Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Bit-Field 값에 기반한 방화벽 필터 일치 조건

Bit-Field Values에 대한 조건 일치

표 1 패킷의 특정 비트 필드가 설정되어 있는지 여부를 기준으로 방화벽 필터 일치 조건을 나열합니다. 두 번째 열과 세 번째 열은 일치 조건이 지원되는 트래픽 유형을 나열합니다.

표 1: 방화벽 필터에 대한 바이너리 및 비트 필드 일치 조건

Bit-Field Match 조건

일치 값

표준 스테이트리스 방화벽 필터를 위한 프로토콜 패밀리

서비스 필터를 위한 프로토콜 패밀리

fragment-flags flags

IP 헤더의 3비트 IP 단편화 플래그 필드에 대한 원치(hexadecimal) 값 또는 텍스트 별칭.

family inet

family inet

fragment-offset value

IP 헤더의 13비트 단편화 오프셋 필드에 대한 원호(hexadecimal) 값 또는 텍스트 별칭.

family inet

family inet

tcp-flags value

TCP 헤더에서 8비트 TCP 플래그 필드의 낮은 순서로 6비트에 대한 적정 값 또는 텍스트 별칭.

family inetfamily inet6family vplsfamily bridge

family inetfamily inet6

 이 Junos OS IPv4 트래픽에 대한 TCP 플래그와 일치할 때 첫 번째 단편 비트를 자동으로 검사하지 않습니다. IPv4 트래픽에 대한 첫 번째 단편 비트를 검사하기 위해 일치 조건을 first-fragment 사용.

공통 비트 필드 값 또는 조합에 대한 조건 일치

표 2일반적으로 사용되는 특정 값 또는 패킷의 비트 필드 조합이 설정되어 있는지 여부를 기반으로 하는 방화벽 필터 일치 조건을 나타냅니다.

텍스트 신소문을 사용하여 몇 가지 일반적인 비트 필드 일치를 지정할 수 있습니다. 이전 예제에서 동일한 일치 tcp-initial 조건으로 지정할 수 있습니다.

주:

숫자 범위와 비트 필드 일치 조건 중 일부는 텍스트 동의어를 지정할 수 있도록 합니다. 전체 동의어 목록:

  • J-Web 인터페이스를 사용하는 경우 적절한 목록에서 동의어를 선택합니다.

  • 사용 중이면 CLI 문 이후()를 ?from 입력합니다.

표 2: 공통된 조합을 위한 Bit-Field Match Conditions

일치 조건

설명

표준 스테이트리스 방화벽 필터를 위한 프로토콜 패밀리

서비스 필터를 위한 프로토콜 패밀리

first-fragment

단편화 패킷의 첫 번째 패킷 조각을 나타내는 비트 필드 일치 조건에 대한 텍스트 fragment-offset 0 별칭입니다.

family inet

family inet

is-fragment

비트 필드 일치 조건에 대한 텍스트 별칭은 단편화 패킷의 후행 fragment-offset 0 except 패킷 조각을 나타냅니다.

family inet

family inet

tcp-established

비트 필드 일치 조건에 대한 별칭 - TCP 연결의 첫 번째 패킷이 아니라 설정된 tcp-flags "(ack | rst)" TCP 세션을 나타냅니다.

family inetfamily inet6

tcp-initial

비트 필드 일치 조건에 대한 별칭 - 설정된 TCP 세션이 아닌 TCP 연결의 첫 번째 tcp-flags "(!ack & syn)" 패킷을 나타냅니다.

family inetfamily inet6

Bit-Field Values를 위한 논리적 운영자

표 3스테이트리스 방화벽 필터 일치 조건을 지정할 때 단일 비트 필드 값에 적용할 수 있는 논리적 운영업체를 나열합니다. 오퍼레이터는 가장 높은 우선 순위에서 최저 우선 순위까지 순서대로 나열됩니다. 연산은 왼쪽에서 우측으로 작업이 처리됩니다.

표 3: Bit-Field 논리적 운영자

우선 순위 순서

비트 필드 논리적 운영자

설명

1

(complex-match-condition)

그룹화—괄호 외부의 운영자가 적용되기 전에 복잡한 일치 조건이 평가됩니다.

2

match-condition

Negation—일치 조건이 잘못된 경우 일치가 발생합니다.

3

match-condition-1  &  match-condition-2또는match-condition-1  +  match-condition-2

논리적 및—두 조건이 모두 맞은 경우 일치가 발생합니다.

4

match-condition-1  |  match-condition-2또는match-condition-1  ,  match-condition-2  

논리적 또는—두 조건 중 일치하는 조건이 True인 경우 일치가 발생합니다.

단일 비트 필드 값 또는 Text Alias와 일치

및 bit-match 조건의 경우 패킷 필드의 특정 비트가 설정되어 있는지 여부를 기준으로 방화벽 필터 일치 조건을 지정할 fragment-flagstcp-flags 수 있습니다.

  • 단일 비트를 지정하는 숫자 값—단일 비트 세트가 있는 숫자 값을 사용하여 단일 비트 필드 일치 조건을 지정할 수 있습니다. 일치 조건에 따라 소수점 값, 바이너리 값 또는 원호(hexadecimal) 값을 지정할 수 있습니다. 바이너리 값을 지정하기 위해 prefix 를 사용하여 번호를 b 지정합니다. axadecimal 값을 지정하고, prefix를 사용하여 번호를 0x 지정합니다.

    다음 예제에서 TCP 플래그 필드의 비트가 설정된 경우 일치가 RST 발생합니다.

  • 단일 비트를 지정하는 텍스트 별칭—일반적으로 이중 인용 마크(" ")에 동봉된 텍스트 별칭을 사용하여 단일 비트 필드 일치 조건을 지정합니다.

    다음 예제에서 TCP 플래그 필드의 비트가 설정된 경우 일치가 RST 발생합니다.

다중 Bit-Field Values 또는 Text Aliases 일치

패킷 필드의 특정 비트 세트가 설정되어 있는지 여부에 따라 방화벽 필터 일치 조건을 지정할 수 있습니다.

  • 다중 세트 비트를 지정하는 숫자 값—바이너리 표현이 두 개 이상의 세트 비트를 가진 숫자 값을 지정하면 값은 설정된 비트의 논리적 및 논리적 비트로 처리됩니다.

    다음 예제에서 두 가지 일치 조건은 동일합니다. 비트 중 하나 또는 설정되지 않은 경우 0x010x02 일치가 발생합니다.

  • 일반적인 비트 필드 일치를 지정하는 텍스트 별칭—텍스트 별칭을 사용하여 몇 가지 일반적인 비트 필드 일치를 지정할 수 있습니다. 이러한 일치를 단일 키워드로 지정합니다.

    다음 예제에서 에 대한 별칭인 조건은 첫 번째 연결 패킷이 다른 TCP 패킷에서 일치되는 조건을 tcp-established“(ack | rst)” 지정합니다.

Negated Bit-Field의 가치 매칭

일치를 무의미하게 설정하기 위해, 설명문이 있는 값을 앞에 두면 됩니다.

다음 예제에서 TCP 플래그 필드의 비트가 설정된 경우 일치가 RST 발생합니다.

논리적 또는 2개의 Bit-Field 값 매칭

를 사용하여 비트 필드가 지정된 2개의 비트 필드 값과 일치하는 경우 일치되는 것을 지정할 |, 있습니다.

다음 예제에서 패킷이 TCP 세션의 초기 패킷이 아닌 경우 매치가 발생합니다.

TCP 세션에서 SYN 플래그는 전송된 최초 패킷에만 설정되는 반면, ACK 플래그는 초기 패킷 이후 전송된 모든 패킷에 설정됩니다. TCP 세션의 초기 패킷이 아닌 패킷에서 SYN 플래그가 설정되지되거나 ACK 플래그가 설정됩니다.

2개의 Bit-Field 값의 논리적 일치

를 사용하여 비트 필드가 지정된 2개의 비트 필드 값과 일치할 경우 일치되는 것을 지정할 &+ 있습니다.

다음 예제에서 패킷이 TCP 세션의 초기 패킷인 경우 매치가 발생합니다.

TCP 세션에서 SYN 플래그는 전송된 최초 패킷에만 설정되는 반면, ACK 플래그는 초기 패킷 이후 전송된 모든 패킷에 설정됩니다. TCP 세션의 초기 패킷인 패킷에서 SYN 플래그가 설정되어 ACK 플래그가 설정되지 않습니다.

Bit-Field Match 조건 그룹화

괄호 외부의 연산자가 적용되기 전에 괄호 내부의 복잡한 일치 조건을 평가할 수 있습니다.

다음 예제에서 패킷이 TCP 리셋인 경우 또는 패킷이 TCP 세션의 초기 패킷이 아닌 경우 매치가 발생합니다.

TCP 세션에서 SYN 플래그는 전송된 최초 패킷에만 설정되는 반면, ACK 플래그는 초기 패킷 이후 전송된 모든 패킷에 설정됩니다. TCP 세션의 초기 패킷이 아닌 패킷에서 SYN 플래그가 설정되지 않습니다. ACK 필드가 설정됩니다.