Condiciones de coincidencia del filtro de firewall para el tráfico IPv6
Puede configurar un filtro de firewall con condiciones coincidentes para el tráfico del Protocolo de Internet versión 6 (IPv6) ().family inet6
En el caso de los enrutadores de la serie MX con MPC, debe inicializar el contador de filtros para los filtros de coincidencia solo Trio caminando por la MIB SNMP correspondiente, por ejemplo, .show snmp mib walk name ascii
Esto obliga a Junos a aprender los contadores de filtros y asegurarse de que se muestran las estadísticas de filtro. Esta guía se aplica a todos los filtros de firewall de modo mejorado, filtros con condiciones flexibles y filtros con ciertas acciones de terminación. Consulte esos temas, enumerados en Documentación relacionada, para obtener más información.
Describe las condiciones de coincidencia que puede configurar en el nivel jerárquico .Tabla 1[edit firewall family inet6 filter filter-name term term-name from]
Condición de coincidencia |
Description |
|
---|---|---|
|
Haga coincidir el campo Dirección de origen o destino IPv6, a menos que se incluya la opción. |
|
|
Especifique de qué grupos desea heredar los datos de configuración. Puede especificar más de un nombre de grupo. Debe enumerarlos en orden de prioridad de herencia. Los datos de configuración del primer grupo tienen prioridad sobre los datos de los grupos siguientes. |
|
|
Especifique de qué grupos no desea heredar los datos de configuración. Puede especificar más de un nombre de grupo. |
|
|
Haga coincidir el campo Dirección de destino IPv6 a menos que se incluya la opción. No puede especificar las condiciones de coincidencia y en el mismo término. |
|
|
Hacer coincidir uno o más nombres de clase de destino especificados (conjuntos de prefijos de destino agrupados y con un nombre de clase). Para obtener más información, consulte Condiciones de coincidencia de filtros de firewall basadas en clases de dirección.El filtro de firewall coincide con condiciones basadas en clases de dirección |
|
|
No coincida con uno o más nombres de clase de destino especificados. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir el campo Puerto de destino UDP o TCP. No puede especificar las condiciones de coincidencia y en el mismo término. Si configura esta condición de coincidencia, se recomienda configurar también la condición de coincidencia o en el mismo término para especificar qué protocolo se está utilizando en el puerto. Nota:
Para Junos OS Evolved, debe configurar la instrucción match en el mismo término. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los números de puerto): (1483), (179), (512), (68), (67), (514), (2401), (67), (53), (2105), (2106), (512), (79), (21), (20), (80), (443), (113), (143), (88), (543), (761), (754), (760), (544), (389), (646), (513), (434), (435), (639), (138), (137), (139), (2049), (119), (518), (123), (110), (1723), (515), (1813), (1812), (520), (2108), (25), (161), (162), (444), (1080), (22), (111), (514), (49), (65), (517), (23), (69), (525), (513) o (177). |
|
|
No coincida con el campo Puerto de destino UDP o TCP. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir el prefijo de destino IPv6 con la lista especificada, a menos que se incluya la opción. La lista de prefijos se define en el nivel de jerarquía ]. |
|
|
Haga coincidir un tipo de encabezado de extensión contenido en el paquete identificando un valor de encabezado siguiente. Nota:
Esta condición de coincidencia solo se admite en MPC de enrutadores de la serie MX. En el primer fragmento de un paquete, el filtro busca una coincidencia en cualquiera de los tipos de encabezado de extensión. Cuando se encuentra un paquete con un encabezado de fragmento (un fragmento posterior), el filtro sólo busca una coincidencia del siguiente tipo de encabezado de extensión porque la ubicación de otros encabezados de extensión es impredecible. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (51), (60), (50), (44), (0), (135) o (43). Para hacer coincidir cualquier valor de la opción de encabezado de extensión, utilice el sinónimo de texto . Para los enrutadores de la serie MX con MPC, inicialice los nuevos filtros de firewall que incluyen esta condición caminando por la MIB SNMP correspondiente. |
|
|
Coincidir si el paquete es el primer fragmento. |
|
|
No coincida con un tipo de encabezado de extensión contenido en el paquete. Para obtener más información, consulte la condición de coincidencia. Nota:
Esta condición de coincidencia solo se admite en MPC de enrutadores de la serie MX. |
|
|
|
Longitud de la entrada entera (1..32 bits); (Opcional) Longitud de la entrada de cadena (1.128 bits) |
|
Desplazamiento de bits después del desplazamiento (match-start + byte) (0..7) |
|
|
Desplazamiento de bytes después del punto de inicio de la coincidencia |
|
|
Seleccione una coincidencia flexible del campo de plantilla predefinido |
|
|
Enmascarar bits en los datos del paquete para que coincidan |
|
|
Punto de inicio para que coincida en el paquete |
|
|
Datos de valor/cadena que deben coincidir |
|
Consulte Condiciones de coincidencia flexible del filtro de firewall para obtener más información.Condiciones de coincidencia flexibles del filtro de firewall |
||
Los rangos deben tener el siguiente formato: Integer-Integer |
|
Longitud de los datos que deben coincidir en bits (0..32) |
|
Desplazamiento de bits después del desplazamiento (match-start + byte) (0..7) |
|
|
Desplazamiento de bytes después del punto de inicio de la coincidencia |
|
|
Seleccione una coincidencia flexible del campo de plantilla predefinido |
|
|
Punto de inicio para que coincida en el paquete |
|
|
Intervalo de valores que deben coincidir |
|
|
No coinciden con este rango de valores |
|
Consulte Condiciones de coincidencia flexible del filtro de firewall para obtener más información.Condiciones de coincidencia flexibles del filtro de firewall |
||
|
Hacer coincidir la clase de reenvío del paquete. Especifique , , , o . Para obtener información acerca de las clases de reenvío y las colas de salida internas del enrutador, consulte Descripción de cómo las clases de reenvío asignan clases a las colas de salida.Understanding How Forwarding Classes Assign Classes to Output Queues |
|
|
No coincida con la clase de reenvío del paquete. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir el límite de salto con el límite de salto especificado o con un conjunto de límites de saltos. Para , especifique un único valor o un intervalo de valores del 0 al 255. Solo se admite en interfaces alojadas en MIC o MPC de enrutadores de la serie MX. Nota:
Esta condición de coincidencia se admite en los enrutadores de la serie PTX cuando se configura en el enrutador. |
|
|
No haga coincidir el límite de salto con el límite de salto especificado ni con el conjunto de límites de saltos. Para obtener más información, consulte la condición de coincidencia. Solo se admite en interfaces alojadas en MIC o MPC de enrutadores de la serie MX. Nota:
Esta condición de coincidencia se admite en los enrutadores de la serie PTX cuando se configura en el enrutador. |
|
|
Haga coincidir el campo de código del mensaje ICMP. Si configura esta condición de coincidencia, le recomendamos que también configure la condición de coincidencia o en el mismo término. Si configura esta condición de coincidencia, también debe configurar la condición de coincidencia en el mismo término. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo). Las palabras clave se agrupan por el tipo de ICMP con el que están asociadas:
|
|
|
No coincida con el campo de código de mensaje ICMP. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir el campo de tipo de mensaje ICMP. Si configura esta condición de coincidencia, le recomendamos que también configure la condición de coincidencia o en el mismo término. Nota:
Para Junos OS Evolved, debe configurar la instrucción match en el mismo término. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (149), (148), (1), (129), (128), (145), (144), (142), (141), (130), (131), (132), (147), (146), (136), (135), (140), (139), (2), (4), (100), (101), (200), (201), (137), (134), (138), (133) o (3). Para (201), también puede especificar un rango de valores entre corchetes. |
|
|
No coincida con el campo de tipo de mensaje ICMP. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir la interfaz en la que se recibió el paquete. Nota:
Si configura esta condición de coincidencia con una interfaz que no existe, el término no coincide con ningún paquete. |
|
|
Haga coincidir la interfaz lógica en la que se recibió el paquete con el grupo de interfaces especificado o un conjunto de grupos de interfaz. Para , especifique un único valor o un intervalo de valores de a . Para asignar una interfaz lógica a un grupo de interfaces , especifique el en el nivel de jerarquía. Para obtener más información, consulte Información general sobre el filtrado de paquetes recibidos en un conjunto de grupos de interfaces.Información general sobre el filtrado de paquetes recibidos en un conjunto de grupos de interfaces |
|
|
No hacer coincidir la interfaz lógica en la que se recibió el paquete con el grupo de interfaces especificado o un conjunto de grupos de interfaz. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir la interfaz en la que se recibió el paquete con el conjunto de interfaces especificado. Para definir un conjunto de interfaces, incluya la instrucción en el nivel de jerarquía. Para obtener más información, consulte Información general sobre el filtrado de paquetes recibidos en un conjunto de interfaces.Información general sobre el filtrado de paquetes recibidos en un conjunto de interfaces |
|
|
Haga coincidir el campo de opción IP de 8 bits, si está presente, con el valor especificado o la lista de valores. En lugar de un valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de opción): (131), (7), (148), (130), (136), (137) o (68). Para hacer coincidir cualquier valor de la opción IP, utilice el sinónimo de texto . Por ejemplo, la condición de coincidencia coincide en un campo de opciones IP que contiene los valores , , o cualquier otro valor del 0 al 147. Para la mayoría de las interfaces, un término de filtro que especifica una coincidencia en uno o más valores de opción IP específicos (un valor distinto de ) hace que los paquetes se envíen al motor de enrutamiento para que el kernel pueda analizar el campo de opción IP en el encabezado del paquete.
El concentrador de puerto modular (MPC) de 10 Gigabit Ethernet, el MPC de 100 Gigabit Ethernet, el MPC de 60 Gigabit Ethernet, el MPC de cola de 60 Gigabit y el MPC de cola mejorada de 60 Gigabit Ethernet en los enrutadores de la serie MX son capaces de analizar el campo de opción IP del encabezado del paquete IPv4. Para las interfaces configuradas en esas MPC, todos los paquetes que coinciden mediante la condición de coincidencia se envían al motor de reenvío de paquetes para su procesamiento. |
|
|
No haga coincidir el campo de opción IP con el valor especificado o la lista de valores. Para obtener más información sobre cómo especificar el , consulte la condición de coincidencia. |
|
|
Coincidir si el paquete es un fragmento. |
|
|
Coincidir si el paquete es el último fragmento. |
|
|
Coincidir con el nivel de prioridad de pérdida de paquetes (PLP). Especifique uno o varios niveles: , , , o . Compatible con enrutadores M120 y M320; enrutadores M7i y M10i con el CFEB-E mejorado; y enrutadores serie MX y conmutadores serie EX. Para el tráfico IP en enrutadores M320, serie MX, serie T y conmutadores serie EX con concentradores PIC flexibles (FPC) II mejorados, debe incluir la instrucción en el nivel de jerarquía para confirmar una configuración PLP con cualquiera de los cuatro niveles especificados. Para obtener información acerca de la instrucción, vea Configurar y aplicar políticas de marcado tricolor. |
|
|
No coincida con el nivel de PLP. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir el primer campo Encabezado siguiente de 8 bits del paquete. La compatibilidad con la condición de coincidencia de firewall está disponible en Junos OS versión 13.3R6 y posteriores. Nota:
Las plataformas MX tienen una coincidencia que coincide con el primer encabezado siguiente (NH) del paquete y el para que coincida con el último NH.
Haga coincidir el primer campo Encabezado siguiente de 8 bits del paquete. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (51), (60), (8), (50), (44), (47), (0), (1), (58), (58), (2), (4), (41), (135), (59), (89), (103), (43), (46), (132), (6), (17) o (112). Nota:
|
|
|
No coincida con el campo Encabezado siguiente de 8 bits que identifica el tipo de encabezado entre el encabezado IPv6 y la carga. Para obtener más información, consulte el tipo de coincidencia. |
|
|
Haga coincidir la longitud del paquete recibido, en bytes. La longitud se refiere únicamente al paquete IP, incluido el encabezado del paquete, y no incluye ninguna sobrecarga de encapsulación de capa 2. |
|
|
No coincida con la longitud del paquete recibido, en bytes. Para obtener más información, consulte el tipo de coincidencia. |
|
|
Haga coincidir el tipo de protocolo de carga. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): También puede usar la condición para que coincida con un tipo de encabezado de extensión que el firmware de Juniper Networks no pueda interpretar. Nota:
Esta condición de coincidencia solo se admite en MPC de enrutadores de la serie MX. Inicialice los nuevos filtros de firewall que incluyan esta condición caminando por la MIB SNMP correspondiente. |
|
|
No coincida con el tipo de protocolo de carga. Para obtener más información, consulte el tipo de coincidencia. Nota:
Esta condición de coincidencia solo se admite en MPC en enrutadores de la serie MX |
|
|
Haga coincidir el campo Puerto de origen o destino UDP o TCP. Si configura esta condición de coincidencia, no puede configurar la condición de coincidencia ni la condición de coincidencia en el mismo término. Si configura esta condición de coincidencia, se recomienda configurar también la condición de coincidencia o en el mismo término para especificar qué protocolo se está utilizando en el puerto. Nota:
Para Junos OS Evolved, debe configurar la instrucción match en el mismo término. En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados en . |
|
|
No coincida con el campo Puerto de origen o destino UDP o TCP. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir los prefijos de los campos de dirección de origen o destino con los prefijos de la lista especificada, a menos que se incluya la opción. La lista de prefijos se define en el nivel jerárquico . |
|
|
Hacer coincidir un paquete recibido de un filtro en el que se aplicó una acción. |
|
|
Haga coincidir la dirección IPv6 del nodo de origen que envía el paquete, a menos que se incluya la opción. No puede especificar las condiciones de coincidencia y en el mismo término. |
|
|
Hacer coincidir uno o más nombres de clase de origen especificados (conjuntos de prefijos de origen agrupados y con un nombre de clase). Para obtener más información, consulte Condiciones de coincidencia de filtros de firewall basadas en clases de dirección.El filtro de firewall coincide con condiciones basadas en clases de dirección |
|
|
No coincida con uno o más nombres de clase de origen especificados. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir el campo Puerto de origen UDP o TCP. No puede especificar las condiciones y coincidir en el mismo término. Si configura esta condición de coincidencia, se recomienda configurar también la condición de coincidencia o en el mismo término para especificar qué protocolo se está utilizando en el puerto. Nota:
Para Junos OS Evolved, debe configurar la instrucción or match en el mismo término. En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados con la condición de coincidencia. |
|
|
No coincida con el campo Puerto de origen UDP o TCP. Para obtener más información, consulte la condición de coincidencia. |
|
|
Haga coincidir el prefijo de dirección IPv6 del campo de origen del paquete , a menos que se incluya la opción. Especifique un nombre de lista de prefijos definido en el nivel de jerarquía. |
|
|
Hacer coincidir paquetes TCP distintos del primer paquete de una conexión. Este es un sinónimo de texto para (). Nota:
Esta condición no comprueba implícitamente que el protocolo es TCP. Para comprobarlo, especifique la condición de coincidencia. Si configura esta condición de coincidencia, le recomendamos que también configure la condición de coincidencia en el mismo término. |
|
|
Haga coincidir uno o más de los 6 bits de orden bajo en el campo Indicadores TCP de 8 bits del encabezado TCP. Para especificar campos de bits individuales, puede especificar los siguientes sinónimos de texto o valores hexadecimales:
En una sesión TCP, el indicador SYN se establece sólo en el paquete inicial enviado, mientras que el indicador ACK se establece en todos los paquetes enviados después del paquete inicial. Puede encadenar varios indicadores mediante los operadores lógicos de campo de bits. Para conocer las condiciones combinadas de coincidencia de campo de bits, consulte las condiciones de coincidencia y . Si configura esta condición de coincidencia, se recomienda que también configure la condición de coincidencia en el mismo término para especificar que se está utilizando el protocolo TCP en el puerto. |
|
|
Hacer coincidir el paquete inicial de una conexión TCP. Este es un sinónimo de texto para . Esta condición no comprueba implícitamente que el protocolo es TCP. Si configura esta condición de coincidencia, le recomendamos que también configure la condición de coincidencia en el mismo término. |
|
|
Haga coincidir el campo de 8 bits que especifica la prioridad de clase de servicio (CoS) del paquete. Este campo se usaba anteriormente como el campo de tipo de servicio (ToS) en IPv4. Puede especificar un valor numérico desde . En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo):
|
|
|
No coincida con el campo de 8 bits que especifica la prioridad CoS del paquete. Para obtener más información, consulte la descripción del partido. |
Si especifica una dirección IPv6 en una condición de coincidencia (las condiciones , o de coincidencia), use la sintaxis para las representaciones de texto descritas en RFC 4291, Arquitectura de direccionamiento IP versión 6.address
destination-address
source-address
Para obtener más información acerca de las direcciones IPv6, consulte Descripción general de IPv6 y Estándares IPv6 compatibles.https://www.juniper.net/documentation/en_US/junos/topics/concept/routing-protocols-ipv6-overview.htmlhttps://www.juniper.net/documentation/en_US/junos/topics/reference/standards/ipv6.html
Tabla de historial de cambios
La compatibilidad de la función depende de la plataforma y la versión que utilice. Utilice Feature Explorer a fin de determinar si una función es compatible con la plataforma.
next-header