Conditions de correspondance des filtres de pare-feu pour le trafic IPv4

Faites correspondre le champ Adresse source ou de destination IPv4, sauf si l’option except est incluse. Si l’option est incluse, ne faites pas correspondre le champ Adresse source ou de destination IPv4.

(Routeurs de la M Series, sauf M120 et M320) Correspond à la valeur de l’indice des paramètres de sécurité (SPI) de l’en-tête d’authentification IPsec (AH).

(Routeurs de la M Series, sauf M120 et M320) Ne correspond pas à la valeur SPI AH IPsec.

Faites correspondre le champ Adresse de destination IPv4, sauf si l’option except est incluse. Si l’option est incluse, ne correspond pas au champ Adresse de destination IPv4.

Vous ne pouvez pas spécifier à la fois les conditions et les address destination-address conditions de correspondance dans le même terme.

Correspond à un ou plusieurs noms de classe de destination spécifiés (ensembles de préfixes de destination regroupés et dotés d’un nom de classe). Pour plus d’informations, consultez Conditions de correspondance des filtres de pare-feu en fonction des classes d’adresses.

Ne correspond pas à un ou plusieurs noms de classe de destination spécifiés. Pour plus de détails, voir la condition de destination-class correspondance.

Faites correspondre le champ Port de destination UDP ou TCP.

Vous ne pouvez pas spécifier à la fois les conditions et les port destination-port conditions de correspondance dans le même terme.

Lors de la configuration des correspondances basées sur les ports, vous devez également configurer l’instruction ou protocol tcp match protocol udp dans le même terme de filtre. Toutefois, l’omission de la correspondance de protocole peut être utile lorsque vous souhaitez faire correspondre un port spécifique sur plusieurs protocoles (par exemple, le port 53 pour DNS sur UDP et TCP).

À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les numéros de port sont également répertoriés) : afs (1483),  bgp(179), biff (512),  bootpc(68),  bootps(67),  cmd(514), cvspserver (2401),  dhcp(67), domain (53), eklogin (2105),  ekshell(2106), exec (512), finger (79),  ftp(21),  ftp-data(20),  http(80),  https(443), ident (113), (143), kerberos-sec (88), klogin (543), kpasswd (761), krb-prop (754), krbupdate (760), kshell (544), ldap (389), ldp (646), login (513), mobileip-agent (434), mobilip-mn (435), msdp (639), netbios-dgm (138), netbios-ns (137), netbios-ssn (139), nfsd (2049), nntp (119), ntalk (518), ntp (123), pop3 (110), pptp (1723), printer (515), radacct (1813), radius (imap  1812), rip (520), rkinit (2108), smtp (25), snmp (161), snmptrap (162), snpp (444), socks (1080), ssh (22), sunrpc (111), syslog (514), tacacs (49), tacacs-ds (65), talk (517), telnet (23), tftp (69), timed (525), who (513) ou xdmcp (177).

Faites correspondre les ports source ou de destination dans la liste de ports nommés spécifiée.

Ne correspond pas au champ Port de destination UDP ou TCP. Pour plus de détails, voir la condition de destination-port correspondance.

Correspond aux ports de destination dans la liste de ports nommés spécifiée

Faites correspondre les préfixes de destination dans la liste spécifiée, sauf si l’option except est incluse. Si l’option est incluse, ne faites pas correspondre les préfixes de destination dans la liste spécifiée.

Spécifiez le nom d’une liste de préfixes définie au niveau de la [edit policy-options prefix-list prefix-list-namehiérarchie ] .

Faites correspondre le point de code des services différenciés (DSCP). Le protocole DiffServ utilise l’octet de type de service (ToS) dans l’en-tête IP. Les 6 bits les plus significatifs de cet octet forment le DSCP. Pour plus d’informations, consultez Comprendre comment les classificateurs d’agrégation de comportement donnent la priorité au trafic approuvé.

La prise en charge du filtrage DSCP (Differentiated Services Code Point) et de la classe de transfert pour les paquets provenant du moteur de routage, y compris les paquets IS-IS encapsulés dans l’encapsulation de routage générique (GRE). Par conséquent, lors d’une mise à niveau à partir d’une version précédente de Junos OS où vous disposez à la fois d’une classe de service (CoS) et d’un filtre de pare-feu, et que vous incluez tous deux des actions DSCP ou de filtre de classe de transfert, les critères du filtre de pare-feu prévalent automatiquement sur les paramètres CoS. Il en va de même pour la création de nouvelles configurations ; En d’autres termes, lorsque les mêmes paramètres existent, le filtre de pare-feu a la priorité sur le CoS, quel que soit le paramètre créé en premier.

Vous pouvez spécifier une valeur numérique comprise entre 0 et 63. Pour spécifier la valeur sous forme hexadécimale, incluez-la 0x comme préfixe. Pour spécifier la valeur sous forme binaire, incluez-la b comme préfixe.

À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées) :

• La RFC 3246, An Expedited Forwarding PHB (Per-Hop Behavior), définit un point de code : ef (46).

• La RFC 2597, Assured Forwarding PHB Group, définit 4 classes, avec 3 précédences de suppression dans chaque classe, pour un total de 12 points de code :

  • af11 (10), af12 (12), af13 (14)

  • af21 (18), af22 (20), af23 (22)

  • af31 (26), af32 (28), af33 (30)

  • af41 (34), af42 (36), af43 (38)

Ne correspond pas sur le numéro DSCP. Pour plus d’informations, consultez la condition de dscp correspondance.

Correspond à la valeur SPI de la charge utile de sécurité (ESP) encapsulant IPsec. Faites correspondre cette valeur SPI spécifique. Vous pouvez spécifier la valeur SPI ESP sous forme hexadécimale, binaire ou décimale.

Faites correspondre la valeur SPI IPsec ESP. Ne correspond pas à cette valeur SPI spécifique.

Correspond si le paquet est le premier fragment d’un paquet fragmenté. Ne correspond pas si le paquet est un fragment de fin d’un paquet fragmenté. Le premier fragment d’un paquet fragmenté a une valeur de décalage de fragment de 0.

Cette condition de correspondance est un alias de la condition de correspondance de la condition fragment-offset 0 de correspondance bit-field.

Pour faire correspondre à la fois le premier fragment et le fragment de fin, vous pouvez utiliser deux termes qui spécifient des conditions de correspondance différentes : first-fragment et is-fragment.

Correspond au premier octet de la valeur de la charge utile. La condition de correspondance ne peut être appliquée que dans le sens d’entrée.

Ne fonctionne pas sur la liaison de sortie du filtre de pare-feu. Pris en charge sur les familles de filtres de pare-feu INET, INET6 et TOUTES les familles de filtres de pare-feu uniquement.

Non pris en charge sur les filtres FFT et les filtres FLT de sortie.

Ne correspond pas au premier octet spécifié de la valeur de la charge utile. La condition de correspondance ne peut être appliquée que dans le sens d’entrée.

Ne fonctionne pas sur la liaison de sortie du filtre de pare-feu. Pris en charge sur les familles de filtres de pare-feu INET, INET6 et TOUTES les familles de filtres de pare-feu uniquement.

Non pris en charge sur les filtres FFT et les filtres FLT de sortie.

Longueur des données à faire correspondre en bits, non nécessaire pour l’entrée de chaîne (0..128)

Décalage de bits après le décalage (match-start + byte) (0..7)

Décalage d’octets après le point de début du match

Sélectionnez une correspondance flexible dans le champ du modèle prédéfini

Masquer les bits dans les données des paquets à faire correspondre

Point de départ à faire correspondre dans le paquet

Valeur données/chaîne à mettre en correspondance

Longueur des données à apparier en bits (0..32)

Décalage de bits après le décalage (match-start + byte) (0..7)

Décalage d’octets après le point de début du match

Sélectionnez une correspondance flexible dans le champ du modèle prédéfini

Point de départ à faire correspondre dans le paquet

Plage de valeurs à mettre en correspondance

Ne correspond pas à cette plage de valeurs

Correspond à la classe de transfert du paquet.

Spécifiez assured-forwarding, , best-effortexpedited-forwardingou network-control.

Pour plus d’informations sur les classes de transfert et les files d’attente de sortie internes au routeur, consultez Présentation de la façon dont les classes de transfert affectent des classes aux files d’attente de sortie.

Ne correspond pas à la classe de transfert du paquet. Pour plus de détails, voir la condition de forwarding-class correspondance.

(entrée uniquement) Faites correspondre le champ indicateurs de fragmentation IP sur trois bits dans l’en-tête IP.

À la place de la valeur de champ numérique, vous pouvez spécifier l’un des mots-clés suivants (les valeurs de champ sont également répertoriées) : dont-fragment (0x4),   more-fragments(0x2) ou reserved (0x8).

Faites correspondre le champ Décalage de fragment de 13 bits dans l’en-tête IP. La valeur est le décalage, en unités de 8 octets, du message global du datagramme au fragment de données. Spécifiez une valeur numérique, une plage de valeurs ou un ensemble de valeurs. La valeur de décalage de 0 indique le premier fragment d’un paquet fragmenté.

La first-fragment condition de correspondance est un alias de la condition de fragment-offset 0 correspondance.

Pour faire correspondre à la fois le premier fragment et le fragment de fin, vous pouvez utiliser deux termes qui spécifient des conditions de correspondance différentes (first-fragment et is-fragment).

Ne correspond pas au champ Décalage de fragment de 13 bits.

Correspond au champ gre-key. Le champ de clé GRE est un nombre de 4 octets inséré par l’encapsulateur GRE. Il s’agit d’un champ facultatif à utiliser dans l’encapsulation GRE. Il range peut s’agir d’un seul numéro de clé GRE ou d’une plage de numéros de clé.

Pour les routeurs MX Series avec MPC, initialisez les nouveaux filtres de pare-feu qui incluent cette condition en parcourant la MIB SNMP correspondante.

Faites correspondre le champ de code de message ICMP.

term match-icmp-unreachable {
            from {
                protocol icmp;
                icmp-type destination-unreachable;
                icmp-code host-unreachable;
            }    
         }

À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées). Les mots-clés sont regroupés par type ICMP auquel ils sont associés :

• problème-paramètre : ip-header-bad (0), required-option-missing (1)

• Redirection : redirect-for-host (1), redirect-for-network (0), redirect-for-tos-and-host (3), redirect-for-tos-and-net (2)

• Dépassement dans le temps : ttl-eq-zero-during-reassembly (1), ttl-eq-zero-during-transit (0)

• Injoignables : communication-prohibited-by-filtering(13), destination-host-prohibited (10), destination-host-unknown (7), destination-network-prohibited (9), destination-network-unknown (6), fragmentation-needed (4), host-precedence-violation (14), host-unreachable (1), host-unreachable-for-TOS (12), network-unreachable (0), network-unreachable-for-TOS (11), port-unreachable (3), precedence-cutoff-in-effect (15), protocol-unreachable (2), source-host-isolated (8), source-route-failed (5)  

Ne correspond pas au champ de code de message ICMP. Pour plus de détails, voir la condition de icmp-code correspondance.

Correspond au champ Type de message ICMP.

term match-icmp-echo {
            from {
                        protocol icmp;
               icmp-type echo-request;
            }
          }

À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées) : echo-reply(0), echo-request (8),   info-reply(16),   info-request(15),   mask-request(17), mask-reply (18), parameter-problem (12),   redirect(5),   router-advertisement(9), router-solicit (10), source-quench (4), time-exceeded (11),   timestamp(13), timestamp-reply (14) ou   unreachable(3).  

Ne correspond pas au champ Type de message ICMP. Pour plus de détails, voir la condition de icmp-type correspondance.

Correspond à l’interface sur laquelle le paquet a été reçu.

Faites correspondre l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces ou à l’ensemble de groupes d’interfaces spécifié. Pour group-number, spécifiez une valeur unique ou une plage de valeurs comprise entre 0 et 255.

Pour affecter une interface logique à un groupe group-numberd’interfaces , spécifiez le group-number au niveau de la [interfaces interface-name unit number family family filter group] hiérarchie.

Pour plus d’informations, consultez Vue d’ensemble du filtrage des paquets reçus sur un ensemble de groupes d’interfaces.

Ne font pas correspondre l’interface logique sur laquelle le paquet a été reçu au groupe d’interfaces ou à l’ensemble de groupes d’interfaces spécifié. Pour plus de détails, voir la condition de interface-group correspondance.

Faire correspondre l’interface sur laquelle le paquet a été reçu au jeu d’interfaces spécifié.

Pour définir un jeu d’interfaces , incluez l’instruction interface-set au niveau de la [edit firewall] hiérarchie.

Pour plus d’informations, consultez Vue d’ensemble du filtrage des paquets reçus sur un jeu d’interfaces.

Faites correspondre le champ d’option IP 8 bits, le cas échéant, à la valeur ou à la liste de valeurs spécifiée.

À la place d’une valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs d’option sont également répertoriées) : loose-source-route (131), record-route (7), router-alert (148),   security(130), stream-id (136), strict-source-route(137) ou timestamp (68).

Pour faire correspondre n’importe quelle valeur pour l’option IP , utilisez le synonyme anytextuel . Pour faire correspondre plusieurs valeurs, spécifiez la liste des valeurs entre crochets ('[' et ']'). Pour faire correspondre une plage de valeurs, utilisez la spécification [ value1-value2 ]de valeur .

Par exemple, la condition ip-options [ 0-147 ] de correspondance correspond à un champ d’options IP qui contient les loose-source-routevaleurs , record-routeou security ou toute autre valeur comprise entre 0 et 147. Cependant, cette condition de correspondance ne correspond pas à un champ d’options IP qui ne contient que la router-alert valeur (148).

Pour la plupart des interfaces, un terme de filtre qui spécifie une ip-option correspondance sur une ou plusieurs valeurs d’option IP spécifiques (une valeur autre que any) entraîne l’envoi de paquets au moteur de routage afin que le noyau puisse analyser le champ d’option IP dans l’en-tête du paquet.

• Pour un terme de filtre de pare-feu qui spécifie une ip-option correspondance sur une ou plusieurs valeurs d’option IP spécifiques, vous ne pouvez pas spécifier les countactions , ou syslog les actions de non-arrêt, logsauf si vous spécifiez également l’action d’arrêt discard dans le même terme. Ce comportement empêche le double comptage des paquets pour un filtre appliqué à une interface de transit sur le routeur.

• Les paquets traités sur le noyau peuvent être abandonnés en cas de goulot d’étranglement du système. Pour vous assurer que les paquets correspondants sont plutôt envoyés au moteur de transfert de paquets (où le traitement des paquets est implémenté dans le matériel), utilisez la condition de ip-options any correspondance.

Ne faites pas correspondre le champ d’option IP à la valeur ou à la liste de valeurs spécifiée. Pour plus de détails sur la spécification de , reportez-vous à la section Condition de valuesip-options correspondance.

L’utilisation de cette condition entraîne une correspondance si l’indicateur Plus de fragments est activé dans l’en-tête IP et si le décalage de fragment n’est pas nul.

Sur les routeurs MX Series, is-fragment correspond à tous les fragments, c’est-à-dire le premier fragment (fragment-offset = 0), le dernier fragment (plus-fragments = 0) et tous les fragments entre le premier et le dernier fragment.

Correspond au niveau de priorité de perte de paquets (PLP).

Spécifiez un ou plusieurs niveaux : low, medium-low, medium-highou high.

Ne correspond pas au niveau PLP. Pour plus de détails, voir la condition de loss-priority correspondance.

Correspond à la longueur du paquet reçu, en octets. La longueur fait uniquement référence au paquet IP, y compris l’en-tête du paquet, et n’inclut pas la surcharge d’encapsulation de couche 2. Vous pouvez également spécifier une plage de valeurs à mettre en correspondance.

Ne correspond pas à la longueur du paquet reçu, en octets. Pour plus de détails, voir le type de packet-length correspondance.

Faites correspondre la charge utile du paquet avec cette adresse IPv4 source.

Faites correspondre la charge utile du paquet avec cette adresse IPv4 de destination.

Faites correspondre la charge utile du paquet avec cette adresse MAC source.

Faites correspondre la charge utile du paquet avec cette adresse MAC de destination.

Faites correspondre le trafic en fonction des stratégies appliquées policy-mapname(par exemple, politique de contrôle hiérarchique ou de transfert).

Correspond au champ UDP ou TCP source ou port de destination.

Si vous configurez cette condition de correspondance, vous ne pouvez pas configurer la condition de destination-port correspondance ou la source-port condition de correspondance dans le même terme.

Lors de la configuration des correspondances basées sur les ports, vous devez également configurer l’instruction ou protocol tcp match protocol udp dans le même terme de filtre. Toutefois, l’omission de la correspondance de protocole peut être utile lorsque vous souhaitez faire correspondre un port spécifique sur plusieurs protocoles.

À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes de texte répertoriés sous destination-port.

Ne correspond ni au champ UDP ni au port TCP source ni au champ de destination. Pour plus de détails, voir la condition de port correspondance.

Correspond au champ de précédence IP.

À la place de la valeur de champ numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées) : critical-ecp (0xa0), flash (0x60), flash-override (0x80), immediate (0x40), internet-control (0xc0),   net-control(0xe0), priority (0x20) ou routine (0x00). Vous pouvez spécifier la priorité sous forme hexadécimale, binaire ou décimale.

Ne correspond pas au champ de précédence IP.

À la place de la valeur de champ numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées) : critical-ecp (0xa0), flash (0x60), flash-override (0x80), immediate (0x40), internet-control (0xc0),   net-control(0xe0), priority (0x20) ou routine (0x00). Vous pouvez spécifier la priorité sous forme hexadécimale, binaire ou décimale.

Faites correspondre les préfixes des champs d’adresse source ou de destination aux préfixes de la liste spécifiée, sauf si l’option except est incluse. Si l’option est incluse, ne faites pas correspondre les préfixes des champs d’adresse source ou de destination aux préfixes de la liste spécifiée.

La liste des préfixes est définie au niveau de la [edit policy-options prefix-list prefix-list-name] hiérarchie.

Correspond au champ Type de protocole IP. À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées) : ah (51), dstopts (60),  egp(8), esp (50),  fragment(44),  gre(47), hop-by-hop (0),  icmp(1),  icmp6(58), (58), igmp  icmpv6(2), ipip (4), ipv6 (41), ospf (89), pim (103),  rsvp(46),  sctp(132), tcp (6), udp (17) ou vrrp (112).

Ne correspond pas au champ Type de protocole IP. À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels suivants (les valeurs de champ sont également répertoriées) : ah (51), dstopts (60),  egp(8), esp (50),  fragment(44),  gre(47), hop-by-hop (0),  icmp(1),  icmp6(58), (58), igmp  icmpv6(2), ipip (4), ipv6 (41), ospf (89), pim (103),  rsvp(46),  sctp(132), tcp (6), udp  (17) ou vrrp (112).

Correspond au type de technologie d’accès radio (RAT) spécifié dans le champ Type technique 8 bits de l’extension de type de technologie d’accès Proxy Mobile IPv4 (PMIPv4). Le type de technologie spécifie la technologie d’accès par laquelle l’appareil mobile est connecté au réseau d’accès.

Spécifiez une valeur unique, une plage de valeurs ou un ensemble de valeurs. Vous pouvez spécifier un type de technologie sous la forme d’une valeur numérique comprise entre 0 et 255 ou d’un mot-clé système.

• Les valeurs numériques suivantes sont des exemples de types de technologies connus :

  • La valeur numérique 1 correspond à la norme IEEE 802.3.

  • La valeur numérique 2 correspond à la norme IEEE 802.11a/b/g.

  • La valeur numérique 3 correspond à la norme IEEE 802.16e

  • La valeur numérique 4 correspond à la norme IEEE 802.16m.

• La chaîne de eutran texte correspond à la 4G.

• La chaîne de geran texte correspond à 2G.

• La chaîne de utran texte correspond à la 3G.

Ne correspond pas au type RAT.

Faites correspondre le trafic en fonction de la raison de la redirection de transfert. Vous pouvez spécifier des valeurs individuelles ou plusieurs valeurs entre crochets.

Valeurs prises en charge : aoc - Conseil de charge aolb - Conseil d’équilibre dpi faible - Match de couche 7 requis

Syntaxe : redirect-reason value redirect-reason [ value1 value2 value3]

Cas d’usage :

• AOC : utilisé dans les environnements de fournisseurs de services pour faire correspondre le trafic nécessitant des avis de notification de facturation, généralement pour l’intégration de systèmes de facturation
• aolb - Utilisé pour identifier le trafic nécessitant un avis de notifications de solde faible, courant dans les scénarios de service prépayé
• dpi - Utilisé lorsqu’une classification par inspection approfondie des paquets est requise, souvent pour l’analyse avancée du trafic ou le traitement de la sécurité

Exemples :

term match-billing {
    from {
        redirect-reason aoc;
    }
}

term match-prepaid {
    from {
        redirect-reason aolb;
    }
}

term match-inspection {
    from {
        redirect-reason dpi;
    }
}

term match-multiple {
    from {
        redirect-reason [ aoc aolb ];
    }
}

Correspond à un paquet reçu d’un filtre auquel une service-filter-hit action a été appliquée.

Faites correspondre l’adresse IPv4 du nœud source qui envoie le paquet, sauf si l’option except est incluse. Si l’option est incluse, ne correspond pas à l’adresse IPv4 du nœud source qui envoie le paquet.

Vous ne pouvez pas spécifier à la fois les conditions et les address source-address conditions de correspondance dans le même terme.

Faites correspondre un ou plusieurs noms de classes sources spécifiés (ensembles de préfixes sources regroupés et dotés d’un nom de classe). Pour plus d’informations, consultez Conditions de correspondance des filtres de pare-feu en fonction des classes d’adresses.

Ne correspondent pas à un ou plusieurs noms de classe source spécifiés. Pour plus de détails, voir la condition de source-class correspondance.

Faites correspondre le champ Port source UDP ou TCP.

Vous ne pouvez pas spécifier les conditions de port correspondance et source-port dans le même terme.

Lors de la configuration des correspondances basées sur les ports, vous devez également configurer l’instruction ou protocol tcp match protocol udp dans le même terme de filtre. Toutefois, l’omission de la correspondance de protocole peut être utile lorsque vous souhaitez faire correspondre un port spécifique sur plusieurs protocoles.

À la place de la valeur numérique, vous pouvez spécifier l’un des synonymes textuels répertoriés avec la condition de destination-port number correspondance.

Ne correspond pas au champ Port source UDP ou TCP. Pour plus de détails, voir la condition de source-port correspondance.

Faites correspondre les ports sources dans la liste de ports nommés spécifiée.

Correspond aux préfixes sources dans la liste spécifiée, sauf si l’option except est incluse. Si l’option est incluse, ne faites pas correspondre les préfixes sources dans la liste spécifiée.

Spécifiez le nom d’une liste de préfixes définie au niveau de la [edit policy-options prefix-list prefix-list-namehiérarchie ] .

Faire correspondre les paquets TCP d’une session TCP établie (paquets autres que le premier paquet d’une connexion). Il s’agit d’un alias pour tcp-flags "(ack | rst)".

Cette condition de correspondance ne vérifie pas implicitement que le protocole est TCP. Pour vérifier cela, spécifiez la condition de protocol tcp correspondance.

Faites correspondre un ou plusieurs des 6 bits de poids faible dans le champ Indicateurs TCP 8 bits de l’en-tête TCP.

Pour spécifier des champs de bits individuels, vous pouvez spécifier les synonymes de texte ou les valeurs hexadécimales suivants :

• fin (0x01)

• syn (0x02)

• rst (0x04)

• push (0x08)

• ack (0x10)

• urgent (0x20)

Dans une session TCP, l’indicateur SYN est défini uniquement dans le paquet initial envoyé, tandis que l’indicateur ACK est défini dans tous les paquets envoyés après le paquet initial.

Vous pouvez enchaîner plusieurs indicateurs à l’aide des opérateurs logiques de champ de bits.

Pour connaître les conditions de correspondance combinées bit-field, reportez-vous à la section et tcp-initial conditions de tcp-established correspondance.

Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également l’instruction protocol tcp match dans le même terme pour spécifier que le protocole TCP est utilisé sur le port.

Pour le trafic IPv4 uniquement, cette condition de correspondance ne vérifie pas implicitement si le datagramme contient le premier fragment d’un paquet fragmenté. Pour vérifier cette condition pour le trafic IPv4 uniquement, utilisez la condition de first-fragment correspondance.

Correspond au paquet initial d’une connexion TCP. Il s’agit d’un alias pour tcp-flags "(!ack & syn)".

Cette condition ne vérifie pas implicitement que le protocole est TCP. Si vous configurez cette condition de correspondance, nous vous recommandons de configurer également la condition de protocol tcp correspondance dans le même terme.

Correspond au nombre de durées de vie IPv4. Spécifiez une valeur TTL ou une plage de valeurs TTL. Pour number, vous pouvez spécifier une ou plusieurs valeurs de à travers255 0 .

Ne correspond pas sur le numéro TTL IPv4. Pour plus de détails, voir la condition de ttl correspondance.