Condiciones de coincidencia del filtro de firewall para el tráfico de puente de capa 2

Solo en enrutadores serie MX y conmutadores serie EX, puede configurar un filtro de firewall sin estado estándar con condiciones coincidentes para el tráfico de puente de capa 2 (). family bridge describe cómo se puede configurar en el nivel de jerarquía.Tabla 1match-conditions[edit firewall family bridge filter filter-name term term-name from]

Tabla 1: Condiciones de coincidencia del filtro de firewall estándar para puentes de capa 2 (solo enrutadores de la serie MX y conmutadores de la serie EX)
Condición de coincidencia	Description
`destination-mac-address address`	Dirección MAC (control de acceso a medios) de destino de un paquete de capa 2 en un entorno de puente.
`destination-port number`	Campo Puerto de destino TCP o UDP. No puede especificar las condiciones de coincidencia y en el mismo término.`portdestination-port`
`destination-port-except`	No coincida con el puerto de destino TCP/UDP.
`destination-prefix-list` `named-list`	Haga coincidir los prefijos de destino IP en un archivo .`named-list`
`dscp number`	Punto de código de servicios diferenciados (DSCP). El protocolo DiffServ utiliza el byte de tipo de servicio (ToS) en el encabezado IP. Los 6 bits más significativos de este byte forman el DSCP. Para obtener más información, consulte Descripción de cómo los clasificadores agregados de comportamiento priorizan el tráfico de confianza.Understanding How Behavior Aggregate Classifiers Prioritize Trusted Traffic Puede especificar un valor numérico desde .`063` Para especificar el valor en formato hexadecimal, inclúyalo como prefijo.`0x` Para especificar el valor en formato binario, inclúyalo como prefijo.`b` En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): RFC 3246, Un PHB (comportamiento por salto) de reenvío acelerado, define un punto de código: `ef`(46). RFC 2597, Assured Forwarding PHB Group, define 4 clases, con 3 precedencias de caída en cada clase, para un total de 12 puntos de código: (10), (12), (14), `af11af12af13` (18), (20), (22), `af21af22af23` (26), (28), (30), `af31af32af33` (34), (36), (38)`af41af42af43`
`dscp-except number`	No coincida con el número DSCP. Para obtener más información, consulte la condición de coincidencia.`dscp-except`
`ether-type value`	Haga coincidir el campo IEEE 802.3 Length/EtherType de 2 octetos con el valor especificado o la lista de valores. Puede especificar valores decimales o hexadecimales de 0 a 65535 (0xFFFF). Un valor del 0 al 1500 (0x05DC) especifica la longitud de una trama Ethernet versión 1. Un valor de 1536 (0x0600) a 65535 especifica el EtherType (naturaleza del protocolo de cliente MAC) de una trama Ethernet versión 2. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores hexadecimales): 0x80F3), 0x809B), 0x0806), 0x0800), 0x86DD), 0x8848), 0x8847), 0x8902), 0x880B), 0x8863), 0x8864 y 0x80D5).`aarpappletalkarpipv4ipv6mpls-multicastmpls-unicastoamppppppoe-discoverypppoe-sessionsna` Nota: Cuando coincidan en la dirección IP o la dirección IPv6, también se deben especificar los tipos ether IPv4 o IPv6, respectivamente, para limitar las coincidencias solo al tráfico IP.
`ether-type-except value`	No haga coincidir el campo IEEE 802.3 Length/EtherType de 2 octetos con el valor especificado o la lista de valores. Para obtener más información sobre cómo especificar el , consulte la condición de coincidencia.`valuesether-type`
`flexible-match-mask` `value`	`bit-length`	Longitud de los datos que deben coincidir en bits, no necesaria para la entrada de cadena (0..128)
	`bit-offset`	Desplazamiento de bits después del desplazamiento (match-start + byte) (0..7)
	`byte-offset`	Desplazamiento de bytes después del punto de inicio de la coincidencia
	`flexible-mask-name`	Seleccione una coincidencia flexible del campo de plantilla predefinido
	`mask-in-hex`	Enmascarar bits en los datos del paquete para que coincidan
	`match-start`	Punto de inicio para que coincida en el paquete
	`prefix`	Datos de valor/cadena que deben coincidir

`flexible-match-range` `value`	`bit-length`	Longitud de los datos que deben coincidir en bits (0..32)
	`bit-offset`	Desplazamiento de bits después del desplazamiento (match-start + byte) (0..7)
	`byte-offset`	Desplazamiento de bytes después del punto de inicio de la coincidencia
	`flexible-range-name`	Seleccione una coincidencia flexible del campo de plantilla predefinido
	`match-start`	Punto de inicio para que coincida en el paquete
	`range`	Intervalo de valores que deben coincidir
	`range-except`	No coinciden con este rango de valores

`forwarding class class`	Clase de reenvío. Especifique , , , o .`assured-forwardingbest-effortexpedited-forwardingnetwork-control`
`forwarding-class-except class`	Campo de tipo Ethernet de un entorno de paquetes de capa 2. Especifique , , , o .`assured-forwardingbest-effortexpedited-forwardingnetwork-control`
`icmp-code message-code`	Haga coincidir el campo de código del mensaje ICMP. Si configura esta condición de coincidencia, se recomienda configurar también la condición , o coincidencia en el mismo término.`ip-protocol icmpip-protocol icmp6ip-protocol icmpv6` Si configura esta condición de coincidencia, también debe configurar la condición de coincidencia en el mismo término.`icmp-type message-type` Un código de mensaje ICMP proporciona información más específica que un tipo de mensaje ICMP, pero el significado de un código de mensaje ICMP depende del tipo de mensaje ICMP asociado. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo). Las palabras clave se agrupan por el tipo de ICMP con el que están asociadas: parámetro-problema: (0), (1), (2)`ip6-header-badunrecognized-next-headerunrecognized-option` Tiempo excedido: (1), (0)`ttl-eq-zero-during-reassemblyttl-eq-zero-during-transit` Destino inalcanzable: (3), (1), (0), (4)`address-unreachableadministratively-prohibitedno-route-to-destinationport-unreachable`
`icmp-code-except message-code`	No coincida con el campo de código de mensaje ICMP. Para obtener más información, consulte la condición de coincidencia.`icmp-code`
`icmp-type message-type`	Haga coincidir el campo de tipo de mensaje ICMP. Si configura esta condición de coincidencia, se recomienda configurar también la condición , o coincidencia en el mismo término.`ip-protocol icmpip-protocol icmp6ip-protocol icmpv6` En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (1), (129), (128), (130), (131), (132), (136), (135), (140), (139), (2), (4), (137), (134), (138), (133) o (3).`destination-unreachableecho-replyecho-requestmembership-querymembership-reportmembership-terminationneighbor-advertisementneighbor-solicitnode-information-replynode-information-requestpacket-too-bigparameter-problemredirectrouter-advertisementrouter-renumberingrouter-solicittime-exceeded`
`icmp-type-except message-type`	No coincida con el campo de tipo de mensaje ICMP. Para obtener más información, consulte la condición de coincidencia.`icmp-type`
`interface interface-name`	Interfaz en la que se recibió el paquete. Puede configurar una condición de coincidencia que coincida con los paquetes en función de la interfaz en la que se recibieron. Nota: Si configura esta condición de coincidencia con una interfaz que no existe, el término no coincide con ningún paquete.
`interface-group group-number`	Haga coincidir la interfaz lógica en la que se recibió el paquete con el grupo de interfaces especificado o un conjunto de grupos de interfaz. Para , especifique un único valor o un intervalo de valores de a .`group-number0255` Para asignar una interfaz lógica a un grupo de interfaces , especifique el en el nivel de jerarquía.`group-numbergroup-number[interfaces interface-name unit number family family filter group]` Para obtener más información, consulte Información general sobre el filtrado de paquetes recibidos en un conjunto de grupos de interfaces.
`interface-group-except number`	No hacer coincidir la interfaz lógica en la que se recibió el paquete con el grupo de interfaces especificado o un conjunto de grupos de interfaz. Para obtener más información, consulte la condición de coincidencia.`interface-group`
`interface-set interface-set-name`	Haga coincidir la interfaz en la que se recibió el paquete con el conjunto de interfaces especificado. Para definir un conjunto de interfaces, incluya la instrucción en el nivel de jerarquía.`interface-set[edit firewall]` Para obtener más información, consulte Información general sobre el filtrado de paquetes recibidos en un conjunto de interfaces.
`ip-address address`	Dirección de 32 bits que admite la sintaxis estándar para direcciones IPv4. Nota: Para limitar las coincidencias solo al tráfico IPv4, el ipv4 de tipo ether también debe especificarse en el mismo término.
`ip-destination-address address`	Dirección de 32 bits que es la dirección del nodo de destino final para el paquete.
`ip-precedence ip-precedence-field`	Campo de prioridad de IP. En lugar del valor de campo numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): (0xa0), (0x60), (0x80), (0x40), (0xc0), (0xe0), (0x20) o (0x00).`critical-ecpflashflash-overrideimmediateinternet-controlnet-controlpriorityroutine`
`ip-precedence-except ip-precedence-field`	No coincida en el campo de prioridad de IP.
`ip-protocol number`	Campo de protocolo IP.
`ip-protocol-except`	No coincida con el tipo de protocolo IP.
`ip-source-address address`	Dirección IP del nodo de origen que envía el paquete.
`ipv6-address` `address`	(Solo serie MX) Dirección de 128 bits que admite la sintaxis estándar para direcciones IPv6. Nota: Para limitar las coincidencias solo al tráfico IPv6, también se debe especificar el ipv6 de tipo ether en el mismo término.
`ipv6-destination-address` `address`	(Solo serie MX) Dirección de 128 bits que es la dirección del nodo de destino final para este paquete.
`ipv6-destination-prefix-list` `named-list`	(Solo serie MX) Haga coincidir las direcciones de destino IPv6 en un archivo .`named-list`
`ipv6-next-header` `protocol`	(Solo serie MX) Haga coincidir el siguiente tipo de protocolo de encabezado IPv6. En la lista siguiente se muestran los valores admitidos para :`protocol` `ah`—Encabezado de autenticación de seguridad IP `dstopts`—Opciones de destino IPv6 `egp`—Protocolo de puerta de enlace exterior `esp`—Carga de seguridad de encapsulación IPSec `fragment`—Encabezado de fragmento IPv6 `gre`—Encapsulación de enrutamiento genérico `hop-by-hop`—Opciones IPv6 salto a salto `icmp`—Protocolo de mensajes de control de Internet `icmp6`—Protocolo de mensajes de control de Internet versión 6 `igmp`—Protocolo de administración de grupos de Internet `ipip`—IP en IP `ipv6`—IPv6 en IP `no-next-header`—IPv6 sin encabezado siguiente `ospf`—Abrir primero el camino más corto `pim`—Multidifusión independiente del protocolo `routing`—Encabezado de enrutamiento IPv6 `rsvp`—Protocolo de reserva de recursos `sctp`—Protocolo de transmisión de control de flujo `tcp`—Protocolo de control de transmisión `udp`—Protocolo de datagramas de usuario `vrrp`—Protocolo de redundancia de enrutador virtual
`ipv6-next-header-except` `protocol`	(Solo serie MX) No coincida con el siguiente tipo de protocolo de encabezado IPv6.
`ipv6-payload-protocol` `protocol`	(Solo serie MX) Coincidir con el tipo de protocolo de carga IPv6. En la lista siguiente se muestran los valores admitidos para :`protocol` `ah`—Encabezado de autenticación de seguridad IP `dstopts`—Opciones de destino IPv6 `egp`—Protocolo de puerta de enlace exterior `esp`—Carga de seguridad de encapsulación IPSec `fragment`—Encabezado de fragmento IPv6 `gre`—Encapsulación de enrutamiento genérico `hop-by-hop`—Opciones IPv6 salto a salto `icmp`—Protocolo de mensajes de control de Internet `icmp6`—Protocolo de mensajes de control de Internet versión 6 `igmp`—Protocolo de administración de grupos de Internet `ipip`—IP en IP `ipv6`—IPv6 en IP `no-next-header`—IPv6 sin encabezado siguiente `ospf`—Abrir primero el camino más corto `pim`—Multidifusión independiente del protocolo `routing`—Encabezado de enrutamiento IPv6 `rsvp`—Protocolo de reserva de recursos `sctp`—Protocolo de transmisión de control de flujo `tcp`—Protocolo de control de transmisión `udp`—Protocolo de datagramas de usuario `vrrp`—Protocolo de redundancia de enrutador virtual
`ipv6-payload-protocol-except` `protocol`	(Solo serie MX) No coinciden con el protocolo de carga IPv6.
`ipv6-prefix-list` `named-list`	(Solo serie MX) Haga coincidir la dirección IPv6 en un archivo .`named-list`
`ipv6-source-address` `address`	(Solo serie MX) Dirección de 128 bits que es la dirección del nodo de origen de este paquete.
`ipv6-source-prefix-list` `named-list`	(Solo serie MX) Haga coincidir la dirección de origen IPv6 en un archivo .`named-list`
`ipv6-traffic-class` `number`	(Solo serie MX) Punto de código de servicios diferenciados (DSCP). El protocolo DiffServ utiliza el byte de tipo de servicio (ToS) en el encabezado IP. Los 6 bits más significativos de este byte forman el DSCP. Para obtener más información, consulte Descripción de cómo los clasificadores agregados de comportamiento priorizan el tráfico de confianza.Understanding How Behavior Aggregate Classifiers Prioritize Trusted Traffic Puede especificar un valor numérico desde .`063` Para especificar el valor en formato hexadecimal, inclúyalo como prefijo.`0x` Para especificar el valor en formato binario, inclúyalo como prefijo.`b` En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): RFC 3246, Un PHB (comportamiento por salto) de reenvío acelerado, define un punto de código: `ef`(46). RFC 2597, Assured Forwarding PHB Group, define 4 clases, con 3 precedencias de caída en cada clase, para un total de 12 puntos de código: (10), (12), (14), `af11af12af13` (18), (20), (22), `af21af22af23` (26), (28), (30), `af31af32af33` (34), (36), (38)`af41af42af43`
`ipv6-traffic-class-except` `number`	No coincida con el DSCP .`number`
`isid number`	(Compatible con puentes troncales de proveedores [PBB]) Hacer coincidir el identificador del servicio de Internet.
`isid-dei number`	(Soportado con PBB) Hacer coincidir el bit del indicador de elegibilidad de caída del identificador de servicio de Internet (DEI).
`isid-dei-except number`	(Soportado con PBB) No coincida con el bit DEI del identificador de servicio de Internet.
`isid-priority-code-point number`	(Soportado con PBB) Haga coincidir el punto de código de prioridad del identificador de servicio de Internet.
`isid-priority-code-point-except number`	(Soportado con PBB) No coincida con el punto de código de prioridad del identificador de servicio de Internet.
`learn-vlan-1p-priority value`	(Solo enrutadores serie MX y conmutadores serie EX) Coincidir en los bits de prioridad de VLAN aprendidos IEEE 802.1p en la etiqueta VLAN del proveedor (la única etiqueta en una trama de etiqueta única con etiquetas VLAN 802.1Q o la etiqueta externa en una trama de doble etiqueta con etiquetas VLAN 802.1Q). Especifique uno o varios valores desde .`07` Comparar con la condición de coincidencia.`user-vlan-1p-priority`
`learn-vlan-1p-priority-except value`	(Solo enrutadores serie MX y conmutadores serie EX) No coincida en los bits de prioridad de VLAN aprendidos IEEE 802.1p. Para obtener más información, consulte la condición de coincidencia.`learn-vlan-1p-priority`
`learn-vlan-dei number`	(Compatible con puentes) Hacer coincidir el bit DEI del identificador de LAN virtual (VLAN) de usuario.
`learn-vlan-dei-except number`	(Compatible con puentes) No coincida con el bit DEI del identificador VLAN del usuario.
`learn-vlan-id number`	Identificador VLAN utilizado para el aprendizaje de MAC.
`learn-vlan-id-except number`	No coincida con el identificador VLAN utilizado para el aprendizaje de MAC.
`loss-priority level`	Nivel de prioridad de pérdida de paquetes (PLP). Especifique uno o varios niveles: , , , o .`lowmedium-lowmedium-highhigh` Compatible con enrutadores M120 y M320; enrutadores M7i y M10i con el CFEB-E mejorado; y enrutadores serie MX y conmutadores serie EX. Para el tráfico IP en enrutadores serie M320, MX y T con concentradores PIC flexibles (FPC) II mejorados y conmutadores serie EX, debe incluir la instrucción en el nivel de jerarquía para confirmar una configuración PLP con cualquiera de los cuatro niveles especificados.`tri-color[edit class-of-service]` Si la instrucción no está habilitada, sólo podrá configurar los niveles y .`tri-colorhighlow` Esto se aplica a todas las familias de protocolos. Para obtener información acerca de la instrucción, vea Configurar y aplicar políticas de marcado tricolor.`tri-color`Configuring and Applying Tricolor Marking Policers Para obtener información acerca del uso de clasificadores de agregado de comportamiento (BA) para establecer el nivel PLP de los paquetes entrantes, consulte Descripción de cómo las clases de reenvío asignan clases a las colas de salida.Understanding How Forwarding Classes Assign Classes to Output Queues
`loss-priority-except level`	No coincida en el nivel de prioridad de pérdida de paquetes. Especifique uno o varios niveles: , , , o .`lowmedium-lowmedium-highhigh` Para obtener información acerca del uso de clasificadores de agregados de comportamiento (BA) para establecer el nivel PLP de los paquetes entrantes, consulte Descripción de cómo los clasificadores agregados de comportamiento priorizan el tráfico de confianza.Understanding How Behavior Aggregate Classifiers Prioritize Trusted Traffic
`port number`	Puerto de origen o destino TCP o UDP. No puede especificar tanto la condición de coincidencia como las condiciones de coincidencia en el mismo término.`portdestination-portsource-port`
`source-mac-address address`	Dirección MAC de origen de un paquete de capa 2.
`source-port number`	Campo de puerto de origen TCP o UDP. No puede especificar las condiciones y coincidir en el mismo término.`portsource-port`
`source-port-except`	No coincida con el puerto de origen TCP/UDP.
`tcp-flags flags`	Haga coincidir uno o más de los 6 bits de orden bajo en el campo Indicadores TCP de 8 bits del encabezado TCP. Para especificar campos de bits individuales, puede especificar los siguientes sinónimos de texto o valores hexadecimales: `fin`(0x01) `syn`(0x02) `rst`(0x04) `push`(0x08) `ack`(0x10) `urgent`(0x20) En una sesión TCP, el indicador SYN se establece sólo en el paquete inicial enviado, mientras que el indicador ACK se establece en todos los paquetes enviados después del paquete inicial. Puede encadenar varios indicadores mediante los operadores lógicos de campo de bits. La configuración de la condición de coincidencia requiere que configure la condición de coincidencia.`tcp-flagsnext-header-tcp`
`traffic-type type`	Tipo de tráfico. Especifique , , , o .`broadcastmulticastunknown-unicastknown-unicast`
`traffic-type-except type`	No coinciden en el tipo de tráfico.
`user-vlan-1p-priority value`	(Solo enrutadores serie MX y conmutadores serie EX) Coincidir en los bits de prioridad de usuario IEEE 802.1p en la etiqueta VLAN del cliente (la etiqueta interna en una trama de etiqueta doble con etiquetas VLAN 802.1Q). Especifique uno o varios valores desde .`07` Comparar con la condición de coincidencia.`learn-vlan-1p-priority`
`user-vlan-1p-priority-except value`	(Solo enrutadores serie MX y conmutadores serie EX) No coincida en los bits de prioridad de usuario IEEE 802.1p. Para obtener más información, consulte la condición de coincidencia.`user-vlan-1p-priority`
`user-vlan-id number`	(Solo enrutadores serie MX y conmutadores serie EX) Haga coincidir el primer identificador de VLAN que forme parte de la carga.
`user-vlan-id-except number`	(Solo enrutadores serie MX y conmutadores serie EX) No coincida en el primer identificador de VLAN que forma parte de la carga.
`vlan-ether-type value`	Campo de tipo Ethernet VLAN de un paquete puente de capa 2.
`vlan-ether-type-except value`	No coincida en el campo de tipo Ethernet VLAN de un paquete puente de capa 2.

Condiciones de coincidencia del filtro de firewall para el tráfico de puente de capa 2

Temas relacionados