPC(10-Gigabit Ethernet Modular Port Concentrator), 100기가비트 이더넷 MPC, 60기가비트 이더넷 MPC, 60-Gigabit Queuing Ethernet MPC 및 60-Gigabit Ethernet Enhanced Queuing MPC는 IPv4 패킷 헤더의 IP 옵션 필드를 구문 분석할 수 있습니다. 이러한MPC상에서 구성된 인터페이스의 경우, 일치 조건을 사용해 일치되는 모든 패킷은 처리를 위해 패킷 전달 엔진 ip-options 전송됩니다.

ip-options-except values

IP 옵션 필드를 지정된 값 또는 값 목록에 일치하지 않습니다. 을 지정하는 자세한 내용은 values 일치 ip-options 조건을 참조합니다.

is-fragment

패킷이 패킷 조각인 경우와 일치합니다.

 

last-fragment

패킷이 마지막 패킷 조각인 경우와 일치합니다.

 

loss-priority level

패킷 손실 우선 순위(PLP) 수준을 일치합니다.

단일 수준 또는 여러 레벨을 지정합니다. low, medium-lowmedium-highhigh 또는.

라우터 및 M120 M320 지원 M7i(M10i CFEB-E)를 있는 라우터 및 보안 라우터, MX 시리즈 라우터와 EX 시리즈 스위치를 사용할 수 있습니다.

M320, MX 시리즈, T 시리즈 라우터 및 EX 시리즈 스위치(Enhanced II Flexible PIC Concentrators)를 탑재한 EX 시리즈 스위치의 IP 트래픽의 경우, 계층 수준에서 지정된 4개 레벨에서 PLP 구성을 커밋하려면 명령문을 포함해야 tri-color[edit class-of-service] 합니다. 명령문을 활성화하지 않은 경우, 명령문과 수준만 tri-colorhigh 구성할 수 low 있습니다. 이는 모든 프로토콜 패밀리에 적용됩니다.

명령문에 대한 자세한 내용은 tri-colorConfiguring and Applying Tricolor Marking Policers를 참조하십시오. 수신 패킷의 PLP 수준을 설정하기 위해 BA(Behavior Aggregate) 분류자를 사용하는 방법에 대한 자세한 내용은 전달 클래스가 출력 큐에 클래스를 할당하는 방법 이해 를 참조하십시오.

loss-priority-except level

PLP 수준과 일치하지 않습니다. 자세한 내용은 일치 조건을 loss-priority 참조합니다.

next-header header-type

패킷의 처음 8비트 다음 헤더 필드와 일치 방화벽 일치 조건은 릴리스 날짜 이후의 Junos OS next-header 버전에서 13.3R6 수 있습니다.

IPv6의 경우 조건에 따라 방화벽 필터를 구성할 때 용어가 아닌 용어를 사용하는 payload-protocolnext-header 것이 좋습니다. 두 가지 방법을 모두 사용할 수 있는 것은 사실상 실제 페이로드 프로토콜을 사용하여 일치되는 것을 찾아 내기 때문에 보다 안정적인 일치 조건을 제공하는 payload-protocol 반면, IPv6 헤더가 실제 프로토콜이 될 수도 있고 아 아될 수 있는 첫 번째 헤더에 나타나는 모든 것을 next-header 사용합니다. 또한 IPv6와 함께 사용하면 가속화된 필터 블록 룩업 프로세스가 우회되고 표준 필터가 next-header 대신 사용됩니다.

패킷의 처음 8비트 다음 헤더 필드와 일치

숫자 값을 대신하여 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열됨). ah(51), dstops (60), egpesp (8), fragment (50), gre (44), hop-by-hop (47), (0), icmpicmp6 (58), icmpv6 (58), igmp (2), ipipipv6 (4), (4) mobility 1), (135), no-next-headerospf (59), pim (89), (103), routingrsvp (43), sctp (46), (132), tcp (6), udp  (17) 또는 vrrp (112).

주:

next-header icmp6 일치 조건이 동일한 기능을 수행합니다. 기본 옵션입니다. 기본 설정 next-header icmpv6next-header icmp6next-header icmpv6 옵션에 Junos OS CLI.

next-header-except header-type

IPv6 헤더와 페이로드 사이에 헤더 유형을 식별하는 8비트 Next 헤더 필드와 일치하지 않습니다. 자세한 내용은 일치 유형을 next-header 참조합니다.

packet-length bytes

수신 패킷의 길이(bytes)를 일치합니다. 길이는 패킷 헤더를 포함하여 IP 패킷만 참조하며 Layer 2 캡슐화 오버헤드를 포함하지 않습니다.

packet-length-except bytes

수신된 패킷 길이(bytes)를 일치하지 마십시오. 자세한 내용은 일치 유형을 packet-length 참조합니다.

payload-protocol protocol-type

페이로드 프로토콜 유형을 일치합니다.

숫자 값을 대신하여 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 protocol-type 나열됨). 하나 또는 다음 집합을 지정합니다. ah(51), dstopts (60), egpesp (8), fragment (50), gre (44), hop-by-hop (47), icmp (0), icmp6 (1), (58, igmp (2), ipipipv6 (4), no-next-headerospf (41), pim (89), (103), routingrsvpsctp (46), tcp (132), udp (17) 또는 vrrp (112) (dstopts (60), fragment (44), hop-by-hop 0) 및 라우팅은 Junos OS Release 16.1 이상에서 사용할 수 없습니다.

또한, 이 조건을 사용하여 주니퍼 네트웍스 펌웨어가 해석할 수 없는 확장 헤더 유형을 payload-protocol 일치할 수 있습니다. 평방 브래킷 내에서 확장 헤더 값의 범위를 지정할 수 있습니다. 펌웨어가 패킷에서 해석할 수 없는 첫 번째 확장 헤더 유형을 발견하면 이 값이 확장 헤더 유형으로 payload-protocol 설정됩니다. 방화벽 필터는 펌웨어가 패킷에서 해석할 수 없는 첫 번째 확장 헤더 유형만 검사합니다.

주:

이 일치 조건은 MX 시리즈 라우터의 MMPC에서만 지원됩니다. 해당 SNMP 방화벽 방화벽을 단계적으로 걸어서 이러한 조건을 포함해 새로운 방화벽 필터를 관리 정보 베이스(MIB).

payload-protocol-except protocol-type

페이로드 프로토콜 유형을 일치하지 않습니다. 자세한 내용은 일치 유형을 payload-protocol 참조합니다.

주:

이 일치 조건은 MX 시리즈 라우터의 MMPC에서만 지원됩니다.

port number

UDP 또는 TCP 소스 또는 대상 포트 필드에 일치

이 일치 조건을 구성하는 경우 동일한 용어에 일치 조건 또는 일치 조건을 destination-portsource-port 구성할 수 없습니다.

이 일치 조건을 구성하는 경우 포트에서 어떤 프로토콜이 사용되고 있는지 지정하기 위해 동일한 용어에서 일치 조건을 구성하는 next-header udpnext-header tcp 것이 좋습니다.

주:

Junos OS 에 대해 동일한 용어로 일치 next-header 명령문을 구성해야 합니다.

숫자 값을 대신하여 에 나열된 텍스트 동의어 중 하나를 지정할 수 destination-port 있습니다.

port-except number

UDP 또는 TCP 소스 또는 대상 포트 필드와 일치하지 않습니다. 자세한 내용은 일치 조건을 port 참조합니다.

prefix-list prefix-list-name [ except ]

옵션이 포함되지 않는 한, 소스 또는 대상 주소 필드의 prefix를 지정된 목록의 prefix와 except 일치합니다. 옵션이 포함된 경우, 소스 또는 대상 주소 필드의 prefix를 지정된 리스트의 prefix와 일치하지 않습니다.

Prefix 목록은 계층 수준에서 [edit policy-options prefix-list prefix-list-name] 정의됩니다.

service-filter-hit

조치가 적용된 필터에서 수신된 service-filter-hit 패킷을 일치합니다.

source-address address [ except ]

옵션이 포함되지 않는 한 패킷을 전송하는 소스 노드의 IPv6 except 주소와 일치합니다. 옵션이 포함된 경우 패킷을 전송하는 소스 노드의 IPv6 주소와 일치하지 마십시오.

동일한 용어에서 일치 조건과 조건을 addresssource-address 모두 지정할 수 없습니다.

source-class class-names

하나 이상의 지정된 소스 클래스 이름과 일치(함께 그룹화되어 클래스 이름을 지정하는 소스 Prefix의 집합).

자세한 내용은 주소 클래스에 기반한 방화벽 필터 일치 조건을 참조하십시오.

source-class-except class-names

하나 이상의 지정된 소스 클래스 이름과 일치하지 않습니다. 자세한 내용은 일치 조건을 source-class 참조합니다.

source-port number

UDP 또는 TCP 소스 포트 필드에 일치

동일한 용어에서 일치 조건을 지정할 portsource-port 수 없습니다.

이 일치 조건을 구성하는 경우 포트에서 어떤 프로토콜이 사용되고 있는지 지정하기 위해 동일한 용어에서 일치 조건을 구성하는 next-header udpnext-header tcp 것이 좋습니다.

주:

Junos OS 경우, 동일한 용어에서 일치 명령문을 next-headernext-header tcp 구성해야 합니다.

숫자 값을 대신하여 일치 조건과 함께 나열된 텍스트 동의어 중 하나를 destination-port number 지정할 수 있습니다.

source-port-except number

UDP 또는 TCP 소스 포트 필드와 일치하지 않습니다. 자세한 내용은 일치 조건을 source-port 참조합니다.

source-prefix-list name [ except ]

옵션이 포함되지 않는 한 패킷 소스 필드의 IPv6 주소 Prefix와 except 일치합니다. 옵션이 포함된 경우 패킷 소스 필드의 IPv6 주소 Prefix와 일치하지 마십시오.

계층 수준에서 정의된 Prefix list [edit policy-options prefix-list prefix-list-name] name을 지정합니다.

tcp-established

첫 번째 연결 패킷이 다른 TCP 패킷과 일치합니다. 의 텍스트 tcp-flags "(ack | rst)"0x14 동의어입니다.

주:

이 조건은 프로토콜이 TCP인 지 암시적으로 확인할 수 없습니다. 이를 확인 표시하기 위해 일치 protocol tcp 조건을 지정합니다.

이 일치 조건을 구성하는 경우 동일한 용어로 일치 조건을 next-header tcp 구성하는 것이 좋습니다.

tcp-flags flags

TCP 헤더에서 8비트 TCP 플래그 필드에 저수준 6비트 이상을 매치합니다.

개별 비트 필드를 지정하기 위해 다음 텍스트 동의어 또는 hexadecimal 값을 지정할 수 있습니다.

  • fin(0x01)

  • syn(0x02)

  • rst(0x04)

  • push(0x08)

  • ack(0x10)

  • urgent(0x20)

TCP 세션에서 SYN 플래그는 전송된 최초 패킷에만 설정되는 반면, ACK 플래그는 초기 패킷 이후 전송된 모든 패킷에 설정됩니다.

bit-field 논리적 운영자(bit-field logical operator)를 사용하여 여러 플래그를 함께 연계할 수 있습니다.

결합된 비트 필드 일치 조건은 일치 tcp-establishedtcp-initial 조건을 참조합니다.

이 일치 조건을 구성하는 경우 동일한 용어로 일치 조건을 구성하여 TCP 프로토콜이 포트에서 사용 중이라는 것을 지정하는 next-header tcp 것이 좋습니다.

tcp-initial

TCP 연결의 초기 패킷과 일치합니다. 의 텍스트 tcp-flags "(!ack & syn)" 동의어입니다.

이 조건은 프로토콜이 TCP인 지 암시적으로 확인할 수 없습니다. 이 일치 조건을 구성하는 경우 동일한 용어로 일치 조건을 next-header tcp 구성하는 것이 좋습니다.

traffic-class number

패킷의 CoS(Class-of-Service) 우선 순위를 지정하는 8비트 필드에 일치

이전에 이 필드는 IPv4에서 ToS(Type-of-Service) 필드로 사용했습니다.

다음에서 숫자 값을 지정할 수 063 있습니다. 값을 hexadecimal 양식으로 지정하기 위해 0x prefix로 포함하십시오. 바이너리 양식으로 값을 지정하기 위해 b prefix로 포함합니다.

숫자 값을 대신하여 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열됨).

  • RFC 3246, Expedited Forwarding PHB(Per-Hop Behavior)는 하나의 코드 지점을 정의합니다. ef(46).

  • RFC 2597, Assured Forwarding PHB Group은총 12개 코드 지점에 대해 각 클래스에서 3개 드롭 우선 순위를 갖는 4개 클래스를 정의합니다.

    • af11 (10), af12 (12), af13 (14)

    • af21 (18), af22 (20), af23 (22)

    • af31 (26), af32 (28), af33 (30)

    • af41 (34), af42 (36), af43 (38)

traffic-class-except number

패킷의 CoS 우선 순위를 지정하는 8비트 필드와 일치하지 마십시오. 자세한 내용은 일치 traffic-class 설명을 참조하세요.

주:

일치 조건(의 , 또는 일치 조건)에서 IPv6 주소를 지정하는 addressdestination-addresssource-address 경우, RFC 4291, IP Version 6 Addressing Architecture에서설명하는 텍스트 표현을 위해 구문을 사용해야 합니다. IPv6 주소에 대한 자세한 내용은 IPv6 개요지원 IPv6 표준 을 참조하십시오.

출시 내역 표
릴리스
설명
13.3R6
방화벽 일치 조건은 릴리스 날짜 이후의 Junos OS next-header 버전에서 13.3R6 수 있습니다.