Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

레이어 2 브리징 트래픽에 대한 방화벽 필터 일치 조건

MX 시리즈 라우터 및 EX 시리즈 스위치에서만 레이어 2 브리징 트래픽(family bridge) 표 1 에 대한 일치 조건으로 표준 스테이트리스 방화벽 필터를 구성할 수 있습니다. 에서는 계층 수준에서 구성할 수 있는 [edit firewall family bridge filter filter-name term term-name from]match-conditions(를) 설명합니다.

표 1: 레이어 2 브리징을 위한 표준 방화벽 필터 일치 조건(MX 시리즈 라우터 및 EX 시리즈 스위치만 해당)

일치 조건

설명

destination-mac-address address

브리징 환경에서 레이어 2 패킷의 대상 MAC(미디어 액세스 제어) 주소입니다.

destination-port number

TCP 또는 UDP 대상 필드. 동일한 용어에 portdestination-port 일치 조건을 모두 지정할 수 없습니다.

destination-port-except

TCP/UDP 대상 포트를 일치시키지 마십시오.

destination-prefix-list named-list

의 IP 대상 접두사를 일치시킵니다 named-list.

dscp number

DSCP(Differentiated Services Code Point)입니다. DiffServ 프로토콜은 IP 헤더의 서비스 유형(ToS) 바이트를 사용합니다. 이 바이트의 가장 중요한 6비트가 DSCP를 구성합니다. 자세한 내용은 행동 집계(BA) 분류자가 트러스트 트래픽을 우선순위 지정하는 방법 이해하기를 참조하십시오.

0에서 63까지 숫자 값을 지정할 수 있습니다. 16진수 형식으로 값을 지정하려면 접두사로 0x을(를) 포함시켜야 합니다. 2진수 형식으로 값을 지정하려면 접두사로 b을(를) 포함시켜야 합니다.

숫자 값 대신 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열되어 있음).

  • EF(Expedited Forwarding) PHB(Per-Hop Behavior)인 RFC 3246은 하나의 코드 포인트를 정의합니다. ef(46).

  • AF(Assured Forwarding) PHB 그룹인 RFC 2597은 총 12개의 코드 포인트를 위해 각 클래스에 3개의 드롭 전례를 갖는 4개의 클래스를 정의합니다.

af11(10), af12 (12), af13 (14),

af21(18), af22 (20), af23 (22),

af31(26), af32 (28), af33 (30),

af41 (34), af42 (36), af43 (38)

dscp-except number

DSCP 숫자를 일치시키지 마십시오. 자세한 내용은 dscp-except 일치 조건을 참조하십시오.

ether-type value

2-옥텟 IEEE 802.3 Length/EtherType 필드를 지정된 값 또는 값 목록과 일치시킵니다.

0에서 65535(0xFFFF) 사이의 10진수 또는 16진수 값을 지정할 수 있습니다. 0에서 1500(0x05DC) 사이의 값은 이더넷 버전 1 프레임의 길이를 지정합니다. 1536(0x0600)에서 65535까지의 값은 이더넷 버전 2 프레임의 EtherType(MAC 클라이언트 프로토콜의 특성)을 지정합니다.

숫자 값 대신 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(16진수 값도 나열되어 있음). aarp(0x80F3), appletalk (0x809B), arp (0x0806), ipv4 (0x0800), ipv6 (0x86DD), mpls-multicast (0x8848), mpls-unicast (0x8847), oam (0x8902), ppp (0x880B), pppoe-discovery (0x8863), pppoe-session (0x8864), sna (0x80D5).

주:

ip-address 또는 ipv6-address에서 일치할 때 일치를 ip 트래픽으로만 제한하려면 각각 ether-type ipv4 또는 ipv6도 지정해야 합니다.

ether-type-except value

2-옥텟 IEEE 802.3 Length/EtherType 필드를 지정된 값 또는 값 목록과 일치시키지 마십시오.

values 지정에 관한 자세한 내용은 ether-type 일치 조건을 참조하십시오.

flexible-match-mask value

bit-length

비트 단위로 일치할 데이터의 길이, 문자열 입력에 필요하지 않음(0..128)

bit-offset

(일치 시작 + 바이트) 오프셋(0..7) 이후의 비트 오프셋

byte-offset

일치 시작점 이후의 바이트 오프셋

flexible-mask-name

사전 정의된 템플릿 필드에서 유연한 일치 항목 선택

mask-in-hex

일치할 패킷 데이터에서 비트 마스크 아웃

match-start

패킷 일치 시작점

prefix

일치할 값 데이터/문자열

 

flexible-match-range value

bit-length

비트 단위로 일치할 데이터의 길이(0..32)

bit-offset

(일치 시작 + 바이트) 오프셋(0..7) 이후의 비트 오프셋

byte-offset

일치 시작점 이후의 바이트 오프셋

flexible-range-name

사전 정의된 템플릿 필드에서 유연한 일치 항목 선택

match-start

패킷 일치 시작점

range

일치할 값 범위

range-except

이러한 값 범위를 일치시키지 마십시오

 

forwarding class class

포워딩 클래스. assured-forwarding, best-effort, expedited-forwarding 또는 network-control을(를) 지정합니다.

forwarding-class-except class

레이어 2 패킷 환경의 이더넷 유형 필드입니다. assured-forwarding, best-effort, expedited-forwarding 또는 network-control을(를) 지정합니다.

icmp-code message-code

ICMP 메시지 코드 필드를 일치시킵니다.

이 일치 조건을 구성하는 경우 동일한 용어에 ip-protocol icmp, ip-protocol icmp6또는 ip-protocol icmpv6 일치 조건도 구성하는 것이 좋습니다.

이 일치 조건을 구성하는 경우, 동일한 용어에 icmp-type message-type 일치 조건도 구성해야 합니다. ICMP 메시지 코드는 ICMP 메시지 유형보다 더 구체적인 정보를 제공하지만 ICMP 메시지 코드의 의미는 관련 ICMP 메시지 유형에 의존합니다.

숫자 값을 대신해 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열되어 있음). 키워드는 ICMP 유형별로 그룹화되어 있으며 이는 다음과 관련이 있습니다.

  • 매개변수 문제: ip6-header-bad(0), unrecognized-next-header (1), unrecognized-option (2)

  • 시간 초과: ttl-eq-zero-during-reassembly (1), ttl-eq-zero-during-transit (0)

  • destination-unreachable: address-unreachable(3), administratively-prohibited (1), no-route-to-destination (0), port-unreachable (4)

icmp-code-except message-code

ICMP 메시지 코드 필드를 일치시키지 마십시오. 자세한 내용은 icmp-code 일치 조건을 참조하십시오.

icmp-type message-type

ICMP 메시지 유형 필드를 일치시킵니다.

이 일치 조건을 구성하는 경우 동일한 용어에 ip-protocol icmp, ip-protocol icmp6또는 ip-protocol icmpv6 일치 조건도 구성하는 것이 좋습니다.

숫자 값 대신 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열되어 있음). destination-unreachable(1), echo-reply (129), echo-request (128), membership-query (130), membership-report (131), membership-termination (132), neighbor-advertisement (136), neighbor-solicit (135), node-information-reply (140), node-information-request (139), packet-too-big (2), parameter-problem (4), redirect (137), (134), router-renumberingrouter-advertisement (138), router-solicit (133) 또는 time-exceeded (3).

icmp-type-except message-type

ICMP 메시지 유형 필드를 일치시키지 마십시오. 자세한 내용은 icmp-type 일치 조건을 참조하십시오.

interface interface-name

패킷이 수신된 인터페이스입니다. 패킷이 수신된 인터페이스를 기반으로 패킷과 일치하는 일치 조건을 구성할 수 있습니다.

주:

존재하지 않는 인터페이스를 사용하여 이 일치 조건을 구성할 경우, 용어는 패킷과 일치하지 않습니다.

interface-group group-number

패킷이 수신된 논리 인터페이스를 지정된 인터페이스 그룹 또는 인터페이스 그룹 집합과 일치시킵니다. 의 경우 group-number단일 값 또는 에서 까지의 2550 범위를 지정합니다.

논리 인터페이스를 인터페이스 그룹group-number에 할당하려면 [interfaces interface-name unit number family family filter group] 계층 수준에서 group-number을(를) 지정해야 합니다.

자세한 정보는 인터페이스 그룹 집합에서 수신된 패킷 필터링 개요을 참조하십시오.

interface-group-except number

패킷이 수신된 논리 인터페이스를 지정된 인터페이스 그룹 또는 인터페이스 그룹 집합과 일치시키지 마십시오. 자세한 내용은 interface-group 일치 조건을 참조하십시오.

interface-set interface-set-name

패킷이 수신된 인터페이스를 지정된 인터페이스 모음과 일치시킵니다.

인터페이스 집합을 정의하려면 [edit firewall]계층 수준에서 interface-set문을 포함시켜야 합니다. 자세한 정보는 인터페이스 세트에서 수신된 패킷 필터링 개요을 참조하십시오.

ip-address address

IPv4 주소에 대한 표준 구문을 지원하는 32비트 주소입니다.

주:

IPv4 트래픽으로만 일치를 제한하려면 ether-type ipv4도 동일한 용어에 지정해야 합니다.

ip-destination-address address

패킷의 최종 대상 노드 주소인 32비트 주소입니다.

ip-precedence ip-precedence-field

IP 우선 순위 필드입니다. 숫자 필드 값 대신 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열되어 있음). critical-ecp(0xa0), flash(0x60), flash-override(0x80), immediate(0x40), internet-control(0xc0), net-control(0xe0), priority(0x20) 또는 routine(0x00).

ip-precedence-except ip-precedence-field

IP 우선순위 필드를 일치시키지 마십시오.

ip-protocol number

IP 프로토콜 필드입니다.

ip-protocol-except

IP 프로토콜 유형을 일치시키지 마십시오.

ip-source-address address

패킷을 전송하는 소스 노드의 IP 주소입니다.

ipv6-address address

(MX 시리즈만 해당) IPv6 주소에 대한 표준 구문을 지원하는 128비트 주소입니다.

주:

IPv6 트래픽으로만 일치를 제한하려면 ether-type ipv6도 동일한 용어에 지정해야 합니다.

ipv6-destination-address address

(MX 시리즈만 해당) 이 패킷의 최종 대상 노드 주소인 128비트 주소입니다.

ipv6-destination-prefix-list named-list

(MX 시리즈만 해당) 의 IPv6 대상 주소를 일치시킵니다 named-list.

ipv6-next-header protocol

(MX 시리즈만 해당) IPv6 다음 헤더 프로토콜 유형을 일치시킵니다.

다음 목록은 에 대해 protocol지원되는 값을 표시합니다.

  • ah—IP 보안 인증 헤더

  • dstopts—IPv6 대상 옵션

  • egp—외부 게이트웨이 프로토콜

  • esp—IPSec 캡슐화 보안 페이로드

  • fragment—IPv6 프래그먼트 헤더

  • gre—일반 라우팅 캡슐화

  • hop-by-hop—홉별 IPv6 홉 옵션

  • icmp—인터넷 제어 메시지 프로토콜

  • icmp6—Internet Control Message Protocol 버전 6

  • igmp—인터넷 그룹 관리 프로토콜

  • ipip—IP의 IP

  • ipv6—IP의 IPv6

  • no-next-header—IPv6 다음 헤더 없음

  • ospf- 최단 경로 우선 열기

  • pim—프로토콜 독립 멀티캐스트

  • routing—IPv6 라우팅 헤더

  • rsvp—리소스 예약 프로토콜

  • sctp- 스트림 제어 전송 프로토콜

  • tcp—전송 제어 프로토콜

  • udp—사용자 데이터그램 프로토콜

  • vrrp—가상 라우터 이중화 프로토콜

ipv6-next-header-except protocol

(MX 시리즈만 해당) IPv6 다음 헤더 프로토콜 유형을 일치시키지 마십시오.

ipv6-payload-protocol protocol

(MX 시리즈만 해당) IPv6 페이로드 프로토콜 유형을 일치시킵니다.

다음 목록은 에 대해 protocol지원되는 값을 표시합니다.

  • ah—IP 보안 인증 헤더

  • dstopts—IPv6 대상 옵션

  • egp—외부 게이트웨이 프로토콜

  • esp—IPSec 캡슐화 보안 페이로드

  • fragment—IPv6 프래그먼트 헤더

  • gre—일반 라우팅 캡슐화

  • hop-by-hop—홉별 IPv6 홉 옵션

  • icmp—인터넷 제어 메시지 프로토콜

  • icmp6—Internet Control Message Protocol 버전 6

  • igmp—인터넷 그룹 관리 프로토콜

  • ipip—IP의 IP

  • ipv6—IP의 IPv6

  • no-next-header—IPv6 다음 헤더 없음

  • ospf- 최단 경로 우선 열기

  • pim—프로토콜 독립 멀티캐스트

  • routing—IPv6 라우팅 헤더

  • rsvp—리소스 예약 프로토콜

  • sctp- 스트림 제어 전송 프로토콜

  • tcp—전송 제어 프로토콜

  • udp—사용자 데이터그램 프로토콜

  • vrrp—가상 라우터 이중화 프로토콜

ipv6-payload-protocol-except protocol

(MX 시리즈만 해당) IPv6 페이로드 프로토콜을 일치시키지 마십시오.

ipv6-prefix-list named-list

(MX 시리즈만 해당) 의 IPv6 주소를 일치시킵니다 named-list.

ipv6-source-address address

(MX 시리즈만 해당) 이 패킷의 원래 소스 노드 주소인 128비트 주소입니다.

ipv6-source-prefix-list named-list

(MX 시리즈만 해당) 의 IPv6 소스 주소를 일치시킵니다 named-list.

ipv6-traffic-class number

(MX 시리즈만 해당) DSCP(Differentiated Services Code Point)입니다. DiffServ 프로토콜은 IP 헤더의 서비스 유형(ToS) 바이트를 사용합니다. 이 바이트의 가장 중요한 6비트가 DSCP를 구성합니다. 자세한 내용은 행동 집계(BA) 분류자가 트러스트 트래픽을 우선순위 지정하는 방법 이해하기를 참조하십시오.

0에서 63까지 숫자 값을 지정할 수 있습니다. 16진수 형식으로 값을 지정하려면 접두사로 0x을(를) 포함시켜야 합니다. 2진수 형식으로 값을 지정하려면 접두사로 b을(를) 포함시켜야 합니다.

숫자 값 대신 다음 텍스트 동의어 중 하나를 지정할 수 있습니다(필드 값도 나열되어 있음).

  • EF(Expedited Forwarding) PHB(Per-Hop Behavior)인 RFC 3246은 하나의 코드 포인트를 정의합니다. ef(46).

  • AF(Assured Forwarding) PHB 그룹인 RFC 2597은 총 12개의 코드 포인트를 위해 각 클래스에 3개의 드롭 전례를 갖는 4개의 클래스를 정의합니다.

af11(10), af12 (12), af13 (14),

af21(18), af22 (20), af23 (22),

af31(26), af32 (28), af33 (30),

af41 (34), af42 (36), af43 (38)

ipv6-traffic-class-except number

DSCP number를 일치시키지 마십시오.

isid number

(프로바이더 백본 브리징[PBB]을 통해 지원됨) 인터넷 서비스 식별자를 일치시킵니다.

isid-dei number

(PBB에서 지원) 인터넷 서비스 식별자 DEI(Drop Eligibility Indicator) 비트를 일치시킵니다.

isid-dei-except number

(PBB에서 지원) 인터넷 서비스 식별자 DEI 비트를 일치시키지 마십시오.

isid-priority-code-point number

(PBB에서 지원) 인터넷 서비스 식별자 우선 순위 코드 포인트를 일치시킵니다.

isid-priority-code-point-except number

(PBB에서 지원) 인터넷 서비스 식별자 우선 순위 코드 포인트를 일치시키지 마십시오.

learn-vlan-1p-priority value

(MX 시리즈 라우터 및 EX 시리즈 스위치만 해당) 공급자 VLAN 태그(802.1Q VLAN 태그가 있는 단일 태그 프레임의 유일한 태그 또는 802.1Q VLAN 태그가 있는 이중 태그 프레임의 외부 태그)에서 IEEE 802.1p 학습된 VLAN 우선 순위 비트와 일치합니다. 에서 까지 7단일 값 또는 여러 값을 0 지정합니다.

일치 조건과 비교합니다 user-vlan-1p-priority .

learn-vlan-1p-priority-except value

(MX 시리즈 라우터 및 EX 시리즈 스위치만 해당) IEEE 802.1p 학습된 VLAN 우선 순위 비트를 일치시키지 마십시오. 자세한 내용은 learn-vlan-1p-priority 일치 조건을 참조하십시오.

learn-vlan-dei number

(브리징 지원) 사용자 VLAN(가상 LAN) 식별자 DEI 비트를 일치시킵니다.

learn-vlan-dei-except number

(브리징 지원) 사용자 VLAN 식별자 DEI 비트를 일치시키지 마십시오.

learn-vlan-id number

MAC 학습에 사용되는 VLAN 식별자입니다.

learn-vlan-id-except number

MAC 학습에 사용되는 VLAN 식별자를 일치시키지 마십시오.

loss-priority level

패킷 손실 우선순위(PLP) 수준. 단일 수준 또는 여러 수준을 지정합니다. low, medium-low, medium-high 또는 high

M120 및 M320 라우터에서 지원; 향상된 CFEB(CFEB-E)가 있는 M7i 및 M10i 라우터; MX 시리즈 라우터와 EX 시리즈 스위치가 있습니다.

Enhanced II FPC(Flexible PIC Concentrator)가 있는 M320, MX 시리즈 및 T 시리즈 라우터와 EX 시리즈 스위치의 IP 트래픽의 경우, 계층 수준에 문을 [edit class-of-service] 포함 tri-color 시켜 지정된 4개 수준 중 하나로 PLP 구성을 커밋해야 합니다. tri-color 문이 활성화되어 있지 않은 경우, highlow 수준만 구성할 수 있습니다. 이는 모든 프로토콜 제품군에 적용됩니다.

tri-color 문에 대한 정보는 삼색 마킹 폴리서 구성 및 적용을 참조하십시오. 수신 패킷의 PLP 수준을 설정하기 위한 행동 집계(BA) 분류자 사용에 대한 자세한 내용은 포워딩 클래스가 출력 대기열에 클래스를 할당하는 방법 이해하기를 참조하십시오.

loss-priority-except level

패킷 손실 우선순위 수준에서 일치시키지 마십시오. 단일 수준 또는 여러 수준을 지정합니다. low, medium-low, medium-high 또는 high

수신 패킷의 PLP 수준을 설정하기 위한 행동 집계(BA) 분류자 사용에 대한 자세한 내용은 행동 집계 분류자가 신뢰할 수 있는 트래픽의 우선순위를 지정하는 방법 이해하기를 참조하십시오.

port number

TCP 또는 UDP 원본 또는 대상 포트입니다. 동일한 용어에서 port 일치 조건과 destination-port 또는 source-port 일치 조건을 모두 지정할 수는 없습니다.

source-mac-address address

레이어 2 패킷의 소스 MAC 주소입니다.

source-port number

TCP 또는 UDP 원본 포트 필드입니다. 동일한 용어에 portsource-port 일치 조건을 지정할 수 없습니다.

source-port-except

TCP/UDP 소스 포트를 일치시키지 마십시오.

tcp-flags flags

TCP 헤더의 8비트 TCP 플래그 필드에서 하나 이상의 저순서 6비트를 일치시킵니다.

개별 비트 필드를 지정하기 위해 다음 텍스트 동의어나 16진수 값을 지정할 수 있습니다.

  • fin(0x01)

  • syn(0x02)

  • rst(0x04)

  • push(0x08)

  • ack(0x10)

  • urgent(0x20)

TCP 세션에서, SYN 플래그는 전송된 초기 패킷에서만 설정되어 있는 반면, ACK 플래그는 초기 패킷 후 전송된 모든 패킷에 설정되어 있습니다.

비트 필드 논리 연산자를 사용하여 여러 개의 플래그를 함께 묶을 수 있습니다.

tcp-flags 일치 조건을 구성하려면 일치 조건을 구성해야 next-header-tcp 합니다.

traffic-type type

트래픽 유형입니다. broadcast, multicast, unknown-unicast 또는 known-unicast을(를) 지정합니다.

traffic-type-except type

트래픽 유형을 일치시키지 마십시오.

user-vlan-1p-priority value

(MX 시리즈 라우터 및 EX 시리즈 스위치만 해당) 고객 VLAN 태그(802.1Q VLAN 태그가 있는 듀얼 태그 프레임의 내부 태그)의 IEEE 802.1p 사용자 우선 순위 비트를 일치시킵니다. 에서 까지 7단일 값 또는 여러 값을 0 지정합니다.

일치 조건과 비교합니다 learn-vlan-1p-priority .

user-vlan-1p-priority-except value

(MX 시리즈 라우터 및 EX 시리즈 스위치만 해당) IEEE 802.1p 사용자 우선 순위 비트를 일치시키지 마십시오. 자세한 내용은 user-vlan-1p-priority 일치 조건을 참조하십시오.

user-vlan-id number

(MX 시리즈 라우터 및 EX 시리즈 스위치만 해당) 페이로드의 일부인 첫 번째 VLAN 식별자를 일치시킵니다.

user-vlan-id-except number

(MX 시리즈 라우터 및 EX 시리즈 스위치만 해당) 페이로드의 일부인 첫 번째 VLAN 식별자를 일치시키지 마십시오.

vlan-ether-type value

레이어 2 브리징 패킷의 VLAN 이더넷 유형 필드입니다.

vlan-ether-type-except value

레이어 2 브리징 패킷의 VLAN 이더넷 유형 필드를 일치시키지 마십시오.

주:

일치 flexible-match-mask 및 일치 시작 flexible-match-range IPV6 헤더를 통해 일치시키는 데 사용되는 계층 4는 "브리지, CCC, VPLS"와 같은 L2 제품군 필터에 대해 작동하지 않습니다. 대신 적절한 오프셋과 함께 레이어 3을 사용하여 IPV6 페이로드 필드를 일치시킵니다.