Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Условия совпадения фильтра межсетевых экранов

Прежде чем определять термины для фильтров межсетевого экрана, необходимо понять, как обрабатываются условия в термине и как указать интерфейс, числовую цифру, адрес и условия совпадения фильтра бит-поля для достижения желаемых результатов фильтра.

Условия совпадения фильтра

В from утверждениях термин фильтра межсетевых экранов указываются условия, которые должны соответствовать пакету для действия в then необходимом выражении. Для выполнения действия должны быть выполнены все условия. Порядок указания условий совпадения не является важным, поскольку пакет должен соответствовать всем условиям за один и тот же срок.

Если указать несколько значений для одного и того же условия, совпадение с любым из этих значений соответствует этому условию. Например, если с помощью утверждения указать несколько IP-адресов источников, то пакет, содержащий любой из этих source-address исходных IP-адресов, соответствует условию. В некоторых случаях можно указать несколько значений для одного условия, заключив возможные значения в квадратных скобках, как в:

В других случаях необходимо ввести несколько екратов, например в:

Если в термине не указано условий совпадения, этот термин соответствует всем пакетам.

Прим.:

В отличие Junos OS межсетевых экранов, для отмены условий нельзя использовать утверждение except условия.

Условия совпадения цифрового фильтра

Можно указать числовые условия совпадения фильтра, которые определяются численическим значением, например номерами портов и протоколов. Для условий совпадения цифрового фильтра необходимо указать условие и одно значение, которое поле пакета должно считаться совпадать.

Цифровое значение можно указать одним из следующих способов:

  • Single number — если значение поля соответствует номеру, происходит совпадение. Например, для совпадения с трафиком Telnet:

  • Саханим текста для одного номера — совпадение происходит, если значение поля соответствует номеру, соответствующему синониму. Например, для совпадения с трафиком Telnet:

  • Чтобы указать несколько значений для одного и того же условия совпадения в термине фильтра, введите каждое значение в собственном выражении совпадения. Например, совпадение происходит в следующем термине, если значение порта источника в пакете 22 или 23.

Условия совпадения фильтра интерфейса

Можно указать условие совпадения фильтра интерфейса для того интерфейса, на который был получен или передан пакет. Например, если применить фильтр к VLAN, может потребоваться, чтобы фильтр был совпадать с некоторыми интерфейсами, которые участвуют в VLAN, а не совпадают с другими интерфейсами в VLAN. При указании имени интерфейса необходимо включить логический блок.

В данном примере конечный символ 0 () указывает логический блок. В качестве части имени интерфейса можно включить * подинтерфейс (). Например:

Обратите внимание, что для логического блока необходимо указать значение или поддиарен.

Условия совпадения фильтра IP-адреса

Можно указать условие совпадения фильтра адресов, чтобы соответствовать IP-адресу источника или адреса назначения или префикса в пакете. Укажите адрес или тип префикса, а также адрес или префикс. Например:

Если не упустить длину префикса, значение по умолчанию /32 будет. Например:

Чтобы указать более одного IP-адреса или префикса в термине фильтра, введите каждый адрес или префикс в собственном выражении совпадения. Например, совпадение происходит в следующем термине, если исходный адрес пакета совпадает с одним из следующих префиксов:

Условия совпадения фильтра MAC-адресов

Можно указать условие MAC-адрес фильтра для совпадения источнику или MAC-адрес. Вы указываете тип адреса и значение, которые пакет должен содержать, чтобы считаться совпадать.

В любом из MAC-адрес можно указать шестерки шестерки шестого формата:

Независимо от форматов, которые вы используете, система устраняет адрес в стандартном формате, в данном случае 00:11:22:33:44:55.

Чтобы указать несколько MAC-адрес в термине фильтра, введите каждый MAC-адрес в собственном выражении совпадения. Например, совпадение происходит в следующем термине, если значение MAC-адреса источника совпадает с одним из следующих адресов:

Условия совпадения фильтра бит-поля

Можно указать условия совпадения бит-поля фильтра для совпадения определенных битов в определенных полях кадров Ethernet и ip, TCP, UDP и ICMP-задатки. Обычно вы указываете поле и бит в поле, которые должны быть зауме настроены в пакете, чтобы считаться совпадать.

В большинстве случаев для указания бита, под который необходимо установить соответствие, можно использовать ключевое слово. Например, для совпадения в пакете TCP SYN можно syn ввести, как в:

Вы можете также ввести, так как бит SYN является третьим наименее важным битом 0x02 8-битного поля tcp-flags:

Для совпадения значений с несколькими битами в полях используйте логические операторы, описанные Табл. 1 в. Операторы перечислены в порядке от наивысшего приоритета до минимального приоритета. Операции оцениваются слева направо.

Табл. 1: Действия для фильтров межсетевых экранов

Логические операторы

Описание

!

Отрицание

&

Логический И

|

Логический или

При использовании логического оператора, завеждая значения в кавычках, не включая пробелов. Например, следующий утверждение соответствует второму пакету TCP-кеха:

Чтобы отогнать совпадение, предшествуйте значению с восклицательный пунктом. Например, следующая утверждения совпадает только с начальным пакетом TCP-пожатия.

Можно использовать текстовые синонимы для указания некоторых общих битовых полей. Например, следующий утверждение также соответствует исходному пакету TCP-пожатия.