Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

El filtro de firewall coincide con las condiciones según los campos de dirección

Puede configurar condiciones de coincidencia de filtros de firewall que evalúan los campos de direcciones de paquetes (direcciones de origen y destino IPv4, direcciones de origen y destino IPv6 o direcciones de origen y destino de control de acceso a medios (MAC)) con direcciones o valores de prefijo especificados.

La coincidencia implícita en la dirección '0/0 excepto' para el filtro de firewall coincide con condiciones basadas en campos de dirección

Cada condición de coincidencia de filtro de firewall basada en un conjunto de direcciones o prefijos de dirección está asociada a una coincidencia implícita en la dirección (para tráfico IPv4 o VPLS) o (para tráfico IPv6).0.0.0.0/0 except0:0:0:0:0:0:0:0/0 except Como resultado, cualquier paquete cuyo campo de dirección especificado no coincida con ninguna de las direcciones o prefijos de dirección especificados no coincide con todo el término.

Hacer coincidir un campo de dirección con una máscara o prefijo de subred

Puede especificar una condición de coincidencia única para que coincida con una dirección de origen o dirección de destino que se encuentre dentro de un prefijo de dirección especificado.

Notación de máscara de subred IPv4

Para una dirección IPv4, puede especificar un valor de máscara de subred en lugar de una longitud de prefijo. Por ejemplo:

Notación de prefijo

Para especificar el prefijo de dirección, utilice la notación /.prefixprefix-length En el ejemplo siguiente, se produce una coincidencia si una dirección de destino coincide con el prefijo :10.0.0.0/8

Longitud predeterminada del prefijo para direcciones IPv4

Si no especifica una dirección IPv4, la longitud predeterminada del prefijo es ./prefix-length/32 En el ejemplo siguiente se ilustra el valor predeterminado del prefijo:

Longitud predeterminada del prefijo para direcciones IPv6

Si no especifica una dirección IPv6, la longitud predeterminada del prefijo es ./prefix-length/128 En el ejemplo siguiente se ilustra el valor predeterminado del prefijo:

Longitud predeterminada del prefijo para direcciones MAC

Si no especifica una dirección MAC (Media Access Control) de un paquete de puente VPLS, CCC de capa 2 o capa 2, la longitud predeterminada del prefijo es ./prefix-length/48 En el ejemplo siguiente se ilustra el valor predeterminado del prefijo:

Hacer coincidir un campo de dirección con un valor excluido

Para las condiciones de coincidencia dirección-campo, puede incluir la palabra clave para especificar que se produce una coincidencia para un campo de dirección que no coincide con la dirección o el prefijo especificados.except

Exclusión de direcciones IP en tráfico IPv4 o IPv6

Para las siguientes condiciones de coincidencia IPv4 e IPv6, puede incluir la palabra clave para especificar que se produce una coincidencia para un campo de dirección IP que no coincida con la dirección IP o el prefijo especificados:except

  • address address except: se produce una coincidencia si la dirección IP de origen o la dirección IP de destino no coinciden con la dirección o el prefijo especificados.

  • source-address address except: se produce una coincidencia si la dirección IP de origen no coincide con la dirección o el prefijo especificados.

  • destination-address address except: se produce una coincidencia si la dirección IP de destino no coincide con la dirección o el prefijo especificados.

En el ejemplo siguiente, se produce una coincidencia para cualquier dirección de destino IPv4 que caiga bajo el prefijo, excepto para las direcciones que caen bajo .172.0.0.0/8172.16.0.0/16 Todas las demás direcciones implícitamente no coinciden con esta condición.

En el ejemplo siguiente, se produce una coincidencia para cualquier dirección de destino IPv4 que no se encuentre dentro del prefijo :10.1.1.0/24

Exclusión de direcciones IP en VPLS o tráfico de puente de capa 2

Para las siguientes condiciones de coincidencia de puente de capa 2 y VPLS solo en enrutadores de la serie MX, puede incluir la palabra clave para especificar que se produzca una coincidencia para un campo de dirección IP que no coincida con la dirección IP o el prefijo especificados:except

  • ip-address address except: se produce una coincidencia si la dirección IP de origen o la dirección IP de destino no coinciden con la dirección o el prefijo especificados.

  • source-ip-address address except: se produce una coincidencia si la dirección IP de origen no coincide con la dirección o el prefijo especificados.

  • destination-ip-address address except: se produce una coincidencia si la dirección IP de destino no coincide con la dirección o el prefijo especificados.

En el siguiente ejemplo para filtrar el tráfico VPLS en un enrutador de la serie MX, se produce una coincidencia si la dirección IP de origen se encuentra dentro del intervalo de excepciones y la dirección IP de destino coincide :55.0.1.0/255.0.255.05172.16.5.0/8

Exclusión de direcciones MAC en VPLS o tráfico de puente de capa 2

Para las siguientes condiciones de coincidencia de tráfico de puente VPLS o de capa 2, puede incluir la palabra clave para especificar que se produce una coincidencia para un campo de dirección MAC que no coincida con la dirección MAC o el prefijo especificados:except

  • source-mac-address address except: se produce una coincidencia si la dirección MAC de origen no coincide con la dirección o el prefijo especificados.

  • destination-mac-address address except: se produce una coincidencia si la dirección MAC de destino no coincide con la dirección o el prefijo especificados.

Excluir todas las direcciones requiere una coincidencia explícita en la dirección '0/0'

Si especifica una condición de coincidencia de filtro de firewall que consta de una o más condiciones de coincidencia de excepción de dirección (condiciones de coincidencia de dirección que utilizan la palabra clave) pero no hay condiciones de coincidencia de direcciones coincidentes, los paquetes que no coinciden con ninguno de los prefijos configurados fallan en la operación de coincidencia general.except Para configurar un término de filtro de firewall de condiciones de coincidencia de excepción de dirección para que coincida con cualquier dirección que no esté en la lista de prefijos, incluya una coincidencia explícita de para que el término contenga una dirección coincidente.0/0

Para el siguiente ejemplo de filtro de firewall para tráfico IPv4, el término no puede descartar el tráfico coincidente y falta el contador en la salida del comando de modo operativo:from-trusted-addressesINTRUDERS-COUNTshow firewall

Para hacer que un término de filtro de condiciones de coincidencia de excepción de dirección coincida con cualquier dirección que no esté en la lista de prefijos, incluya una coincidencia explícita de en el conjunto de condiciones de coincidencia:0/0

Con la adición de la dirección del prefijo de origen a la condición de coincidencia, el término descarta el tráfico coincidente y el contador INTRUDERS-COUNT se muestra en la salida del comando del modo operativo:0.0.0.0/0from-trusted-addressesshow firewall

Coincidir cualquiera de los campos de dirección IP con un único valor

Solo para el tráfico IPv4 e IPv6 y para el tráfico de puente VPLS y de capa 2 solo en enrutadores de la serie MX, puede usar una condición de coincidencia única para hacer coincidir una sola dirección o un valor de prefijo con el campo de dirección IP de origen o destino.

Hacer coincidir el campo de dirección IP en el tráfico IPv4 o IPv6

Para el tráfico IPv4 o IPv6, puede utilizar una sola condición de coincidencia para especificar la misma dirección o valor de prefijo que la coincidencia para el campo de dirección IP de origen o destino. En lugar de crear términos de filtro independientes que especifiquen la misma dirección para las condiciones de coincidencia y, solo se usa la condición de coincidencia.source-addressdestination-addressaddress Se produce una coincidencia si la dirección IP de origen o la dirección IP de destino coinciden con la dirección o el prefijo especificados.

Si utiliza la palabra clave con la condición de coincidencia, se produce una coincidencia si tanto la dirección IP de origen como la dirección IP de destino coinciden con el valor especificado antes de que se aplique la excepción.exceptaddress

En un término de filtro de firewall que especifica la o la condición de coincidencia, tampoco puede especificar la condición de coincidencia.source-addressdestination-addressaddress

Hacer coincidir el campo de dirección IP en VPLS o en el tráfico de puente de capa 2

Solo para el tráfico de puente de capa 2 o VPLS en enrutadores de la serie MX, puede usar una condición de coincidencia única para especificar el mismo valor de dirección o prefijo que la coincidencia para el campo de dirección IP de origen o destino. En lugar de crear términos de filtro independientes que especifiquen la misma dirección para las condiciones de coincidencia y, solo se usa la condición de coincidencia.source-ip-addressdestination-ip-addressip-address Se produce una coincidencia si la dirección IP de origen o la dirección IP de destino coinciden con la dirección o el prefijo especificados.

Si utiliza la palabra clave con la condición de coincidencia, se produce una coincidencia si tanto la dirección IP de origen como la dirección IP de destino coinciden con el valor especificado antes de que se aplique la excepción.exceptip-address

En un término de filtro de firewall que especifica la o la condición de coincidencia, tampoco puede especificar la condición de coincidencia.source-ip-addressdestination-ip-addressip-address

Hacer coincidir un campo de dirección con prefijos no contiguos

Solo para el tráfico IPv4, especifique una condición de coincidencia única para que el campo Dirección IP de origen o destino coincida con cualquier prefijo especificado. No es necesario que los prefijos sean contiguos. Es decir, los prefijos bajo la condición de coincidencia o no necesitan ser adyacentes o vecinos entre sí.source-addressdestination-address

En el ejemplo siguiente, se produce una coincidencia si una dirección de destino coincide con el prefijo o el prefijo:10.0.0.0/8192.168.0.0/32

El orden en el que se especifican los prefijos dentro de la condición de coincidencia no es significativo. Los paquetes se evalúan con todos los prefijos de la condición de coincidencia para determinar si se produce una coincidencia. Si los prefijos se superponen, se utilizan las reglas de coincidencia más larga para determinar si se produce una coincidencia. Una condición de coincidencia de prefijos no contiguos incluye una instrucción implícita , lo que significa que cualquier prefijo que no coincida con ningún prefijo incluido en la condición de coincidencia se considera explícitamente que no coincide.0/0 except

Debido a que los prefijos son independientes del orden y usan reglas de coincidencia más larga, los prefijos más largos subsumen a los más cortos siempre que sean del mismo tipo (especifique o no).except Esto se debe a que cualquier cosa que coincida con el prefijo más largo también coincidiría con el más corto.

Considere el siguiente ejemplo:

Dentro de la condición de coincidencia, se ignoran dos direcciones.source-address El valor se omite porque pertenece a la dirección , que es del mismo tipo.172.16.3.0/16172.16.0.0/10 El valor se omite porque está subsumido por el valor de coincidencia implícita .10.2.2.2 except0.0.0.0/0 except

Supongamos que este filtro de firewall evalúa la siguiente dirección IP de origen:

  • Dirección IP de origen: esta dirección coincide con el prefijo y, por lo tanto, se realiza la acción de la instrucción.172.16.1.2172.16.0.0/10then

  • Dirección IP de origen: esta dirección coincide con el prefijo.172.16.2.2172.16.2.0/24 Dado que este prefijo se niega (es decir, incluye la palabra clave), se produce una discrepancia explícita.except Se evalúa el siguiente término en el filtro, si lo hay. Si no hay más términos, el paquete se descarta.

  • Dirección IP de origen: esta dirección no coincide con ninguno de los prefijos incluidos en la condición.10.1.2.3source-address En su lugar, coincide con el implícito al final de la lista de prefijos configurados bajo la condición de coincidencia y se considera una discrepancia.0.0.0.0/0 exceptsource-address

    La instrucción se omite porque pertenece a la dirección —ambas son del mismo tipo.172.16.3.0/24172.16.0.0/10

    La instrucción se omite porque está subsumida por la instrucción implícita al final de la lista de prefijos configurados bajo la condición de coincidencia.10.2.2.2 except0.0.0.0/0 exceptsource-address

Mejores prácticas:

Cuando un término de filtro de firewall incluye la condición de coincidencia y un término posterior incluye la condición de coincidencia para la misma dirección, los paquetes pueden ser procesados por este último término antes de ser evaluados por cualquier término intermedio.from address addressfrom source-address address Como resultado, los paquetes que deberían ser rechazados por los términos intermedios podrían ser aceptados en su lugar, o los paquetes que deberían ser aceptados podrían ser rechazados en su lugar.

Para evitar que esto ocurra, le recomendamos que haga lo siguiente. Para cada término de filtro de firewall que contenga la condición de coincidencia, reemplace ese término por dos términos separados:from address address uno que contenga la condición de coincidencia y otro que contenga la condición de coincidencia.from source-address addressfrom destination-address address

Hacer coincidir un campo de dirección con una lista de prefijos

Puede definir una lista de prefijos de direcciones IPv4 o IPv6 para usarlos en una instrucción de política de enrutamiento o en una condición de coincidencia de filtro de firewall sin estado que evalúe los campos de dirección de paquete.

Para definir una lista de prefijos de direcciones IPv4 o IPv6, incluya la instrucción.prefix-list prefix-list

Puede incluir la instrucción en los siguientes niveles jerárquicos:

  • [edit policy-options]

  • [edit logical-systems logical-system-name policy-options]

Después de definir una lista de prefijos, puede utilizarla al especificar una condición de coincidencia de filtro de firewall basada en un prefijo de dirección IPv4 o IPv6.