Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
EN ESTA PÁGINA
 

Condiciones y acciones de coincidencia del filtro de firewall (enrutadores de la serie PTX)

Condiciones y acciones de coincidencia del filtro de firewall (enrutadores de la serie PTX)

Cada término de un filtro de firewall consta de condiciones de coincidencia y una acción. Las condiciones de coincidencia son los campos y valores que debe contener un paquete para que se considere una coincidencia. Puede definir condiciones de coincidencia única o múltiple en instrucciones de coincidencia. También puede incluir ninguna instrucción de coincidencia, en cuyo caso el término coincide con todos los paquetes.

Cuando un paquete coincide con un filtro, el enrutador realiza la acción especificada en el término. Además, puede especificar modificadores de acción para contar, reflejar, limitar la velocidad y clasificar paquetes. Si no se especifican condiciones de coincidencia para el término, el enrutador acepta el paquete de forma predeterminada.

Por PTX10003, puede aplicar varios filtros de firewall a una sola interfaz como una sola lista de entrada o lista de salida (filter input-list and output-list). De esta manera, solo se administra la configuración de una tarea de filtrado en un único filtro de firewall. Esto le da flexibilidad en entornos grandes cuando tiene un dispositivo configurado con muchas interfaces. Puede hacer lo mismo en la PTX10008, pero el enrutador solo admite la aplicación de múltiples filtros de firewall a una sola lista de entrada.

  • Tabla 1 Describe las condiciones de coincidencia que puede especificar al configurar un filtro de firewall. Algunas de las condiciones de coincidencia de rango numérico y campo de bits permiten especificar un sinónimo de texto. Para ver una lista de todos los sinónimos de una condición de coincidencia, escriba ? en el lugar apropiado de una instrucción.

  • Tabla 2 Muestra las acciones y modificadores de acción que se pueden especificar en un término.

Tabla 1: Condiciones de coincidencia admitidas

Condición de coincidencia

Description

Interfaces compatibles

address address [ except ]

Haga coincidir el campo de dirección de origen o destino, a menos que se incluya la except opción.

Interfaces IPv4 (inet) e IPv6 (inet6).

destination-address address [ except ]

Haga coincidir el campo de dirección de destino a menos que se incluya la except opción.

No puede especificar ambas address condiciones ni destination-address hacer coincidir en el mismo término.

Interfaces IPv4 (inet) e IPv6 (inet6).

destination-port number

Haga coincidir el campo Puerto de destino UDP o TCP. También debe configurar la protocol udp instrucción or protocol tcp match en el mismo término para especificar qué protocolo se está utilizando en el puerto.

No puede especificar las condiciones de coincidencia port y destination-port en el mismo término.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los números de puerto): afs(1483), bgp (179), biff (512), bootpc (68), bootps (67), cmd (514), cvspserver (2401), dhcp (67), domain (53), eklogin (2105), ekshell (2106), exec (512), finger (79), ftp (21), ftp-data (20), http (80), https (443), ident (113), imap (143), kerberos-sec (88), klogin (543), kpasswd (761), krb-prop (754), krbupdate (760), kshell (544), ldap (389), ldp (646), login (513), mobileip-agent (434), mobilip-mn (435), msdp (639), netbios-dgm (138), netbios-ns (137), netbios-ssn (139), nfsd (2049), nntp (119), ntalk (518), ntp (123), pop3 (110), pptp (1723), printer (515), radacct (1813), radius (1812), rip (520), rkinit (2108), smtp (25), snmp (161), snmptrap (162), snpp (444), socks (1080), ssh (22), sunrpc (111), syslog (514), tacacs (49), tacacs-ds (65), talk (517), telnet (23), tftp (69), timed (525), who (513) o xdmcp (177).

Interfaces IPv4 (inet) e IPv6 (inet6).

destination-port-except number

No coincida con el campo Puerto de destino UDP o TCP. Para obtener más información, consulte la condición de destination-port coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

destination-prefix-list name [ except ]

Haga coincidir los prefijos de destino en una lista, a menos que se incluya la except opción. Puede definir una lista de prefijos de direcciones IP en un alias de lista de prefijos para uso frecuente. Defina esta lista en el nivel jerárquico [edit policy-options] .

Interfaces IPv4 (inet) e IPv6 (inet6).

dscp number

Hacer coincidir el punto de código de servicios diferenciados (DSCP). El protocolo DiffServ utiliza el byte de tipo de servicio (ToS) en el encabezado IP. Los 6 bits más significativos de este byte forman el DSCP.

Puede especificar DSCP en formato hexadecimal, binario o decimal.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo):

  • be—Mejor esfuerzo (predeterminado)

  • ef (46)—como se define en RFC 3246, Un PHB de reenvío acelerado.

  • af11 (10), af12 (12), af13 (14);

    af21 (18), af22 (20), af23 (22);

    af31 (26), af32 (28), af33 (30);

    af41 (34), af42 (36), af43 (38)

    Estas cuatro clases, con tres precedencias de caída en cada clase, para un total de 12 puntos de código, se definen en RFC 2597, PHB de reenvío asegurado.

  • cs0, cs1, , cs3cs2, cs4, cs5, cs6, , cs7cs5

Interfaces IPv4 (inet) e IPv6 (inet6).

dscp-except number

No coincida con el número DSCP. Para obtener más información, consulte la condición de dscp coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

first-fragment

Coincidir si el paquete es el primer fragmento de un paquete fragmentado. No coincida si el paquete es un fragmento final de un paquete fragmentado. El primer fragmento de un paquete fragmentado tiene un valor de desplazamiento de fragmentos de 0.

Esta condición de coincidencia es un alias para la condición de coincidencia fragment-offset 0 de campo de bits.

Para hacer coincidir tanto el primer fragmento como el final, puede utilizar dos términos que especifiquen diferentes condiciones de coincidencia: first-fragment y is-fragment.

Interfaces IPv4 (inet).

forwarding-class class

Clasifique el paquete en una de las siguientes clases de reenvío predeterminadas o en una clase de reenvío definida por el usuario:

  • best-effort

  • fcoe

  • network-control

  • no-loss

Interfaces IPv4 (inet), IPv6 (inet6) y MPLS.

forwarding-class-except class

No coincida con la clase de reenvío del paquete. Para obtener más información, consulte la condición de forwarding-class coincidencia.

Interfaces IPv4 (inet), IPv6 (inet6) y MPLS.

fragment-flags number

Haga coincidir el campo de indicadores de fragmentación de IP de tres bits en el encabezado de IP.

En lugar del valor numérico del campo, puede especificar una de las siguientes palabras clave (también se enumeran los valores de campo): dont-(0x4), more-s (0x2) o reserved (0x8).

Interfaces IPv4 (inet).

fragment-offset value

Haga coincidir el campo de desplazamiento del fragmento de 13 bits en el encabezado IP. El valor es el desplazamiento, en unidades de 8 bytes, del mensaje general del datagrama al fragmento de datos. Especifique un valor numérico, un rango de valores o un conjunto de valores. Un valor de desplazamiento de 0 indica el primer fragmento de un paquete fragmentado.

La first-fragment condición de coincidencia es un alias para la condición de fragment-offset 0 coincidencia.

Para hacer coincidir tanto el primer fragmento como el final, puede utilizar dos términos que especifiquen diferentes condiciones de coincidencia (first-fragment y is-fragment).

Interfaces IPv4 (inet).

fragment-offset-except number

No coincida con el campo de desplazamiento de fragmentos de 13 bits.

Interfaces IPv4 (inet).

icmp-code message-code

Haga coincidir el campo de código del mensaje ICMP.

Si configura esta condición de coincidencia, le recomendamos que también configure la next-header icmp condición de coincidencia o next-header icmp6 en el mismo término.

Si configura esta condición de coincidencia, también debe configurar la icmp-type message-type condición de coincidencia en el mismo término. Un código de mensaje ICMP proporciona información más específica que un tipo de mensaje ICMP, pero el significado de un código de mensaje ICMP depende del tipo de mensaje ICMP asociado.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo). Las palabras clave se agrupan por el tipo de ICMP con el que están asociadas:

  • parámetro-problema: ip-header-bad(0), required-option-missing (1)

  • redirigir: redirect-for-host(1), redirect-for-network (0), redirect-for-tos-and-host (3), redirect-for-tos-and-net (2)

  • Tiempo excedido: ttl-eq-zero-during-reassembly(1), ttl-eq-zero-during-transit (0)

  • inalcanzable: communication-prohibited-by-filtering(13), destination-host-prohibited (10), destination-host-unknown (7), destination-network-prohibited (9), destination-network-unknown (6), fragmentation-needed (4), host-precedence-violation (14), host-unreachable (1), host-unreachable-for-TOS (12), network-unreachable (0), network-unreachable-for-TOS (11), port-unreachable (3), precedence-cutoff-in-effect (15), protocol-unreachable (2), source-host-isolated (8), source-route-failed (5)

Interfaces IPv4 (inet) e IPv6 (inet6).

icmp-code-except message-code

No coincida con el campo de código de mensaje ICMP. Para obtener más información, consulte la condición de icmp-code coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

icmp-type number

Haga coincidir el campo de tipo de mensaje ICMP. También debe configurar icmp o icmpv6 como protocol next-header tipo de coincidencia en el mismo término.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): echo-reply(0), echo-request (8), info-reply (16), info-request (15), mask-request (17), mask-reply (18), parameter-problem (12), redirect (5), router-advertisement (9), router-solicit (10), source-quench (4), time-exceeded (11), timestamp (13), timestamp-reply (14) o unreachable (3).

Consulte también icmp-code variable.

Interfaces IPv4 (inet) e IPv6 (inet6).

icmp-type-except message-type

No coincida con el campo de tipo de mensaje ICMP. Para obtener más información, consulte la condición de icmp-type coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

interface interface-name

Para los filtros de entrada, haga coincidir la interfaz en la que se recibió el paquete.

Para los filtros de salida, haga coincidir la interfaz en la que se envió el paquete.

Nota:

Los enrutadores de la serie PTX5000 no admiten conectar la interfaz (el vínculo interno entre los motores de enrutamiento y reenvío de paquetes) a lo0 (la interfaz de circuito cerrado), por ejemplo, para filtrar el em0.0 tráfico de origen propio, como Telnet y SSH, creando un filtro de firewall en lo0 para que coincida con el tráfico en em0.0. El siguiente fragmento de código proporciona contexto:

 
firewall
  filter core-protect {
            term Telnet {
                from {
                    protocol tcp;
                    destination-port telnet;
                    interface em0.0;
                }
                then accept;
            }
  }
}

Interfaces IPv4 (inet) e IPv6 (inet6).

interface-except number

No coincida con la interfaz lógica en la que se recibió el paquete. Para obtener más información, consulte la condición de interface coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

is-fragment

Coincidir si el paquete es un fragmento final de un paquete fragmentado. No coincida con el primer fragmento de un paquete fragmentado.

Nota:

Para hacer coincidir tanto el primer fragmento como el final, puede utilizar dos términos que especifiquen diferentes condiciones de coincidencia (first-fragment y is-fragment).

Para los enrutadores PTX10003 que ejecutan Junos OS evolucionado, todos los paquetes fragmentados, incluido el primer fragmento de paquetes fragmentados, coincidirán en cualquier término de filtro de firewall que contenga una coincidencia "es-fragmento".

Interfaces IPv4 (inet).

loss-priority level

Haga coincidir la prioridad de pérdida de paquetes (PLP).

Especifique uno o varios niveles: low, medium-low, medium-high, o high.

Nota:

El loss-priority modificador de acción no se admite en combinación con la policer acción.

Interfaces IPv4 (inet), IPv6 (inet6) y MPLS.

loss-priority-except level

No coincida con el nivel de PLP. Para obtener más información, consulte la condición de loss-priority coincidencia.

Interfaces IPv4 (inet), IPv6 (inet6) y MPLS.

next-header header-type

Haga coincidir el primer campo de encabezado siguiente de 8 bits del paquete.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): ah(51), dstops (60), egp (8), esp (50), fragment (44), gre (47), hop-by-hop (0), icmp (1), icmp6 (58), icmpv6 (58), igmp (2), ipip (4), ipv6 (41), mobility (135), no-next-header (59), ospf (89), pim (103), routing (43), rsvp (46), sctp (132), tcp (6), udp  (17) o vrrp (112).

Interfaces IPv6 (inet6).

next-header-except header-type

No coincida con el campo Encabezado siguiente de 8 bits que identifica el tipo de encabezado entre el encabezado IPv6 y la carga. Para obtener más información, consulte el tipo de next-header coincidencia.

Interfaces IPv6 (inet6)

packet-length bytes

Haga coincidir la longitud del paquete recibido, en bytes. La longitud se refiere únicamente al paquete IP, incluido el encabezado del paquete, y no incluye ninguna sobrecarga de encapsulación de capa 2. También puede especificar un rango de valores que deben coincidir.

Interfaces IPv4 (inet) e IPv6 (inet6).

packet-length-except bytes

No coincida con la longitud del paquete recibido, en bytes. Para obtener más información, consulte el tipo de packet-length coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

port number

Haga coincidir el campo Puerto de origen o destino UDP o TCP. También debe configurar la protocol udp instrucción or protocol tcp match en el mismo término para especificar qué protocolo se está utilizando en el puerto.

No puede configurar la condición de destination-port coincidencia o la condición de source-port coincidencia en el mismo término.

En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados en destination-port.

Interfaces IPv4 (inet) e IPv6 (inet6).

port-except number

No coincida con el campo de puerto UDP o TCP de origen o destino. Para obtener más información, consulte la condición de port coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

precedence ip-precedence-value

Haga coincidir el campo de prioridad de IP.

En lugar del valor de campo numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): critical-ecp(0xa0), flash (0x60), flash-override (0x80), immediate (0x40), internet-control (0xc0), net-control (0xe0), priority (0x20) o routine (0x00). Puede especificar la prioridad en formato hexadecimal, binario o decimal.

Interfaces IPv4 (inet).

precedence-except ip-precedence-value

No coincida con el campo de prioridad de IP.

Interfaces IPv4 (inet).

protocol number

Haga coincidir el campo Tipo de protocolo IPv4. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores numéricos):

hop-by-hop (0),icmp (1), icmp6, igmp (2)no-next-header (59)ipip (4)fragment (44)routing (43)rsvp (46)ipv6 (41)gre (47)udp (17)esp (50)ah (51)egp (8)tcp (6)dstopts (60)ospf (89)icmp6 (58)pim (103), , vrrp (112)sctp (132)

Interfaces IPv4 (inet).

protocol-except number

No coincida con el campo Tipo de protocolo IP. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): ah(51), dstopts (60), egp (8), esp (50), fragment (44), gre (47), hop-by-hop (0), icmp (1), icmp6 (58), icmpv6 (58), igmp (2), ipip (4), ipv6 (41), ospf (89), pim (103), rsvp (46), sctp (132), tcp (6), udp  (17) o vrrp (112).

Interfaces IPv4 (inet).

source-address ip-address

Campo Dirección IP de origen, que es la dirección del nodo que envió el paquete.

Interfaces IPv4 (inet) e IPv6 (inet6).

source-address address [ except ]

Haga coincidir la dirección IP del nodo de origen que envía el paquete, a menos que se incluya la except opción. Si se incluye la opción, no coincida con la dirección IP del nodo de origen que envía el paquete.

No puede especificar las condiciones de coincidencia address y source-address en el mismo término.

Interfaces IPv4 (inet) e IPv6 (inet6).

source-port value

Haga coincidir el puerto de origen TCP o UDP. También debe configurar la protocol udp instrucción o protocol tcp match en el mismo término.

En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados con la destination-port number condición de coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

source-port-except number

No coincida con el campo Puerto de origen UDP o TCP. Para obtener más información, consulte la condición de source-port coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

source-prefix-list prefix-list

Lista de prefijos de origen IP. Puede definir una lista de prefijos de direcciones IP en un alias de lista de prefijos para uso frecuente. Defina esta lista en el nivel jerárquico [edit policy-options] .

Interfaces IPv4 (inet) e IPv6 (inet6).

tcp-flags value

Haga coincidir uno o más de los 6 bits de orden bajo en el campo Indicadores TCP de 8 bits del encabezado TCP.

Para especificar campos de bits individuales, puede especificar los siguientes sinónimos de texto o valores hexadecimales:

  • fin(0x01)

  • syn(0x02)

  • rst(0x04)

  • push(0x08)

  • ack(0x10)

  • urgent(0x20)

En una sesión TCP, el indicador SYN se establece sólo en el paquete inicial enviado, mientras que el indicador ACK se establece en todos los paquetes enviados después del paquete inicial.

Puede encadenar varios indicadores mediante los operadores lógicos de campo de bits.

Si configura esta condición de coincidencia, se recomienda configurar también la instrucción de protocol tcp coincidencia en el mismo término para especificar que se está utilizando el protocolo TCP en el puerto.

Solo para el tráfico IPv4, esta condición de coincidencia no comprueba implícitamente si el datagrama contiene el primer fragmento de un paquete fragmentado. Para comprobar esta condición solo para el tráfico IPv4, utilice la condición de first-fragment coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

traffic-class value

Campo de 8 bits que especifica la prioridad de clase de servicio (CoS) del paquete. El campo traffic-class se utiliza para especificar un valor de punto de código DiffServ (DSCP). Este campo se usaba anteriormente como el campo de tipo de servicio (ToS) en IPv4 y la semántica de este campo (por ejemplo, DSCP) es idéntica a la de IPv4.

Puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo):

af11 (10), af12 (12), , af21 (18)af13 (14), af22 (20)af23 (22), af31 (26), af33 (30)af32 (28), , af41 (34), af42 (36), af43 (38), , cs0 (0), cs1 (8)cs3 (24)cs4 (32)cs5 (40)cs2 (16)cs6 (48), , , cs7 (56)ef (46)

Interfaces IPv6 (inet6).

traffic-class-except number

No coincida con el campo de 8 bits que especifica la prioridad CoS del paquete. Para obtener más información, consulte la descripción del traffic-class partido.

Interfaces IPv6 (inet6).

ttl number

Haga coincidir el número de tiempo de vida IPv4 o IPv6. Especifique un valor TTL o un rango de valores TTL. Para number, puede especificar uno o varios valores desde 0 .255

Interfaces IPv4 (inet) e IPv6 (inet6).

ttl-except number

No coincida con el número TTL IPv4 o IPv6. Para obtener más información, consulte la condición de ttl coincidencia.

Interfaces IPv4 (inet) e IPv6 (inet6).

vxlan

Especifique un valor numérico o un rango de valores numéricos para el VNI. Aplique el filtro en la interfaz de entrada.

  • vni vni-value: hace coincidir el VNI.

  • vni-except vni-value: no coincide con el VNI.

Nota:

A partir de Junos OS Evolved versión 23.4R2, puede filtrar vni valores numéricos y vni-except de filtro en condiciones de vxlan coincidencia en interfaces de entrada y salida.

Interfaces IPv4 (inet).

Utilice then instrucciones para definir las acciones que deben producirse si un paquete coincide con todas las condiciones de una from instrucción. Tabla 2 muestra las acciones que puede especificar en un término. (Si no incluye una then instrucción, el sistema acepta paquetes que coincidan con el filtro).

Tabla 2: Acciones y modificadores de acción

Acción

Description

accept

Aceptar un paquete. Esta es la acción predeterminada para los paquetes que coinciden con un término.

discard

Descartar un paquete silenciosamente sin enviar un mensaje de Protocolo de mensajes de control de Internet (ICMP).

count counter-name

Cuente el número de paquetes que coincidan con el término.

forwarding-class class

Clasifique el paquete en una de las siguientes clases de reenvío predeterminadas o en una clase de reenvío definida por el usuario:

  • best-effort

  • fcoe

  • mcast

  • network-control

  • no-loss

Nota:

La forwarding-class acción se admite en interfaces IPv4, IPv6 y MPLS.

log

Registre la información del encabezado del paquete en el motor de enrutamiento. Para ver esta información, ingrese el comando del show firewall log modo operativo.

Nota:

El log modificador de acción solo se admite en interfaces de entrada IPv4 e IPv6.

loss-priority level

Establezca la prioridad de pérdida de paquetes (PLP).

policer policer-name

Enviar paquetes a un policía (con el fin de aplicar la limitación de velocidad). El PTX10003 admite aplicadores de dos colores, de una sola velocidad de tres colores (srTCM) y de dos marcadores de tres colores (trTCM).

Nota:

El policer modificador de acción no se admite en combinación con la loss-priority acción.

redirect instance-name

(Solo se admite en dispositivos PTX10004, PTX10008 y PTX10016 que ejecutan Junos Evolved OS versión 22.1R1).

Enviar paquetes al controlador P4, como se especifica en la instancia definida en el [services inline-monitoring instance instance-name controller p4] nivel de la jerarquía de Junos.

reject message-type

Descarte un paquete y envíe un mensaje ICMPv4 o ICMPv6 de "destino inalcanzable" (tipo 3). Para registrar los paquetes rechazados, configure el modificador de acción syslog .

Puede especificar uno de los siguientes tipos de mensajes: administratively-prohibited (default), bad-host-tos, bad-network-tos, host-prohibited, host-unknown, host-unreachable, network-prohibited, network-unknown, network-unreachable, port-unreachable, precedence-cutoff, precedence-violation, protocol-unreachable, source-host-isolated, source-route-failed, .

Nota:

No se admite el tcp-reset tipo de mensaje.

Si no especifica un tipo de mensaje, la notificación ICMP "destino inalcanzable" se envía con el mensaje predeterminado "comunicación filtrada administrativamente".

syslog

Registre una alerta para este paquete.

routing-instance instance-name

Reenvíe paquetes coincidentes a una instancia de enrutamiento virtual. Los paquetes se pueden reenviar a la instancia predeterminada.

Soportado en virtual-router y forwarding instance-types.

Condiciones y acciones de coincidencia del filtro de firewall IPv6 (PTX10001-20C)

En este tema se describe la coincidencia de condiciones, acciones y modificadores de acción del filtro de firewall IPv6 para enrutadores PTX10001-20C.

Cada término de un filtro de firewall consta de condiciones de coincidencia y una acción. Las condiciones de coincidencia son los campos y valores que debe contener un paquete para que se considere una coincidencia. Puede definir condiciones de coincidencia única o múltiple en instrucciones de coincidencia. También puede incluir la instrucción no coincide, en cuyo caso el término coincide con todos los paquetes.

Cuando un paquete coincide con un filtro, el enrutador realiza la acción especificada en el término. También puede especificar modificadores de acción para contar, reflejar y clasificar paquetes. Si no se especifican condiciones de coincidencia para el término, el enrutador acepta el paquete de forma predeterminada.

Nota:

En enrutadores PTX10001-20C, solo puede aplicar un filtro de firewall en interfaces IPv6 en la dirección de entrada.

  • Tabla 3 Describe las condiciones de coincidencia admitidas.

  • Tabla 4 muestra las acciones que puede especificar en un término. Si no incluye una then instrucción, el sistema acepta paquetes que coincidan con el filtro.

  • Tabla 5 muestra los modificadores de acción que puede utilizar para contar, reflejar, limitar la velocidad y clasificar paquetes.

Tabla 3: Condiciones de coincidencia admitidas por IPv6

Condición de coincidencia

Description

address address [ except ]

Haga coincidir el campo Dirección de origen o destino IPv6, a menos que se incluya la except opción. Si se incluye la opción, no coincida con el campo Dirección de origen o destino IPv6.

apply-groups

Especifique de qué grupos desea heredar los datos de configuración. Puede especificar más de un nombre de grupo. Debe enumerarlos en orden de prioridad de herencia. Los datos de configuración del primer grupo tienen prioridad sobre los datos de los grupos siguientes.

apply-groups-except

Especifique de qué grupos no desea heredar los datos de configuración. Puede especificar más de un nombre de grupo.

destination-address address [ except ]

Haga coincidir el campo Dirección de destino IPv6 a menos que se incluya la except opción. Si se incluye la opción, no coincida con el campo Dirección de destino IPv6.

No puede especificar las condiciones de coincidencia address y destination-address en el mismo término.

destination-port number

Haga coincidir el campo Puerto de destino UDP o TCP.

No puede especificar las condiciones de coincidencia port y destination-port en el mismo término.

Si configura esta condición de coincidencia, se recomienda configurar también la next-header udp condición de coincidencia o next-header tcp en el mismo término para especificar qué protocolo se está utilizando en el puerto.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los números de puerto): afs(1483), bgp (179), biff (512), bootpc (68), bootps (67), cmd (514), cvspserver (2401), dhcp (67), domain (53), eklogin (2105), ekshell (2106), exec (512), finger (79), ftp (21), ftp-data (20), http (80), https (443), ident (113), imap (143), kerberos-sec (88), klogin (543), kpasswd (761), krb-prop (754), krbupdate (760), kshell (544), ldap (389), ldp (646), login (513), mobileip-agent (434), mobilip-mn (435), msdp (639), netbios-dgm (138), netbios-ns (137), netbios-ssn (139), nfsd (2049), nntp (119), ntalk (518), ntp (123), pop3 (110), pptp (1723), printer (515), radacct (1813), radius (1812), rip (520), rkinit (2108), smtp (25), snmp (161), snmptrap (162), snpp (444), socks (1080), ssh (22), sunrpc (111), syslog (514), tacacs (49), tacacs-ds (65), talk (517), telnet (23), tftp (69), timed (525), who (513) o xdmcp (177).

destination-port-except number

No coincida con el campo Puerto de destino UDP o TCP. Para obtener más información, consulte la condición de destination-port coincidencia.

destination-prefix-list prefix-list-name [ except ]

Haga coincidir el prefijo de destino IPv6 con la lista especificada, a menos que se incluya la except opción. Si se incluye la opción, no haga coincidir el prefijo de destino IPv6 con la lista especificada.

La lista de prefijos se define en el nivel de [edit policy-options prefix-list prefix-list-namejerarquía ].

icmp-code message-code

Haga coincidir el campo de código del mensaje ICMP.

Si configura esta condición de coincidencia, le recomendamos que también configure la next-header icmp condición de coincidencia o next-header icmp6 en el mismo término.

Un código de mensaje ICMP proporciona información más específica que un tipo de mensaje ICMP, pero el significado de un código de mensaje ICMP depende del tipo de mensaje ICMP asociado.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo). Las palabras clave se agrupan por el tipo de ICMP con el que están asociadas:

  • parámetro-problema: ip6-header-bad(0), unrecognized-next-header (1), unrecognized-option (2)

  • Tiempo excedido: ttl-eq-zero-during-reassembly(1), ttl-eq-zero-during-transit (0)

  • Destino inalcanzable: administratively-prohibited(1), address-unreachable (3), no-route-to-destination (0), port-unreachable (4)

icmp-code-except message-code

No coincida con el campo de código de mensaje ICMP. Para obtener más información, consulte la condición de icmp-code coincidencia.

message-type

Haga coincidir el campo de tipo de mensaje ICMP.

También debe configurar icmp o next-header icmp6 hacer coincidir la condición en el mismo término.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): certificate-path-advertisement (149), certificate-path-solicitation (148), destination-unreachable (1), echo-reply (129), echo-request (128), home-agent-address-discovery-reply (145), home-agent-address-discovery-request (144), inverse-neighbor-discovery-advertisement (142), inverse-neighbor-discovery-solicitation (141), membership-query (130), membership-report (131), membership-termination (132), mobile-prefix-advertisement-reply (147), mobile-prefix-solicitation (146), neighbor-advertisement (136), neighbor-solicit (135), node-information-reply (140), node-information-request (139), packet-too-big (2), parameter-problem (4), private-experimentation-100 (100), private-experimentation-101 (101), private-experimentation-200 (200), private-experimentation-201 (201), redirect (137), router-advertisement (134), router-renumbering (138), router-solicit (133) o time-exceeded (3).

Para private-experimentation-201 (201), también puede especificar un rango de valores entre corchetes.

icmp-type-except message-type

No coincida con el campo de tipo de mensaje ICMP. Para obtener más información, consulte la condición de icmp-type coincidencia.

next

Continúe con el siguiente término en un filtro.

next-header header-type

Haga coincidir el primer campo Encabezado siguiente de 8 bits del paquete.

En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los valores de campo): ah(51), dstops (60), egp (8), esp (50), fragment (44), gre (47), hop-by-hop (0), icmp (1), icmp6 (58), icmpv6 (58), igmp (2), ipip (4), ipv6 (41), mobility (135), no-next-header (59), ospf (89), pim (103), routing (43), rsvp (46), sctp (132), tcp (6), udp  (17) o vrrp (112).

Nota:

next-header icmp6 y next-header icmpv6 las condiciones de coincidencia realizan la misma función. next-header icmp6 es la opción preferida. next-header icmpv6 está oculto en la CLI de Junos OS.

next-header-except header-type

No coincida con el campo Encabezado siguiente de 8 bits que identifica el tipo de encabezado entre el encabezado IPv6 y la carga. Para obtener más información, consulte el tipo de next-header coincidencia.

port number

Haga coincidir el campo Puerto de origen o destino UDP o TCP.

Si configura esta condición de coincidencia, no puede configurar la condición de destination-port coincidencia ni la condición de source-port coincidencia en el mismo término.

Si configura esta condición de coincidencia, se recomienda configurar también la next-header udp condición de coincidencia o next-header tcp en el mismo término para especificar qué protocolo se está utilizando en el puerto.

En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados en destination-port.

port-except number

No coincida con el campo Puerto de origen o destino UDP o TCP. Para obtener más información, consulte la condición de port coincidencia.

port-mirror instance-name

Espejo de puerto del paquete.

port-mirror-instance instance-name

El puerto refleja un paquete para una instancia.

prefix-list prefix-list-name [ except ]

Haga coincidir los prefijos de los campos de dirección de origen o destino con los prefijos de la lista especificada, a menos que se incluya la except opción. Si se incluye la opción, no haga coincidir los prefijos de los campos de dirección de origen o destino con los prefijos de la lista especificada.

La lista de prefijos se define en el nivel jerárquico [edit policy-options prefix-list prefix-list-name] .

sample

Muestree el paquete.

source-address address [ except ]

Haga coincidir la dirección IPv6 del nodo de origen que envía el paquete, a menos que se incluya la except opción. Si se incluye la opción, no coincida con la dirección IPv6 del nodo de origen que envía el paquete.

No puede especificar las condiciones de coincidencia address y source-address en el mismo término.

source-port number

Haga coincidir el campo Puerto de origen UDP o TCP.

No puede especificar las port condiciones y source-port coincidir en el mismo término.

Si configura esta condición de coincidencia, se recomienda configurar también la next-header udp condición de coincidencia o next-header tcp en el mismo término para especificar qué protocolo se está utilizando en el puerto.

Nota:

Para Junos OS Evolved, debe configurar la next-header udp instrucción or next-header tcp match en el mismo término.

En lugar del valor numérico, puede especificar uno de los sinónimos de texto enumerados con la destination-port number condición de coincidencia.

source-port-except number

No coincida con el campo Puerto de origen UDP o TCP. Para obtener más información, consulte la condición de source-port coincidencia.

source-prefix-list name [ except ]

Haga coincidir el prefijo de dirección IPv6 del campo de origen del paquete, a menos que se incluya la except opción. Si se incluye la opción, no coincida con el prefijo de dirección IPv6 del campo de origen del paquete.

Especifique un nombre de lista de prefijos definido en el nivel de [edit policy-options prefix-list prefix-list-name] jerarquía.
Nota:

Si especifica una dirección IPv6 en una condición de coincidencia (las condiciones , o source-address de coincidenciaaddressdestination-address), use la sintaxis para las representaciones de texto descritas en RFC 4291, Arquitectura de direccionamiento IP versión 6. Para obtener más información acerca de las direcciones IPv6, consulte Descripción general de IPv6 y Estándares IPv6 compatibles.
Tabla 4: Acciones para filtros de firewall IPv6

Acción

Description

accept

Aceptar un paquete. Esta es la acción predeterminada para los paquetes que coinciden con un término.

discard

Descartar un paquete silenciosamente sin enviar un mensaje de Protocolo de mensajes de control de Internet (ICMP).

redirect instance-name

(Solo se admite en dispositivos PTX10004, PTX10008 y PTX10016 que ejecutan Junos Evolved OS versión 22.1R1).

Enviar paquetes al controlador P4, como se especifica en la instancia definida en el nivel de [services inline-monitoring instance instance-name controlador p4] de la jerarquía de Junos.

Tabla 5: Modificadores de acción para filtros de firewall IPv6

Modificador de acción

Description

count counter-name

Cuente el número de paquetes que coincidan con el término.

forwarding-class class

Clasifique el paquete en una de las siguientes clases de reenvío predeterminadas o en una clase de reenvío definida por el usuario:

  • best-effort

  • fcoe

  • mcast

  • network-control

  • no-loss

Nota:

Para configurar una clase de reenvío, también debe configurar la prioridad de pérdida.

loss-priority (low | medium-low | medium-high | high)

Establezca la prioridad de pérdida de paquetes (PLP).

Temas relacionados