Condiciones de coincidencia del filtro de firewall para el tráfico MPLS
Puede configurar un filtro de firewall con condiciones coincidentes para el tráfico MPLS (family mpls
).
-
Las
input-list filter-names
instrucciones youtput-list filter-names
de los filtros de firewall de la familia dempls
protocolos se admiten en todas las interfaces excepto en las interfaces de administración y Ethernet internas (fxp
oem0
), las interfaces de circuito cerrado (lo0
) y las interfaces de módem USB (umd
) -
(QFX5100, QFX5110, QFX5200, QFX5210) Si va a aplicar un filtro MPLS en una interfaz de circuito cerrado, solo puede filtrar en los campos , ,
ttl=1
, y Capa 4tcp
yudp
número delabel
exp
puerto. Para TTL, debe especificarttl=1
explícitamente enfamily mpls
para que coincida en paquetes TTL=1. Las únicas acciones que puede configurar sonaccept
,discard
, ycount
. Puede aplicar el filtro solo en la dirección de entrada. -
En el caso de los enrutadores de la serie MX con MPC y MIC, puede aplicar filtros de entrada y salida para la familia MPLS basados en parámetros IPv4 e IPv6 etiquetados con MPLS mediante condiciones de coincidencia de carga interna y habilitar la duplicación selectiva de puertos del tráfico MPLS en un dispositivo de supervisión (a partir de Junos OS versión 18.4R1). Para el filtrado basado en IP, hay condiciones de coincidencia adicionales disponibles bajo el parámetro de término
from
de filtro MPLS y, para admitir la creación de reflejo de puertos, hay acciones adicionales (como puerto-espejo y puerto-espejo-instancia) disponibles bajo el parámetro filter termthen
.
Tabla 1 Describe cómo match-conditions
se puede configurar en el nivel jerárquico [edit firewall family mpls filter filter-name term term-name from]
.
Condición de coincidencia | Description |
---|---|
|
Especifique de qué grupos desea heredar los datos de configuración. Puede especificar más de un nombre de grupo. Debe enumerarlos en orden de prioridad de herencia. Los datos de configuración del primer grupo tienen prioridad sobre los datos de los grupos siguientes. |
|
Especifique de qué grupos no desea heredar los datos de configuración. Puede especificar más de un nombre de grupo. |
|
Coincidir en el campo Puerto de destino UDP o TCP. En lugar del valor numérico, puede especificar uno de los siguientes sinónimos de texto (también se enumeran los números de puerto): |
|
Número de bits experimental (EXP) o intervalo de números de bits en el encabezado MPLS de un paquete. Para number, puede especificar uno o más valores del 0 al 7 en formato binario, decimal o hexadecimal, como se indica a continuación:
Nota:
Esta condición de coincidencia está en desuso en los dispositivos PTX10001-36 MR, PTX10003, PTX10004, PTX10008 y PTX10016 y se sustituye por |
|
No coincida en el número de bits EXP ni en el intervalo de números de bits del encabezado MPLS. Para Nota:
Esta condición de coincidencia está en desuso en los dispositivos PTX10001-36 MR, PTX10003, PTX10004, PTX10008 y PTX10016 y se sustituye por |
|
Número de bits experimental (EXP) o rango de números de bits en el encabezado MPLS de TOS de un paquete. Para number, puede especificar uno o más valores del 0 al 7 en formato binario, decimal o hexadecimal, como se indica a continuación:
|
|
No coincida con el número de bits EXP ni con el intervalo de números de bits en el encabezado MPLS de TOS de un paquete. Para number, puede especificar uno o más valores del 0 al 7 en formato binario, decimal o hexadecimal, como se indica a continuación:
|
|
Número de bits experimental (EXP) o intervalo de números de bits en el encabezado MPLS situado junto al encabezado MPLS TOS (parte superior de la pila). Para number, puede especificar uno o más valores del 0 al 7 en formato binario, decimal o hexadecimal, como se indica a continuación:
|
|
No coincida en el número de bits EXP ni en el intervalo de números de bits del encabezado MPLS situado junto al encabezado MPLS de TOS. Para number, puede especificar uno o más valores del 0 al 7 en formato binario, decimal o hexadecimal, como se indica a continuación:
|
|
Clase de reenvío. Especifique Nota:
En PTX10001-36MR, se utilizan enrutadores |
|
No coincida en la clase de reenvío. Especifique |
|
Interfaz en la que se recibió el paquete. Puede configurar una condición de coincidencia que coincida con los paquetes en función de la interfaz en la que se recibieron. Nota:
Si configura esta condición de coincidencia con una interfaz que no existe, el término no coincide con ningún paquete. |
|
Haga coincidir la interfaz en la que se recibió el paquete con el conjunto de interfaces especificado. Para definir un conjunto de interfaces, incluya la Nota:
Esta condición de coincidencia no se admite en los enrutadores de transporte de paquetes de la serie PTX. Para obtener más información, consulte Información general sobre el filtrado de paquetes recibidos en un conjunto de interfaces. |
|
Coincidir con la versión de IP interna. Por ejemplo, para hacer coincidir paquetes IPv4 etiquetados con MPLS, haga coincidir en el texto el sinónimo |
|
Valor de etiqueta MPLS o rango de valores de etiqueta en el encabezado MPLS de un paquete. Para number, puede especificar uno o más valores del 0 al 1048575 en formato decimal o hexadecimal, como se indica a continuación:
Nota:
Esta opción está en desuso en los dispositivos PTX10001-36MR, PTX10003, PTX10004, PTX10008 y PTX10016 y se sustituye por |
|
Valor de etiqueta MPLS o rango de valores de etiqueta en el encabezado MPLS de TOS de un paquete. Para number, puede especificar uno o más valores del 0 al 1048575 en formato decimal o hexadecimal, como se indica a continuación:
|
|
No coincida con el valor de etiqueta MPLS ni con el rango de valores de etiqueta en el encabezado MPLS de TOS de un paquete. Para number, puede especificar uno o más valores del 0 al 1048575 en formato decimal o hexadecimal, como se indica a continuación:
|
|
Haga coincidir el valor de la etiqueta MPLS o el intervalo de valores de etiqueta en la etiqueta del encabezado MPLS del encabezado MPLS situado junto al encabezado MPLS de TOS. Para number, puede especificar uno o más valores del 0 al 1048575 en formato decimal o hexadecimal, como se indica a continuación:
|
|
No coincida en el valor de etiqueta MPLS o rango de valores de etiqueta en la etiqueta de encabezado MPLS del encabezado MPLS que está junto al encabezado MPLS de TOS. Para number, puede especificar uno o más valores del 0 al 1048575 en formato decimal o hexadecimal, como se indica a continuación:
|
label number top | bottom | offset offset-value |
Haga coincidir la etiqueta superior, la etiqueta inferior o la etiqueta en un desplazamiento especificado (desde la parte superior o inferior de la pila de etiquetas) del paquete MPLS entrante.
Nota:
Nota:
Las opciones del comando de configuración se introdujeron en la versión 22.3R1 de Junos. |
|
Coincidir con el nivel de prioridad de pérdida de paquetes (PLP). Especifique uno o varios niveles: Compatible con enrutadores M120 y M320; enrutadores M7i y M10i con el CFEB-E mejorado; y enrutadores serie MX y conmutadores serie EX. Para el tráfico IP en enrutadores serie M320, MX y T con concentradores PIC flexibles (FPC) II mejorados y conmutadores serie EX, debe incluir la Para obtener información acerca de la Nota:
En PTX10001-36MR, se utilizan enrutadores |
|
No coincida con el nivel de PLP. Para obtener más información, consulte la condición de Nota:
Esta condición de coincidencia no se admite en los enrutadores de transporte de paquetes de la serie PTX. |
|
Coincidir en el campo Puerto de origen TCP o UDP. No puede especificar las Si configura esta condición de coincidencia para el tráfico IPv4, se recomienda configurar también la En lugar del campo numérico, puede especificar uno de los sinónimos de texto enumerados en |
|
Haga coincidir el número TTL o el rango de números en el encabezado MPLS de TOS de un paquete. Tiempo de vida (TTL) es un campo de 8 bits en la etiqueta MPLS que significa el tiempo restante que le queda a un paquete antes de que termine su vida útil y se caiga. Para number, puede especificar un valor del 0 al 255. |
|
No coincida con el número TTL ni el intervalo de números en el encabezado MPLS de TOS de un paquete. Tiempo de vida (TTL) es un campo de 8 bits en la etiqueta MPLS que significa el tiempo restante que le queda a un paquete antes de que termine su vida útil y se caiga. Para number, puede especificar un valor del 0 al 255. |
|
Haga coincidir el número TTL o el intervalo de números en el encabezado MPLS que se encuentra junto al encabezado MPLS de TOS de un paquete. Tiempo de vida (TTL) es un campo de 8 bits en la etiqueta MPLS que significa el tiempo restante que le queda a un paquete antes de que termine su vida útil y se caiga. Para number, puede especificar un valor del 0 al 255. |
|
No coincida con el número TTL ni el intervalo de números en el encabezado MPLS situado junto al encabezado MPLS TOS de un paquete. Tiempo de vida (TTL) es un campo de 8 bits en la etiqueta MPLS que significa el tiempo restante que le queda a un paquete antes de que termine su vida útil y se caiga. Para number, puede especificar un valor del 0 al 255. |
exp0
, exp0-except
, exp1
, exp1-except
, ip-version
, label0
label0-except
label1
label1-except
, ttl0-except
ttl0
ttl1
y ttl1-except
solo se admiten en PTX10001-36MR, PTX10003, PTX10004, PTX10008, PTX10016.
Tabla 2 describe las acciones que puede configurar para los filtros de firewall MPLS en el nivel jerárquico [edit firewall family mpls filter filter-name term term-name then]
.
Acción |
Description |
---|---|
|
Aceptar un paquete |
|
Cuente el número de paquetes que pasan este filtro o término. Nota:
Se recomienda configurar un contador para cada término en un filtro de firewall, de modo que pueda supervisar el número de paquetes que coinciden con las condiciones especificadas en cada término de filtro. |
|
Descartar un paquete silenciosamente sin enviar un mensaje del Protocolo de mensajes de control de Internet (ICMP) |
|
A partir de Junos OS 13.2X51-D15, puede enviar tráfico coincidente con un filtro MPLS a un controlador de dos colores. |
|
A partir de Junos OS 13.2X51-D15, puede enviar tráfico coincidente con un filtro MPLS a un controlador de tres colores. |