Condiciones de coincidencia de filtro de servicio para tráfico IPv4 o IPv6
Los filtros de servicio solo admiten un subconjunto de las condiciones de coincidencia del filtro de firewall sin estado para el tráfico IPv4 e IPv6. Tabla 1 describe las condiciones de coincidencia del filtro de servicio.
|
Condición de coincidencia |
Descripción |
Familias de protocolos |
|---|---|---|
|
|
Coincida con el campo de dirección IP de origen o destino. |
|
|
|
No coincida con el campo de dirección IP de origen o destino. |
|
|
|
(Enrutadores serie M, excepto M120 y M320) Coincida en el valor del índice de parámetros de seguridad (SPI) de encabezado de autenticación IPsec (AH). |
|
|
|
(Enrutadores serie M, excepto M120 y M320) No coincida en el valor SPI IPsec AH. |
|
|
|
Coincida con el campo de dirección IP de destino. No puede especificar las |
|
|
|
No coincida con el campo de dirección IP de destino. No puede especificar las |
|
|
|
Coincida con el campo de puerto de destino UDP o TCP. No puede especificar las Si configura esta condición de coincidencia para el tráfico IPv4, recomendamos que también configure la Si configura esta condición de coincidencia para el tráfico IPv6, recomendamos que también configure la En lugar del valor numérico, puede especificar uno de los sinónimos de texto siguientes (también se enumeran los números de puerto): |
|
|
|
No coincida con el campo de puerto de destino UDP o TCP. Para obtener más información, consulte la descripción del |
|
|
|
Haga coincidir la lista de prefijos de destino. La lista de prefijos se define en el |
|
|
|
Coincida con el valor SPI de la carga de seguridad de encapsulación (ESP) de IPsec. Especifique un valor único o un rango de valores. Puede especificar una value en forma hexadecimal, binario o decimal. Para especificar el valor en forma hexadecimal, incluya |
|
|
|
No coincida con el valor SPI ESP IPsec ni con el rango de valores. Para obtener más información, consulte la condición de |
|
|
|
Coincida si el paquete es el primer fragmento de un paquete fragmentado. No haga coincidir si el paquete es un fragmento final de un paquete fragmentado. El primer fragmento de un paquete fragmentado tiene un valor de desplazamiento de fragmento de Esta condición de coincidencia es un alias para la condición de coincidencia de campo Para hacer coincidir los fragmentos primero y final, puede usar dos términos que especifican condiciones de coincidencia diferentes: |
|
|
|
Coincida con una o más de las siguientes clases especificadas de reenvío de paquetes:
Para obtener más información acerca de las clases de reenvío y las colas de salida internas del enrutador, consulte Descripción de cómo las clases de reenvío asignan clases a colas de salida. |
|
|
|
No coincida con una o más de las siguientes clases especificadas de reenvío de paquetes:
|
|
|
|
(Solo entrada) Coincida con el campo de indicadores de fragmentación DE IP de tres bits en el encabezado ip. En lugar del valor del campo numérico, puede especificar una de las siguientes palabras clave (los valores de campo también se enumeran): |
|
|
|
Coincida con el campo de desplazamiento de fragmento de 13 bits en el encabezado IP. El valor es el desplazamiento, en unidades de 8 bytes, en el mensaje de datagrama general al fragmento de datos. Especifique un valor numérico, un rango de valores o un conjunto de valores. Un valor de desplazamiento de La Para hacer coincidir los fragmentos primero y final, puede usar dos términos que especifican condiciones de coincidencia diferentes ( |
|
|
|
No haga coincidir el campo de desplazamiento de fragmento de 13 bits. |
|
|
|
Coincida con el grupo de interfaz (conjunto de una o varias interfaces lógicas) en el que se recibió el paquete. Para Para obtener más información acerca de cómo configurar grupos de interfaz, consulte Descripción general del filtrado de paquetes recibidos en un conjunto de grupos de interfaz. |
|
|
|
No coincida con el grupo de interfaz en el que se recibió el paquete. para obtener más información, consulte la condición de |
|
|
|
Haga coincidir el campo de opción IP de 8 bits, si está presente, con el valor especificado o la lista de valores. En lugar de un valor numérico, puede especificar uno de los sinónimos de texto siguientes (los valores de opción también se enumeran): Para hacer coincidir cualquier valor para la opción IP, utilice el sinónimo Por ejemplo, la condición Para la mayoría de las interfaces, un término de filtro que especifica una
El concentrador de puertos modulares (MPC) de 10 Gigabit Ethernet, el MPC de 60 Gigabit Ethernet, el MPC de Ethernet cola de 60 Gigabit, el MPC de cola mejorada de 60 Gigabit Ethernet en enrutadores serie MX y los conmutadores serie EX son capaces de analizar el campo de opción IP del encabezado del paquete IPv4. Esta capacidad también se admite en conmutadores de la serie EX. En el caso de las interfaces configuradas en esos MPC, todos los paquetes coincidentes mediante la |
|
|
|
No haga coincidir el campo de opción IP con el valor especificado o la lista de valores. Para obtener más información acerca de cómo especificar la |
|
|
|
Coincida si el paquete es un fragmento final de un paquete fragmentado. No haga coincidir el primer fragmento de un paquete fragmentado. Esta condición de coincidencia es un alias para los bits de condición de coincidencia Nota:
Para hacer coincidir los fragmentos primero y final, puede usar dos términos que especifican condiciones de coincidencia diferentes ( |
|
|
|
Coincida con uno o más de los siguientes niveles especificados de prioridad de pérdida de paquetes (PLP):
Los programadores utilizan el PLP junto con el algoritmo de descarte temprano aleatorio (RED) para controlar el descarte de paquetes durante los períodos de congestión. Para obtener más información acerca de PLP, consulte Administración de la congestión estableciendo la prioridad de pérdida de paquetes para diferentes flujos de tráfico y descripción general de la asignación de niveles de servicio a paquetes basados en varios campos de encabezado de paquete. |
|
|
|
No coincida con uno o más de los siguientes niveles especificados de prioridad de pérdida de paquetes (PLP):
|
|
|
|
Coincida con el campo de puerto de origen o destino UDP o TCP. Si configura esta condición de coincidencia, no puede configurar la Si configura esta condición de coincidencia para el tráfico IPv4, recomendamos que también configure la Si configura esta condición de coincidencia para el tráfico IPv6, recomendamos que también configure la En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados en |
|
|
|
No coincida con el campo de puerto de origen o destino UDP o TCP. Para obtener más información, consulte la condición de |
|
|
|
Haga coincidir los prefijos de los campos de dirección de origen o destino con los prefijos de la lista especificada. La lista de prefijos se define en el |
|
|
|
Coincida con el campo de tipo de protocolo IP. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (los valores de campo también se enumeran): |
|
|
|
No coincida con el campo de tipo de protocolo IP. Para obtener más información, consulte la condición de |
|
|
|
Coincida con la dirección IP de origen. No puede especificar las |
|
|
|
No coincida con la dirección IP de origen. No puede especificar las |
|
|
|
Coincida con el campo de puerto de origen UDP o TCP. No puede especificar las Si configura esta condición de coincidencia para el tráfico IPv4, recomendamos que también configure la Si configura esta condición de coincidencia para el tráfico IPv6, recomendamos que también configure la En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados con la |
|
|
|
No coincida con el campo de puerto de origen UDP o TCP. Para obtener más información, consulte la condición de |
|
|
|
Haga coincidir los prefijos de origen de la lista especificada. Especifique el nombre de una lista de prefijos definida en el |
|
|
|
Coincida con uno o más de los 6 bits de orden bajo en el campo de indicadores TCP de 8 bits en el encabezado TCP. Para especificar campos de bits individuales, puede especificar los siguientes sinónimos de texto o valores hexadecimales:
En una sesión TCP, la marca SYN solo se establece en el paquete inicial enviado, mientras que la marca ACK se establece en todos los paquetes enviados después del paquete inicial. Puede encadenar varios indicadores mediante los operadores lógicos de campo de bits. Para las condiciones combinadas de coincidencia de campo de bits, consulte las Si configura esta condición de coincidencia para el tráfico IPv4, recomendamos que también configure la Si configura esta condición de coincidencia para el tráfico IPv6, recomendamos que también configure la |
|
Si especifica una dirección IPv6 en una condición de coincidencia (las address, destination-addresso source-address condiciones de coincidencia), utilice la sintaxis para las representaciones de texto descritas en rfc 4291, arquitectura de dirección IP versión 6. Para obtener más información acerca de las direcciones IPv6, consulte "Descripción general de IPv6" en la biblioteca de protocolos de enrutamiento de Junos OS para dispositivos de enrutamiento.