Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Condiciones de coincidencia flexible del filtro de Firewall

Las condiciones de coincidencia de filtro de Firewall estándar varían en función de la familia de protocolos del tráfico con el que se coincide. Por ejemplo, los términos disponibles para el tráfico de protocolo de puente son distintos de los disponibles para las familias de protocolos inet o inet6. Sin embargo, los campos disponibles para hacer coincidir dentro de cada familia de protocolos son fijos o predefinidos. Esto significa que los filtros solo pueden coincidir con los patrones de esos campos predefinidos.

Con las condiciones de coincidencia flexibles, se pueden crear filtros de firewall que comiencen la coincidencia en ubicaciones de capa 2, capa 3, capa 4 o carga. A partir de ahí, se pueden especificar criterios de compensación adicionales para permitir coincidencias de patrones en ubicaciones personalizadas definidas por el usuario dentro de un paquete.

Los términos de filtro de coincidencia flexible se aplican a las interfaces MPC o MIC como filtros de entrada o salida como cualquier otro término de filtro de Firewall. Los términos de filtro de coincidencia flexible también se pueden crear como [edit firewall] plantillas en el nivel de jerarquía. A continuación, se puede hacer referencia a estas plantillas dentro de un término de coincidencia flexible.

Para enrutadores serie MX, las condiciones de coincidencia flexibles solo se admiten con MPC o MIC. Para entornos en los que las FPC, LASPC o DPC están instaladas junto con MPC o MIC, asegúrese de aplicar solo los criterios de filtro de firewall de coincidencia flexible a las interfaces MPC o MIC.

Nota:

En el caso de enrutadores serie MX con MPC, debe inicializar el contador de filtros para filtros de coincidencia solo triple en el BIA mediante el comando SNMP BIA. Por ejemplo, para cualquier filtro configurado o cambiado con respecto a sus filtros de solo trío, debe ejecutar un comando como el siguiente: show snmp mib walk (ascii | decimal) object-id. Esto obliga a Junos a aprender los contadores de filtros y asegurarse de que se muestran las estadísticas del filtro (esto se debe a que la primera encuesta en filtrar estadísticas puede no mostrar todos los contadores). Los filtros de coincidencia solo para tríos son aquellos que incluyen al menos una condición o acción de coincidencia que solo es compatible con el chipset de Trio.

Esta guía se aplica a enhanced-mode todos los filtros de Firewall. También se aplica con términos flexibles de filtro de coincidencia para rango de compensación o máscara de compensación, y condiciones de coincidencia de filtro de firewall para tráfico Condiciones de coincidencia de filtro de Firewall para tráfico IPv4gre-key IPv6 con cualquiera de las siguientes condiciones de coincidencia: payload-protocol, extension headers, is_fragment. También se aplica a los filtros con cualquiera de los siguientes Acciones de terminación de filtros de Firewall elementos: encapsulate o decapsulate bien de lo Acciones de no terminación del filtro de Firewall siguiente: policy-map, y clear-policy-map.

Jerarquía de instrucciones

Los términos de filtro de coincidencia flexible están disponibles en tres variaciones Tabla 1, tal y como se muestra en la. La flexible-match variación se configura en el [edit firewall] nivel de jerarquía. Se utiliza para definir plantillas de coincidencia flexibles. El flexible-filter-match-mask y flexible-match-range están configurados [edit firewall family [inet|inet6|bridge|ethernet-switching|ccc|vpls] filter <filter-name> term <term-name> from] en la jerarquía. Utilice el family ethernet-switching filtro para EX9200 conmutadores.

Tipos de coincidencia de filtro flexibles

Tabla 1: Tipos de coincidencia de filtro flexibles

Tipo de coincidencia de filtro flexible

Atributos disponibles

Descripción

flexible-match

<name>

Cree una plantilla de coincidencia flexible denominada como <name>name.

 

bit-length

Longitud de los datos que se van a hacer coincidir en bits, no son necesarios para la entrada de cadenas (0.. 32)

Para QFX5120 y EX4650, 16 y 32 son las únicas longitudes de bits válidas.

bit-offset

Desplazamiento de bits después del desplazamiento (coincidir-Inicio + byte) (0.. 7)

byte-offset

Desplazamiento de bytes después del punto de inicio de la coincidencia

match-start

Punto inicial para hacer coincidir el paquete

flexible-match-mask

bit-length

Longitud de los datos que deben coincidir en bits, no son necesarios para la entrada de cadenas (0.. 128)

bit-offset

Desplazamiento de bits después del desplazamiento (coincidir-Inicio + byte) (0.. 7)

byte-offset

Desplazamiento de bytes después del punto de inicio de la coincidencia

flexible-mask-name

Seleccione una coincidencia flexible de un campo predefinido de plantilla. Requerido a match-start menos que esté configurado.

mask-in-hex

Enmascarar los bits de salida en los datos del paquete para hacer coincidir la coincidencia.

match-start

Punto inicial para coincidir en el paquete. Requerido a flexible-mask-name menos que esté configurado.

prefix

Cadena o datos de valor a los que se va a hacer coincidir.

flexible-match-range

bit-length

Longitud de los datos que se van a hacer coincidir en bits. es necesario (0.. 32) flexible-range-name a menos que esté configurado.

bit-offset

Desplazamiento de bits después del desplazamiento (coincidir-Inicio + byte). (0.. 7)

byte-offset

Desplazamiento de bytes después del punto de inicio de la coincidencia

flexible-range-name

Seleccione una coincidencia flexible de la plantilla predefinida.

match-start

Punto inicial para coincidir en el paquete. Requerido a flexible-range-name menos que esté configurado.

range

Rango de valores con el que se va a hacer coincidir la coincidencia.

range-except

Rango de valores que no coinciden.

Filtro flexible coincidir ubicaciones de inicio

Los términos de filtro de coincidencia flexible se construyen proporcionando una ubicación inicial o punto de anclaje dentro del paquete. Las ubicaciones de inicio pueden ser: capa 2, capa 3, capa 4 o carga, según la familia de protocolos que se utilice. Tabla 2 muestra las ubicaciones de inicio de coincidencia de filtro flexibles por familia de protocolos. Estas ubicaciones de inicio disponibles se utilizan como match-start ubicaciones para los términos de filtro de coincidencia flexible.

Desde estas ubicaciones de inicio, se pueden usar desplazamientos de bytes y de bits específicos para permitir que el filtro coincida con los patrones en ubicaciones muy específicas dentro del paquete.

Tabla 2: Filtro flexible coincidir ubicaciones de inicio

Familia de protocolos

Ubicaciones de inicio disponibles

inet

layer-3, layer-4 and payload

En el QFX5120 y EX4650, se agregó compatibilidad con filtros de coincidencia flexibles de capa 2 y capa 3 (solo) en la versión 20.1R1 Junos.

inet6

layer-3, layer-4 and payload

En el QFX5120 y EX4650, se agregó compatibilidad con filtros de coincidencia flexibles de capa 2 y capa 3 (solo) en la versión 20.1R1 Junos.

bridge

layer-2, layer-3, layer-4 and payload

ccc

layer-2, layer-3, layer-4 and payload

mpls

layer-3 and payload

vpls

layer-2, layer-3, layer-4 and payload

ethernet-switching

(EX9200 conmutadores) layer-2, layer-3, layer-4 and payload

Para conmutadores QFX5120 y EX4650, se agregó compatibilidad con filtros de coincidencia flexibles de capa 2 y capa 3 (solo) en la versión 20.1R1 Junos. A continuación, se puede encontrar un ejemplo de uso de un desplazamiento de paquete de capa 2 y una longitud de coincidencia.

Ejemplos de coincidencia de filtros flexibles

En el siguiente ejemplo se muestra el uso y el flexible-match-maskcontexto de.

El < máscara-nombre> especifica para el nombre de máscara flexible la plantilla predefinida que se usa para la condición de coincidencia flexible. Las plantillas se pueden definir para especificar en qué lugar (posición) del paquete debe ejecutarse la condición de coincidencia flexible.

La < máscara>paramáscara en hex está en formato hexadecimal. Por ejemplo, una máscara configurada de especifica una coincidencia para el puño cuatro bits en el primer byte (como lo hace referencia 0xf0fc<mascarado>)y para los primeros seis bits del segundo byte. Si el paquete es un paquete IPv4 y <mask-name>referencia a los dos primeros bytes en el encabezado L3, la búsqueda es para el campo versión IP y el campo DSCP. Como otro ejemplo, una máscara configurada especifica una búsqueda para todo el primer byte y para 0xffc0 dos bits del segundo byte. Si el nombre de máscara de <>referencia a los dos primeros bytes en el encabezado L3 y el paquete es paquete IPv6, esto especifica el campo versión IP y DSCP en el campo Clase de tráfico.

El <pattern> especificado para prefijo es una cadena ASCII. Si los dos primeros caracteres 0x son , la cadena se procesa como un número hexadecimal codificando los bits apropiados. Por ejemplo, el prefijo configurado en combinación con máscara y < nombre de máscara>referir los dos primeros bytes en el encabezado de L3, indica una búsqueda en los primeros cuatro bits (el campo de versión es igual a 4) y en el campo 0x40c00xf0fc0100 DSCP IPv4 (DSCP es igual a 1100 00 cs6). O bien <, con el prefijo configurado en combinación con máscara y nombre de máscara>referir los dos primeros bytes en el encabezado de L3, especifica una búsqueda en los primeros cuatro bits (el campo de versión es igual a 6) y en el campo 0x6c000xffc00110 DSCP IPv6 (DSCP es igual a 1100 00 cs6).

El primer ejemplo define una plantilla de máscara que selecciona los dos primeros bytes (16 bits) del encabezado L3 para las coincidencias flexibles:

En el siguiente ejemplo se define una plantilla de máscara que selecciona el tercer al sexto byte (32 bits) de la carga del paquete para que la coincidencia sea flexible:

En este ejemplo, se muestra una coincidencia de caracteres ASCII para la cadena JNPR (caracteres ASCII: 0x4a, 0x4e , ) en el tercer y el quinto bytes de la carga del 0x500x52 paquete. El filtro utiliza la FM-FOUR-PAYLOAD-BYTES plantilla de máscara definida en el ejemplo anterior.

En este ejemplo, se muestra un filtro ccc de familia que busca DSCP igual a y DSCP, independientemente de si los cs6ef paquetes encapsulados son IPv4 o IPv6. Utiliza la plantilla FM-FIRST-TWO-L3-BYTES de máscara definida en el primer ejemplo.

En este ejemplo, se muestra cómo usar una longitud de coincidencia, a partir de un desplazamiento de paquete de capa 2, en un filtro de firewall para un dispositivo QFX5120-32C, QFX5120-48Y o EX4650 que ejecute la versión 20.1R1 de Junos. Aquí, utilizamos una longitud de bits de 32 bits y la familia ( y también se admiten, al igual que mediante un desplazamiento ethernet-switchinginet de capa inet6 3).

Tabla de historial de versiones
Liberación
Descripción
20.1R1
Para conmutadores QFX5120 y EX4650, se agregó compatibilidad con filtros de coincidencia flexibles de capa 2 y capa 3 (solo) en la versión 20.1R1 Junos.