ファイアウォールフィルターの一致条件とアクション(QFXおよびEXシリーズスイッチ)

(QFX5100、QFX5110、QFX5200)IPv6インターフェイスでフィルターベースの転送を使用する場合、(イングレス方向)でサポートされるのは、 source-address、 destination-address、 source-prefix-list、 destination-prefix-list、 source-port、 destination-port、 hop-limit、 icmp-type、 next-headerの一致条件のみです。

(QFX5110)[edit firewall]階層でegress-to-ingressオプションを有効にすると、accept、discard、およびcountアクションのみがサポートされます。

(QFX5100、QFX5110、QFX5120、QFX5130-32CD、QFX5220、QFX5700)EVPN-VXLAN環境では、 source-address、 destination-address、 source-port、 destination-port、 ttl、 ip-protocol、 user-vlan-idのみがサポートされます。

(QFX5100、QFX5110、QFX5200、QFX5120)EVPN-VXLAN IRB インターフェイスのエグレス方向にファイアウォールフィルターを適用することはできません。

(QFX5700)ループバックインターフェイスのエグレス方向にファイアウォールフィルターを適用することはできません。

(QFX5100、QFX5110)ファイアウォールフィルターを使用してEVPN-VXLAN環境でMACフィルタリングを実装する場合、サポートされている一致条件については EVPN-VXLAN環境でのMACフィルタリング、ストーム制御、およびポートミラーリングサポート を参照してください。

(QFX5100、QFX5110)VXLANに適用するファイアウォールフィルターごとに、レイヤー2(イーサネット)パケットをフィルタリングする family ethernet-switching 、またはIRBインターフェイスでフィルタリングする family inet を指定できます。IRB インターフェイスでは、出口方向にファイアウォールフィルターを適用することはできません。

(EX4100、EX4400、EX4600、EX4650、QFX5100、QFX5110、QFX5120、QFX5200、QFX5210)スタンドアロンデバイス上のエグレスファイアウォールフィルターで interface 一致条件を使用する場合は、利用可能なインターフェイスのみを使用します。使用できないインターフェイスを使用すると、予期しない動作が発生します。

レイヤー2機能をサポートしていないスイッチでは、IPv4およびIPv6インターフェイスに有効な一致条件のみを使用します。

(QFX5120、EX4650)Junosリリース21.4R1以降、QFX5120およびEX4650のEVPN VXLAN環境では、 gbp-src-tag、 gbp-dst-tagの一致条件がサポートされています。

Junos OSリリース21.4R1以降、階層レベルでsource-port-range-optimizeおよびdestination-port-range-optimizeの条件 [edit firewall family ethernet-switching filter <filter-name> term <term-name> from] サポートされています。これにより、TCAMスペースの使用量が大幅に削減されます。source-port-range-optimizeおよびdestination-port-range-optimizeの一致条件を設定したQFX5100スイッチでは、最大24の連続していない送信元ポート範囲および宛先ポート範囲の一致条件がサポートされます。連続していない一致条件が 24 を超える場合、エラーがスローされることがあります。

Junosリリース22.4R1以降、サポートされているEX4100、EX4400、EX4650、およびQFX5120シリーズスイッチ上のEVPN-VXLAN環境におけるGBPタグの一致条件は、 ip-version ipv4、 ip-version ipv6、 mac-address、 vlan-id、 interface + vlan-id の組み合わせ、および interfaceに対応しています。

Junosリリース23.2R1以降、EX4100シリーズ、EX4400シリーズ、EX4650シリーズ、QFX5120-32C、QFX5120-48Yスイッチのポリシー適用で、新しいIPV4およびIPv6 L4一致がサポートされています。

リリース23.4R1以降Junos OS、サポートされているEX4100、EX4400、EX4650、およびQFX5120シリーズスイッチ上のEVPN VXLAN環境におけるGBPタグで、 vlan-id vlan list | vlan-range および interface interface-list 一致条件がサポートされます。EX4100スイッチは、VLANおよびポート+VLANベースのGBPをサポートしていません。

Junos OSリリース24.4R1以降、[edit firewall family ethernet-switching filter <name> term <name>]階層で設定可能なEX4100、EX4400、EX4650-48Y、QFX5120-48Y、QFX5120-32C、QFX5120-48T、QFX5120-48YMプラットフォームのarp-type、arp-sender-address、およびarp-target-addressファイアウォールフィルター一致条件が追加されました。一致条件は、ポートまたはVLAN ingressファイアウォールフィルターに適用できます。一致条件は、エグレスファイアウォールフィルターではサポートされていません。arp-sender-addressおよびarp-target-address一致条件は、EX2300、EX3400、EX4300-MPプラットフォームではサポートされていません。

Junos OS Evolvedリリース24.4R1以降、QFX5130-32CD、QFX5130-48C、およびQFX5700プラットフォームに vlan vlan ID アクションが追加されています。これらのプラットフォームでこのアクションプロファイルを有効にするには、 set system packet-forwarding-options firewall profiles actions ethernet-switching profile1 設定を適用する必要があります。 vlan vlanID アクションは、ポートおよびVLANファイアウォールフィルタールールで設定できます。

arp-type

ARPリクエストパケットまたはARP応答パケット。

エグレスインターフェイスとイングレスインターフェイス。

ARPタイプ

ARPリクエストパケットまたはARP応答パケット。

イングレスポートとVLAN

arp送信者アドレス

一致するARPヘッダー送信者IPv4アドレス

イングレスポートとVLAN

arpターゲットアドレス

一致するARPヘッダーターゲットIPv4アドレス

イングレスポートとVLAN

destination-address ip-address

IP宛先アドレスフィールドは、最終宛先ノードのアドレスです。

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

エグレスIPv4(inet)インターフェイス、およびIPv6(inet6)インターフェイス。

destination-mac-address mac-address

パケットの宛先MAC(メディアアクセス制御)アドレス。

イングレスポート、VLAN、IPv4(inet)インターフェイス。

エグレスポートとVLAN

destination-port value

TCP または UDP 宛先ポート フィールド。通常、この一致は protocol 一致ステートメントと組み合わせて指定します。以下の既知のポートでは、テキスト同義語を指定できます(ポート番号もリストされています)。

afs (1483)、 bgp (179)、 biff (512)、 bootpc (68)、 bootps (67)、

cmd (514)、 cvspserver (2401)、

dhcp (67)、 domain (53)、

eklogin (2105)、 ekshell (2106)、 exec (512)、

finger (79)、 ftp (21)、 ftp-data (20)、

http (80)、https (443)、

ident (113)、 imap (143)、

kerberos-sec (88)、 klogin (543)、 kpasswd (761)、 krb-prop (754)、 krbupdate (760)、 kshell (544)、

ldap (389)、 login (513)、

mobileip-agent (434)、 mobilip-mn (435)、 msdp (639)、

netbios-dgm (138)、 netbios-ns (137)、 netbios-ssn (139)、 nfsd (2049)、 nntp (119)、 ntalk (518)、 ntp (123)、

pop3 (110)、 pptp (1723)、 printer (515)、

radacct (1813)、radius (1812)、rip (520)、rkinit (2108)、

smtp (25)、 snmp (161)、 snmptrap (162)、 snpp (444)、 socks (1080)、 ssh (22)、 sunrpc (111)、 syslog (514)、

tacacs-ds (65)、 talk (517)、 telnet (23)、 tftp (69)、 timed (525)、

who (513),

xdmcp (177),

zephyr-clt (2103), zephyr-hm (2104)

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

destination-port range-optimize range

使用可能なメモリをより効率的に使用しながら、TCPまたはUDPポートの範囲を一致させます。この条件を使用すると、宛先ポートを個別に設定する場合よりも多くのファイアウォールフィルターを設定できます。(フィルターベースの転送ではサポートされていません)。

イングレスポート、VLAN、IPv4(inet)インターフェイス

destination-prefix-list prefix-list

IP 宛先プレフィックスリスト フィールドです。頻繁に使用できるように、プレフィックスリストエイリアスの下にIPアドレスプレフィックスのリストを定義できます。このリストを [edit policy-options] 階層レベルで定義します。

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

エグレスIPv4(inet)インターフェイスとIPv6(inet6)インターフェイス。

dscp value

差別化されたサービスコードポイント(DSCP)。DiffServプロトコルは、IPヘッダーでサービスタイプ(ToS)バイトを使用します。このバイトの最上位の6ビットがDSCPを形成します。

DSCPは、16進法、2進法、または10進法で指定できます。

数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。

• be—ベストエフォート(デフォルト)

• ef (46)— RFC 3246、 An Expedited Forwarding PHBで定義されています。

• af11 (10)、 af12 (12)、 af13 (14);

  af21 (18)、 af22 (20)、 af23 (22);

  af31 (26)、 af32 (28)、 af33 (30);

  af41 (34)、 af42 (36)、 af43 (38)

  これら 4 つのクラスは、各クラスに 3 つのドロップ優先順位があり、合計 12 個のコード ポイントがあり、 RFC 2597、 Assured Forwarding PHB で定義されています。

• cs0、 cs1、 cs2、 cs3、 cs4、 cs5、 cs6、 cs7、 cs5

イングレスポート、VLAN、IPv4(inet)インターフェイス。

Egress IPv4(inet)インターフェイス

ether-type value

パケットのイーサネット タイプ フィールド。EtherType値は、イーサネットフレームで転送するプロトコルを指定します。数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。

• aarp (0x80F3)—EtherType値AARP

• appletalk (0x809B)—EtherType値AppleTalk

• arp (0x0806)—EtherType値ARP

• fcoe (0x8906)—EtherType値FCoE

• fip (0x8914)—EtherType値FIP

• ipv4 (0x0800)—EtherType値IPv4

• ipv6 (0x08DD)—EtherType値IPv6

• mpls-multicast (0x8848)—EtherType値MPLSマルチキャスト

• mpls-unicast (0x8847)—EtherType 値 MPLS ユニキャスト

• oam (0x88A8)—EtherType値OAM

• ppp (0x880B)—EtherType値PPP

• pppoe-discovery (0x8863)—EtherType値PPPoEディスカバリーステージ

• pppoe-session (0x8864)—EtherType値PPPoEセッションステージ

• sna (0x80D5)—EtherType値SNA

イングレスポートとVLAN

エグレスポートとVLAN

egress-to-ingress

このオプションを含めると、エグレスVLANファイアウォールフィルターの条件数が1024から2048に増えます。

エグレスVLAN IPv4(inet)インターフェイスとIPv6(inet6)インターフェイス。

exp

MPLS EXPビットで一致します。

イングレス MPLS インターフェイス。

エグレス MPLS インターフェイス

fragment-flags value

IP フラグメント化フラグ。数値の代わりに、以下のテキスト同義語(16進数値も記載されています)のいずれかを指定します。

• is-fragment

• dont-fragment (0x4000)

• more-fragments (0x2000)

• reserved (0x8000)

イングレスポートとVLAN

gbp-dst-tag

以下の説明に従って、VXLAN 上のマイクロセグメンテーションで使用する宛先タグに一致します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

適用外

gbp-src-tag

以下の説明に従って、VXLAN 上のマイクロセグメンテーションで使用するために、ソースタグに一致させます。 例:VXLAN でのグループベースポリシーを使用したマイクロセグメンテーションとマクロセグメンテーション

適用外

icmp-code value

ICMP コード フィールドです。値の意味は関連する icmp-typeに依存するため、 icmp-type の値と icmp-codeの値を指定する必要があります。数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。キーワードは、それらが関連するICMPタイプによってグループ化されます。

• IPv4: parameter-problem—ip-header-bad (0)、 required-option-missing (1)

• IPv6: parameter-problem—ip6-header-bad (0)、 unrecognized-next-header (1)、 unrecognized-option (2)

• redirect—redirect-for-network (0)、 redirect-for-host (1)、 redirect-for-tos-and-net (2)、 redirect-for-tos-and-host (3)

• time-exceeded—ttl-eq-zero- during-reassembly (1)、 ttl-eq-zero-during-transit (0)

• IPv4: 到達不能—network-unreachable (0)、 host-unreachable (1)、 protocol-unreachable (2)、 port-unreachable (3)、 fragmentation-needed (4)、 source-route-failed (5)、 destination-network-unknown (6)、 destination-host-unknown (7)、 source-host-isolated (8)、 destination-network-prohibited (9)、 destination-host-prohibited (10)、 network-unreachable-for-TOS (11)、 host-unreachable-for-TOS (12)、 communication-prohibited-by-filtering (13)、 host-precedence-violation (14)、 precedence-cutoff-in-effect (15)

• IPv6: 到達不能—address-unreachable (3)、 administratively-prohibited (1)、 no-route-to-destination (0)、 port-unreachable (4)

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

hop-limit value

指定されたホップ制限またはホップ制限のセットに一致します。単一の値または0〜255の値の範囲を指定します。

イングレスおよびエグレスIPv6(inet6)インターフェイス

ip-version ipv4 <ip address> | <prefix-list>

ip-version ipv6 <ip address> | <prefix-list>

以下の説明に従って、VXLAN 上のマイクロセグメンテーションで使用するために、IPv4 または IPv6 の送信元または宛先アドレスを照合します。 例:VXLANでグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスとエグレス(システム全体)

GBPポリシーフィルターL4一致で使用するTCP/UDP宛先ポートに一致します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

GBPポリシーフィルターL4一致で使用するTCP/UDP送信元ポートを照合します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

GBPポリシーフィルターL4一致で使用するIPプロトコルタイプに一致します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

パケットがフラグメントである場合に一致し、GBPポリシーフィルターL4一致で使用します(以下を参照): 例:VXLANでグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

GBPポリシーフィルターL4一致で使用するフラグメントフラグ(シンボリックまたは16進形式)を一致させます。次に示します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

IP TTL(Time-to-live)フィールド(10進数)。値は1から255です。GBPポリシーフィルターで使用する場合、次で説明されているL4一致: 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

GBPポリシーL4一致で使用するために、1つ以上のTCPフラグ(シンボリックまたは16進形式)に一致します。次に示します。 例:VXLANでのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

接続の最初のTCPパケットに一致します。GBPポリシーで使用する場合、L4は以下に示されています。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

次に説明されているように、GBPポリシーL4一致で使用するために、確立されたTCP接続のパケットを照合します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

GBPポリシーL4一致で使用するTCP/UDP送信元ポートを照合します。次に示します。 例:VXLANでのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

GBPポリシーフィルターL4一致で使用するTCP/UDP宛先ポートを一致させます。次に示すように、次の例 :VXLANでのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

次のヘッダープロトコルタイプに一致し、GBPポリシーL4一致で使用します。次に示します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

GBPポリシーL4一致で使用するTCPフラグに一致します。次に示します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

次の説明に従って、確立されたTCP接続の初期パケットに一致します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

次に示すように、確立されたTCP接続のパケットに一致させます。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスのみ。

icmp-type value

ICMPメッセージタイプフィールドです。通常、 protocol match ステートメントと合わせてこの一致を指定して、ポートで使用されているプロトコルを決定します。数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。

IPv4:echo-reply (0)、destination unreachable (3)、source-quench (4)、redirect (5)、echo-request (8)、IPv4 (inet)-advertisement (9)、IPv4 (inet)-solicit (10)、time-exceeded (11)、parameter-problem (12)、timestamp (13)、timestamp-reply (14)、info-request (15)、info-reply (16)、mask-request (17)、mask-reply (18)

IPv6:destination-unreachable (1)、packet-too-big (2)、time-exceeded (3)、parameter-problem (4)、echo-request (128)、echo-reply (129)、membership-query (130)、membership-report (131)、membership-termination (132)、router-solicit (133)、router-advertisement (134)、neighbor-solicit (135)、neighbor-advertisement (136)、redirect (137)、router-renumbering (138)、node-information-request (139)、node-information-reply (140)

icmp-code variableも参照してください。

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

interface interface-name | <interface_list>

論理ユニットを含むパケットを受信したインターフェイス。インターフェイス名または論理ユニットの一部としてワイルドカード文字(*)を含めることができます。

フィルター内の同じ用語のインターフェイスのリストを一致させます。ここで説明するように、VXLAN 上のマイクロセグメンテーションで使用する場合: 例:VXLAN でのグループベースポリシーを使用したマイクロセグメンテーションとマクロセグメンテーション。

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

エグレスIPv4(inet)インターフェイスとIPv6(inet6)インターフェイス。

ip-destination-address address

パケットの最終宛先ノードアドレスであるIPv4アドレス。

イングレスポートとVLAN

ip6-destination-address address

パケットの最終宛先ノードアドレスであるIPv6アドレス。

イングレスポートとVLAN(この一致基準を持つフィルターを、レイヤー 2 ポートとそのポートを含む VLAN に同時に適用することはできません。)

ip-options

IPヘッダーのオプションフィールドに何かが指定されている場合、一致を作成する any を指定します。

イングレスポート、VLAN、IPv4(inet)インターフェイス。

Egress IPv4(inet)インターフェイス

ip-precedence ip-precedence-field

IP precedence フィールドです。数字フィールド値の代わりに、 critical-ecp (0xa0)、 flash (0x60)、 flash-override (0x80)、 immediate (0x40)、 internet-control (0xc0)、 net-control (0xe0)、 priority (0x20)、または routine (0x00)のいずれかのテキスト同義語を指定できます。

イングレスポート、VLAN、IPv4(inet)インターフェイス。

Egress IPv4(inet)インターフェイス

ip-protocol number

IP プロトコル フィールドです。

イングレスポート、VLAN、IPv4(inet)インターフェイス。

Egress IPv4(inet)インターフェイス

ip-source-address address

パケットを送信する送信元ノードのIPv4アドレス。

イングレスポートとVLAN

ip6-source-address address

パケットを送信する送信元ノードのIPv6アドレス。

イングレスポートとVLAN(この一致基準を持つフィルターを、レイヤー 2 ポートとそのポートを含む VLAN に同時に適用することはできません。)

ip-version address

パケットのIPバージョン。この条件を使用して、レイヤー2ポートまたはVLANインターフェイスに到着するトラフィックのIPv4またはIPv6ヘッダーフィールドに一致します。

イングレスポートとVLAN

is-fragment

この条件を使用すると、IPヘッダーでMore Fragmentsフラグが有効になっている場合、またはフラグメントオフセットがゼロでない場合に一致します。

イングレスポート、VLAN、IPv4(inet)インターフェイス。

Egress IPv4(inet)インターフェイス

l2-encap-type llc-non-snap

非サブネットアクセスプロトコル(SNAP)イーサネットカプセル化タイプの論理リンク制御(LLC)層パケットで一致します。

イングレスポートとVLAN

エグレスポートとVLAN

label

MPLSラベルビットで一致します。

イングレス MPLS インターフェイス。

エグレス MPLS インターフェイス

learn-vlan-id number

通常のVLANのIDまたは外部(サービス)VLANのID(Q-in-Q VLANの場合)のIDに一致します。許容される値は 1 から 4095 です。

イングレスポートとVLAN

エグレスポートとVLAN

mac-address mac-address

以下の説明に従って、VXLAN 上のマイクロセグメンテーションで使用するために、送信元の MAC(メディアアクセス制御)アドレスを一致させます。 例:VXLAN でのグループベースポリシーを使用したマイクロセグメンテーションとマクロセグメンテーション

イングレスとエグレス(システム全体)

next-header

IPv4またはIPv6プロトコル値。数値の代わりに、以下のテキスト同義語(数値も記載されています)のいずれかを指定します。

hop-by-hop (0),icmp (1), icmp6 (58), igmp (2), ipip (4), tcp (6), egp (8), udp (17), ipv6 (41), routing (43), fragment (44),rsvp (46), gre (47), esp (50), ah (51), icmp6 (58), no-next-header (59), dstopts (60), ospf (89), pim (103), vrrp (112), sctp (132)

イングレスポート、VLAN、およびIPv6(inet6)インターフェイス。

Egress IPv6(inet6)インターフェイス

packet-length

パケット長(バイト単位)。0から65535までの値を入力する必要があります。

イングレスポート、VLAN、IPv4(inet)、およびIPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

payload-protocol

IPv4またはIPv6プロトコル値。数値の代わりに、以下のテキスト同義語(数値も記載されています)のいずれかを指定します。

hop-by-hop (0),icmp (1), icmp6 (58), igmp (2), ipip (4), tcp (6), egp (8), udp (17), ipv6 (41), routing (43), fragment (44),rsvp (46), gre (47), esp (50), ah (51), icmp6 (58), no-next-header (59), dstopts (60), ospf (89), pim (103), vrrp (112), sctp (132)

イングレスポート、VLAN、およびIPv6(inet6)インターフェイス。

Egress IPv6(inet6)インターフェイス

Port qualifier

ポート修飾子は、パケット転送エンジンに 2 つのエントリをインストールします。1つは送信元ポート、もう1つは宛先ポートです。

イングレスポート、VLAN、IPv4(inet)、およびIPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

precedence value

IP ヘッダーのサービス タイプ(ToS)バイトの IP 優先度ビット。(このバイトは、DiffServ DSCPにも使用できます。)数値の代わりに、以下のテキスト同義語(数値も記載されています)のいずれかを指定します。

• routine (0)

• priority (1)

• immediate (2)

• flash (3)

• flash-override (4)

• critical-ecp (5)

• internet-control (6)

• net-control (7)

イングレスポート、VLAN、IPv4(inet)インターフェイス。

Egress IPv4(inet)インターフェイス

protocol type

IPv4またはIPv6プロトコル値。数値の代わりに、以下のテキスト同義語(数値も記載されています)のいずれかを指定します。

hop-by-hop (0),icmp (1), icmp6, igmp (2), ipip (4), tcp (6), egp (8), udp (17), ipv6 (41), routing (43), fragment (44),rsvp (46), gre (47), esp (50), ah (51), icmp6 (58), no-next-header (59), dstopts (60), ospf (89), pim (103), vrrp (112), sctp (132)

イングレスポート、VLAN、IPv4(inet)インターフェイス。

Egress IPv4(inet)インターフェイス

rat-type tech-type-value

PMIPv4(プロキシモバイルIPv4)アクセス技術タイプ拡張の8ビットTech-Typeフィールドで指定されたRAT(無線アクセス技術)タイプに一致します。テクノロジータイプは、モバイルデバイスがアクセスネットワークに接続されたアクセステクノロジーを指定します。単一の値、値の範囲、または値のセットを指定します。技術タイプは、0から255までの数値またはシステムキーワードとして指定できます。

• 数値1はIEEE 802.3に一致します。

• 数値2は、IEEE 802.11a/b/gに一致します。

• 数値3はIEEE 802.16eに一致します

• 数値4はIEEE 802.16mに一致します。

• テキスト文字列 eutran は4Gに一致します。

• テキスト文字列 geran は2Gに一致します。

• テキスト文字列 utran は3Gに一致します。

エグレスおよびイングレスIPv4(inet)インターフェイス

sample

パケットトラフィックをサンプリングします。このオプションは、トラフィックサンプリングを有効にしている場合にのみ適用してください。

エグレスおよびイングレスIPv4(inet)インターフェイス

source-address ip-address

IP送信元アドレスフィールドは、パケットを送信したノードのアドレスです。

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

source-mac-address mac-address

パケットの送信元MAC(メディアアクセス制御)アドレス。

イングレスポートとVLAN

エグレスポートとVLAN

source-port value

TCP または UDP 送信元ポート。通常、この一致は protocol 一致ステートメントと組み合わせて指定します。数値フィールドの代わりに、 destination-portの下に記載されているテキスト同義語の1つを指定します。

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

source-port range-optimize range

使用可能なメモリをより効率的に使用しながら、TCPまたはUDPポートの範囲を一致させます。この条件を使用すると、個々の送信元ポートを設定する場合よりも多くのファイアウォールフィルターを設定できます。(フィルターベースの転送ではサポートされていません)。

イングレスポート、VLAN、IPv4(inet)インターフェイス

source-prefix-list prefix-list

IP 送信元プレフィックス リスト。頻繁に使用できるように、プレフィックスリストエイリアスの下にIPアドレスプレフィックスのリストを定義できます。このリストを [edit policy-options] 階層レベルで定義します。

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

tcp-established

確立されたTCPスリーウェイハンドシェイク接続(SYN、SYN-ACK、ACK)のパケットを照合します。SYNビットのみが設定されているため、一致しない唯一のパケットはハンドシェイクの最初のパケットです。このパケットでは、一致条件として tcp-initial を指定する必要があります。

tcp-establishedを指定しても、スイッチはプロトコルがTCPであることを暗示的に検証しません。また、protocol tcp一致条件も指定する必要があります。

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

tcp-flags value

1つ以上のTCPフラグ:

• ack (0x10)

• fin (0x01)

• push (0x08)

• rst (0x04)

• syn (0x02)

• urgent (0x20)

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

tcp-initial

接続の最初のTCPパケットに一致します。TCPフラグ SYN が設定されていて、TCPフラグ ACK が設定されていない場合に一致が発生します。

tcp-initialを指定した場合、スイッチはプロトコルがTCPであることを暗黙的に検証しません。protocol tcp一致条件も指定する必要があります。

イングレスポート、VLAN、IPv4(inet)インターフェイス、IPv6(inet6)インターフェイス。

Egress IPv4(inet)インターフェイス

traffic-class

パケットのサービスクラス(CoS)優先度を指定する8ビットフィールド。traffic-classフィールドは、DSCP(DiffServコードポイント)値を指定するために使用されます。このフィールドは、以前はIPv4のサービスタイプ(ToS)フィールドとして使用されており、このフィールド(DSCPなど)のセマンティクスはIPv4のセマンティクスと同じです。

以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

af11 (10)、 af12 (12)、 af13 (14)、 af21 (18)、 af22 (20)、 af23 (22)、 af31 (26)、 af32 (28)、 af33 (30)、 af41 (34)、 af42 (36)、 af43 (38)、 cs0 (0)、 cs1 (8)、 cs2 (16)、 cs3 (24)、 cs4 (32)、 cs5 (40)、 cs6 (48)、 cs7 (56)、 ef (46)

イングレスポート、VLAN、およびIPv6(inet6)インターフェイス。

Egress IPv6(inet6)インターフェイス

ttl value

IP TTL(Time-to-live)フィールド(10進数)。値は1から255です。

Ingress IPv4(inet)インターフェイス

Egress IPv4(inet)インターフェイス

user-vlan-1p-priority value

範囲 0-7で指定された802.1p VLAN優先度に一致します。

イングレスポートとエグレスポートとVLAN

user-vlan-id number

Q-in-Q VLANの内部(顧客)VLANのIDに一致します。許容される値は 1 から 4095 です。

イングレスポートとエグレスポートとVLAN

vlan-id <vlan id> | <vlan-range> | <vlan list>

以下の説明に従って、VXLANのマイクロセグメンテーションで使用するVLAN識別子、vlan-range(VLANグループ最初と最後のVLAN ID番号)、またはvlan list(番号のリスト)を一致させます。 例:VXLANでグループベースのポリシーを使用したマイクロおよびマクロセグメンテーション

イングレスとエグレス(システム全体)

accept

パケットを受け取ります。これは、条件に一致するパケットのデフォルトのアクションです。

discard

インターネット制御メッセージプロトコル(ICMP)メッセージを送信せずに、気付かれることなくパケットを無効にします。

reject message-type

パケットを破棄し、「宛先に到達できません」ICMPv4メッセージ(タイプ3)を送信します。拒否されたパケットをログに記録するには、 syslog アクション修飾子を設定します。

メッセージタイプのいずれかを指定できます: administratively-prohibited (default), bad-host-tos, bad-network-tos, host-prohibited, host-unknown, host-unreachable, network-prohibited, network-unknown, network-unreachable, port-unreachable, precedence-cutoff, precedence-violation, protocol-unreachable, source-host-isolated, source-route-failed, または tcp-reset。

tcp-resetを指定した場合、パケットがTCPパケットの場合、システムはTCPリセットを送信し、それ以外の場合は何も送信されません。

メッセージタイプを指定しない場合、ICMP通知「宛先に到達できません」がデフォルトメッセージ「communication administratically filtered」とともに送信されます。

routing-instance instance-name

一致したパケットを仮想ルーティングインスタンスに転送します。

vlan VLAN-name

一致したパケットを特定のVLANに転送します。

analyzer analyzer-name

(非ELSプラットフォーム) [edit ethernet-switching-options analyzer] 階層レベルで設定されたアナライザにトラフィックをミラーリング(パケットをコピーします)。

ポートミラーリングは、イングレスポート、VLAN、およびIPv4(inet)ファイアウォールフィルターに対してのみ指定できます。

count counter-name

条件に一致するパケットの数をカウントします。

decapsulate [gre | routing-instance]

GREパケットのカプセル化を解除するか、カプセル化解除されたGREパケットを指定されたルーティングインスタンスに転送する

dscp value

差別化されたサービスコードポイント(DSCP)。DiffServプロトコルは、IPヘッダーでサービスタイプ(ToS)バイトを使用します。このバイトの最上位の6ビットがDSCPを形成します。

DSCPは、16進法、2進法、または10進法で指定できます。

数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。

• be—ベストエフォート(デフォルト)

• ef (46)— RFC 3246、 An Expedited Forwarding PHBで定義されています。

• af11 (10)、 af12 (12)、 af13 (14);

  af21 (18)、 af22 (20)、 af23 (22);

  af31 (26)、 af32 (28)、 af33 (30);

  af41 (34)、 af42 (36)、 af43 (38)

  これら 4 つのクラスは、各クラスに 3 つのドロップ優先順位があり、合計 12 個のコード ポイントがあり、 RFC 2597、 Assured Forwarding PHB で定義されています。

• cs0、 cs1、 cs2、 cs3、 cs4、 cs5、 cs6、 cs7、 cs5

flow-analyzer profile-name

[edit flow analyzer]階層レベルで設定されたDCフローアナライザ(DFA)プロファイルにパケットをコピーします。このアクション修飾子は、family inetまたはfamily inet6ファイアウォールフィルターに指定できます。

forwarding-class class

パケットを以下のデフォルト転送クラスのいずれか、またはユーザー定義の転送クラスに分類します。

• best-effort

• fcoe

• mcast

• network-control

• no-loss

gbp-src-tag

(QFX5120およびEX4650のみ)

以下の説明に従って、VXLAN 上のマイクロセグメンテーションで使用するグループベースポリシーソースタグ(0..65535)を設定します。 例:VXLAN でのグループベースポリシーを使用したマイクロおよびマクロセグメンテーション

gbp-tag

(EX4100、EX4400、EX4650、QFX5120)

以下の説明に従って、VXLAN 上のマイクロセグメンテーションで使用するグループベースポリシーのソースタグ(1..65535)を設定します。 例:VXLAN でのグループベースポリシーを使用したマイクロセグメンテーションとマクロセグメンテーション

interface

ルックアップを実行せずに、指定されたインターフェイスにトラフィックを切り替えます。このアクションは、フィルターがingressに適用されている場合にのみ有効です。

log

パケットのヘッダー情報をルーティングエンジンに記録します。この情報を表示するには、 show firewall log 動作モードコマンドを入力します。

loss-priority (low | medium-low | medium-high | high)

PLP(パケット損失の優先度)を設定します。

policer policer-name

ポリサーにパケットを送信します(レート制限を適用するため)。

イングレスポート、VLAN、IPv4(inet)、IPv6(inet6)、MPLSフィルターのポリサーを指定できます。

port-mirror

(ELSプラットフォーム) [edit forwarding-options port-mirroring] 階層レベルのポートミラーリングインスタンスに設定された出力インターフェイスにトラフィックをミラーリング(パケットをコピーします)。

ポートミラーリングは、イングレスポート、VLAN、およびIPv4(inet)ファイアウォールフィルターに対してのみ指定できます。

port-mirror-instance port-mirror-instance-name

(ELSプラットフォーム) [edit forwarding-options port-mirroring] 階層レベルで設定されたポートミラーリングインスタンスにトラフィックをミラーリングします。

ポートミラーリングは、イングレスポート、VLAN、およびIPv4(inet)ファイアウォールフィルターに対してのみ指定できます。

syslog

このパケットのアラートを記録します。

three-color-policer three-color-policer-name

3カラーポリサーにパケットを送信します(レート制限を適用するため)。

イングレスポートとエグレスポート、VLAN、IPv4(inet)、IPv6(inet6)、MPLSフィルターの3色ポリサーを指定できます。

arp-type

ARP リクエスト パケットまたは ARP 応答パケット。

イングレスポートとエグレスポートとVLAN

destination-address ip-address

IP宛先アドレスフィールドは、最終宛先ノードのアドレスです。

イングレスおよびエグレスIPv4およびIPv6インターフェイス

イングレスポートとVLAN

destination-mac-address mac-address

パケットの宛先 MACアドレス。

イングレスポートとエグレスポートとVLAN

destination-port value

TCP または UDP 宛先ポート フィールド。IPv4トラフィックの場合は protocol 一致ステートメント、IPv6トラフィックの場合は next-header 一致ステートメントでこの一致を指定する必要があります。

以下の既知のポートとポート番号については、テキスト同義語を指定できます。

afs (1483)、 bgp (179)、 biff (512)、 bootpc (68)、 bootps (67)、

cmd (514)、 cvspserver (2401)、

dhcp (67)、 domain (53)、

eklogin (2105)、 ekshell (2106)、 exec (512)、

finger (79)、 ftp (21)、 ftp-data (20)、

http (80)、https (443)、

ident (113)、 imap (143)、

kerberos-sec (88)、 klogin (543)、 kpasswd (761)、 krb-prop (754)、 krbupdate (760)、 kshell (544)、

ldap (389)、 login (513)、

mobileip-agent (434)、 mobilip-mn (435)、 msdp (639)、

netbios-dgm (138)、 netbios-ns (137)、 netbios-ssn (139)、 nfsd (2049)、 nntp (119)、 ntalk (518)、 ntp (123)、

pop3 (110)、 pptp (1723)、 printer (515)、

radacct (1813)、radius (1812)、rip (520)、rkinit (2108)、

smtp (25)、 snmp (161)、 snmptrap (162)、 snpp (444)、 socks (1080)、 ssh (22)、 sunrpc (111)、 syslog (514)、

tacacs-ds (65)、 talk (517)、 telnet (23)、 tftp (69)、 timed (525)、

who (513),

xdmcp (177),

zephyr-clt (2103), zephyr-hm (2104)

イングレスおよびエグレスIPv4インターフェイス

イングレスIPv6インターフェイス。

イングレスポートとVLAN

destination-port range-optimize range

使用可能なメモリをより効率的に使用しながら、TCPまたはUDPポートの範囲を一致させます。この条件を使用すると、宛先ポートを個別に設定する場合よりも多くのファイアウォールフィルターを設定できます。(フィルターベースの転送ではサポートされていません)。

イングレスIPv4インターフェイス

destination-prefix-list prefix-list

IP 宛先プレフィックスリスト フィールドです。頻繁に使用できるように、プレフィックスリストエイリアスの下にIPアドレスプレフィックスのリストを定義できます。このリストを [edit policy-options] 階層レベルで定義します。

イングレスおよびエグレスIPv4およびIPv6インターフェイス

イングレスポートとVLAN

dscp value

差別化されたサービスコードポイント(DSCP)。DiffServプロトコルは、IPヘッダーでサービスタイプ(ToS)バイトを使用します。このバイトの最上位の6ビットがDSCPを形成します。

DSCPは、16進法、2進法、または10進法で指定できます。

数値の代わりに、以下のテキスト同義語とリストされているフィールドのいずれかを指定できます。

• be—ベストエフォート(デフォルト)

• ef (46)— RFC 3246、 An Expedited Forwarding PHBで定義されています。

• af11 (10)、 af12 (12)、 af13 (14);

  af21 (18)、 af22 (20)、 af23 (22);

  af31 (26)、 af32 (28)、 af33 (30);

  af41 (34)、 af42 (36)、 af43 (38)

  これら 4 つのクラスは、各クラスに 3 つのドロップ優先順位があり、合計 12 個のコード ポイントがあり、 RFC 2597、 Assured Forwarding PHB で定義されています。

• cs0、 cs1、 cs2、 cs3、 cs4、 cs5、 cs6、 cs7、 cs5

イングレスおよびエグレスIPv4インターフェイス

イングレスポートとVLAN

ether-type value

パケットのイーサネット タイプ フィールド。EtherType値は、イーサネットフレームで転送するプロトコルを指定します。数値の代わりに、以下のテキスト同義語のいずれかを指定できます。フィールド値も表示されます。

• aarp (0x80F3)—EtherType値AARP

• appletalk (0x809B)—EtherType値AppleTalk

• arp (0x0806)—EtherType値ARP

• fcoe (0x8906)—EtherType値FCoE

• fip (0x8914)—EtherType値FIP

• ipv4 (0x0800)—EtherType値IPv4

• ipv6 (0x08DD)—EtherType値IPv6

• mpls-multicast (0x8848)—EtherType値MPLSマルチキャスト

• mpls-unicast (0x8847)—EtherType 値 MPLS ユニキャスト

• oam (0x88A8)—EtherType値OAM

• ppp (0x880B)—EtherType値PPP

• pppoe-discovery (0x8863)—EtherType値PPPoEディスカバリーステージ

• pppoe-session (0x8864)—EtherType値PPPoEセッションステージ

• sna (0x80D5)—EtherType値SNA

イングレスポートとエグレスポートとVLAN

パケットがフラグメントパケットの最初のフラグメントである場合に一致します。フラグメントパケットの追跡フラグメントである場合、パケットの一致を回避します。フラグメントパケットの最初のフラグメントのフラグメントオフセット値は0です。

この一致条件は、ビットフィールド一致条件フラグメントオフセット0一致条件のエイリアスです。

最初のフラグメントと最後のフラグメントの両方を一致させるには、異なる一致条件を指定する2つの条件を使用できます: first-fragment と is-fragment。

イングレスIPv4インターフェイス

icmp-code value

ICMP コード フィールドです。値の意味は関連する icmp-typeに依存するため、 icmp-type の値と icmp-codeの値を指定する必要があります。数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。キーワードは、それらが関連するICMPタイプによってグループ化されます。

• IPv4: parameter-problem—ip-header-bad (0)、 required-option-missing (1)

• IPv6: parameter-problem—ip6-header-bad (0)、 unrecognized-next-header (1)、 unrecognized-option (2)

• redirect—redirect-for-network (0)、 redirect-for-host (1)、 redirect-for-tos-and-net (2)、 redirect-for-tos-and-host (3)

• time-exceeded—ttl-eq-zero- during-reassembly (1)、 ttl-eq-zero-during-transit (0)

• IPv4: 到達不能—network-unreachable (0)、 host-unreachable (1)、 protocol-unreachable (2)、 port-unreachable (3)、 fragmentation-needed (4)、 source-route-failed (5)、 destination-network-unknown (6)、 destination-host-unknown (7)、 source-host-isolated (8)、 destination-network-prohibited (9)、 destination-host-prohibited (10)、 network-unreachable-for-TOS (11)、 host-unreachable-for-TOS (12)、 communication-prohibited-by-filtering (13)、 host-precedence-violation (14)、 precedence-cutoff-in-effect (15)

• IPv6: 到達不能—address-unreachable (3)、 administratively-prohibited (1)、 no-route-to-destination (0)、 port-unreachable (4)

イングレスおよびエグレスIPv4インターフェイス

イングレスIPv6インターフェイス

イングレスポートとVLAN

icmp-type value

ICMPメッセージタイプフィールドです。この一致は、 protocol 一致ステートメントとともに指定する必要があります。この一致により、IPv4トラフィックの場合はポートでどのプロトコルが使用されているか、IPv6トラフィックの場合は next-header 一致ステートメントが使用されているかが決定されます。

数値の代わりに、以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定します。

IPv4:echo-reply (0)、destination unreachable (3)、source-quench (4)、redirect (5)、echo-request (8)、IPv4 (inet)-advertisement (9)、IPv4 (inet)-solicit (10)、time-exceeded (11)、parameter-problem (12)、timestamp (13)、timestamp-reply (14)、info-request (15)、info-reply (16)、mask-request (17)、mask-reply (18)

IPv6:destination-unreachable (1)、packet-too-big (2)、time-exceeded (3)、parameter-problem (4)、echo-request (128)、echo-reply (129)、membership-query (130)、membership-report (131)、membership-termination (132)、router-solicit (133)、router-advertisement (134)、neighbor-solicit (135)、neighbor-advertisement (136)、redirect (137)、router-renumbering (138)、node-information-request (139)、node-information-reply (140)

icmp-code variableも参照してください。

イングレスおよびエグレスIPv4インターフェイス

イングレスIPv6インターフェイス

イングレスポートとVLAN

interface interface-name

論理ユニットを含むパケットを受信したインターフェイス。インターフェイス名または論理ユニットの一部としてワイルドカード文字(*)を含めることができます。

イングレスポートとVLAN

ip-destination-address address

パケットの最終宛先ノードアドレスであるIPv4アドレス。

イングレスポートとVLAN

ip-options

IPヘッダーのオプションフィールドに何かが指定されている場合、一致を作成する any を指定します。

イングレスIPv4インターフェイス

ip-protocol number

IP プロトコル フィールドです。

イングレスポートとVLAN

ip-precedence ip-precedence-field

IP precedence フィールドです。数字フィールド値の代わりに、 critical-ecp (0xa0)、 flash (0x60)、 flash-override (0x80)、 immediate (0x40)、 internet-control (0xc0)、 net-control (0xe0)、 priority (0x20)、または routine (0x00)のいずれかのテキスト同義語を指定できます。

イングレスポートとVLAN

ip-source-address address

パケットを送信する送信元ノードのIPv4アドレス。

イングレスポートとVLAN

ip-version address

パケットのIPバージョン。この条件を使用して、レイヤー2ポートまたはVLANインターフェイスに到着するトラフィックのIPv4またはIPv6ヘッダーフィールドに一致します。

イングレスポートとVLAN

この条件を使用すると、IPヘッダーでMore Fragmentsフラグが有効になっている場合、またはフラグメントオフセットがゼロでない場合に一致します。

イングレスおよびエグレスIPv4インターフェイス(QFX5220)

イングレスIPv4インターフェイス(QFX5130)

MAC 学習用の VLAN 識別子。

イングレスおよびエグレスポートとVLAN(QFX5220)

イングレスポートとVLAN(QFX5130)

プロバイダVLANタグ(802.1Q VLANタグを持つシングルタグフレーム内の唯一のタグ、または802.1Q VLANタグを持つデュアルタグフレーム内の外部タグ)のIEEE 802.1p学習VLAN優先度ビットに一致します。0〜7の単一の値または複数の値を指定します。

イングレスポートとVLAN

next-header

IPv4またはIPv6プロトコル値。数値の代わりに、以下のテキスト同義語(数値も記載されています)のいずれかを指定します。

hop-by-hop (0),icmp (1), icmp6 (58), igmp (2), ipip (4), tcp (6), egp (8), udp (17), ipv6 (41), routing (43), fragment (44),rsvp (46), gre (47), esp (50), ah (51), icmp6 (58), no-next-header (59), dstopts (60), ospf (89), pim (103), vrrp (112), sctp (132)

イングレスおよびエグレスIPv6インターフェイス

packet-length

パケット長(バイト単位)。0から65535までの値を入力する必要があります。

イングレスIPv4およびIPv6インターフェイス

precedence value

IP ヘッダーのサービス タイプ(ToS)バイトの IP 優先度ビット。(このバイトは、DiffServ DSCPにも使用できます。)数値の代わりに、以下のテキスト同義語(数値も記載されています)のいずれかを指定します。

• routine (0)

• priority (1)

• immediate (2)

• flash (3)

• flash-override (4)

• critical-ecp (5)

• internet-control (6)

• net-control (7)

イングレスおよびエグレスIPv4インターフェイス

protocol type

IP プロトコル値。数値の代わりに、以下のテキスト同義語(数値も記載されています)のいずれかを指定します。

hop-by-hop (0),icmp (1), icmp6, igmp (2), ipip (4), tcp (6), egp (8), udp (17), ipv6 (41), routing (43), fragment (44),rsvp (46), gre (47), esp (50), ah (51), icmp6 (58), no-next-header (59), dstopts (60), ospf (89), pim (103), vrrp (112), sctp (132)tcp (4)

Ingressおよびegress IPv4インターフェイス

イングレスIPv4インターフェイスとVLAN

source-address ip-address

IP送信元アドレスフィールドは、パケットを送信したノードのアドレスです。

イングレスおよびエグレスIPv4インターフェイス

イングレスIPv6インターフェイス

イングレスポートとVLAN

source-mac-address mac-address

パケットの送信元MAC(メディアアクセス制御)アドレス。

イングレスおよびエグレスIPv4インターフェイスとVLAN

source-port value

TCP または UDP 送信元ポート。この一致は、IPv4トラフィックの場合は protocol 一致ステートメント、IPv6トラフィックの場合は next-header 一致ステートメントと組み合わせて指定する必要があります。

数値フィールドの代わりに、 destination-portの下に記載されているテキスト同義語の1つを指定します。

イングレスおよびエグレスIPv4インターフェイス

イングレスIPv6インターフェイス

イングレスポートとVLAN

source-port range-optimize range

使用可能なメモリをより効率的に使用しながら、TCPまたはUDPポートの範囲を一致させます。この条件を使用すると、個々の送信元ポートを設定する場合よりも多くのファイアウォールフィルターを設定できます。(フィルターベースの転送ではサポートされていません)。

イングレスIPv4インターフェイス

source-prefix-list prefix-list

IP 送信元プレフィックス リスト。頻繁に使用できるように、プレフィックスリストエイリアスの下にIPアドレスプレフィックスのリストを定義できます。このリストを [edit policy-options] 階層レベルで定義します。

イングレスおよびエグレスIPv4インターフェイス

イングレスIPv6インターフェイス

イングレスポートとVLAN

確立されたTCPセッションのTCPパケット(接続の最初のパケット以外のパケット)に一致します。これはのエイリアスです tcp-flags "(ack | rst)".

この一致条件は、プロトコルがTCPであることを暗示的に確認しません。これを確認するには、 protocol tcp 一致条件を指定します。

イングレスおよびエグレスIPv4インターフェイス(QFX5220)

イングレスおよびエグレスIPv4インターフェイス(QFX5130)

イングレスIPv6インターフェイス(QFX5130)

tcp-flags value

TCPフラグ(1つの値のみがサポートされています):

• ack (0x10)

• fin (0x01)

• push (0x08)

• rst (0x04)

• syn (0x02)

• urgent (0x20)

イングレスおよびエグレスIPv4インターフェイス

イングレスIPv6インターフェイス

イングレスポートとVLAN

接続の最初のTCPパケットに一致します。TCPフラグ SYN が設定されていて、TCPフラグ ACK が設定されていない場合に一致が発生します。

tcp-initialを指定した場合、スイッチはプロトコルがTCPであることを暗黙的に検証しません。protocol tcp一致条件も指定する必要があります。protocol typeを参照してください。

イングレスおよびエグレスIPv4インターフェイス(QFX5220)

イングレスおよびエグレスIPv4インターフェイス、イングレスIPv6インターフェイス(QFX5130)

traffic-class

パケットのサービスクラス(CoS)優先度を指定する8ビットフィールド。traffic-classフィールドは、DSCP(DiffServコードポイント)値を指定するために使用されます。このフィールドは、以前はIPv4のサービスタイプ(ToS)フィールドとして使用されており、このフィールド(DSCPなど)のセマンティクスはIPv4のセマンティクスと同じです。

以下のテキスト同義語(フィールド値も記載されています)のいずれかを指定できます。

af11 (10)、 af12 (12)、 af13 (14)、 af21 (18)、 af22 (20)、 af23 (22)、 af31 (26)、 af32 (28)、 af33 (30)、 af41 (34)、 af42 (36)、 af43 (38)、 cs0 (0)、 cs1 (8)、 cs2 (16)、 cs3 (24)、 cs4 (32)、 cs5 (40)、 cs6 (48)、 cs7 (56)、 ef (46)

イングレスおよびエグレスIPv6インターフェイス

ttl value

IP TTL(Time-to-live)フィールド(10進数)。値は1から255です。

イングレスおよびエグレスIPv4インターフェイス

user-vlan-id number

Q-in-Q VLANの内部(顧客)VLANのIDに一致します。許容される値は 1 から 4095 です。

イングレスポートとVLAN(QFX5130)

user-vlan-1p-priority value

範囲 0-7で指定された802.1p VLAN優先度に一致します。

イングレスポートとVLAN(QFX5130)

accept

パケットを受け取ります。これは、条件に一致するパケットのデフォルトのアクションです。

apply-groups-except

設定データを継承しないグループを指定します。複数のグループ名を指定できます。

count counter-name

条件に一致するパケットの数をカウントします。

discard

インターネット制御メッセージプロトコル(ICMP)メッセージを送信せずに、気付かれることなくパケットを無効にします。

forwarding-class class

パケットを以下のデフォルト転送クラスのいずれか、またはユーザー定義の転送クラスに分類します。

• best-effort

• fcoe

• mcast

• network-control

• no-loss

log

パケットのヘッダー情報をルーティングエンジンに記録します。この情報を表示するには、 show firewall log 動作モードコマンドを入力します。

loss-priority (low | medium-low | medium-high | high)

PLP(パケット損失の優先度)を設定します。

policer policer-name

ポリサーにパケットを送信します(レート制限を適用するため)。

port-mirror

[edit forwarding-options port-mirroring]階層レベルのポートミラーリングインスタンスに設定された出力インターフェイスにトラフィックをミラーリング(パケットをコピーします)。

port-mirror-instance port-mirror-instance-name

[edit forwarding-options port-mirroring]階層レベルで設定されたポートミラーリングインスタンスにトラフィックをミラーリングします。

ポートミラーリングは、イングレスポート、VLAN、およびIPv4(inet)ファイアウォールフィルターに対してのみ指定できます。

reject message-type

パケットを破棄し、「宛先に到達できません」ICMPv4メッセージ(タイプ3)を送信します。拒否されたパケットをログに記録するには、 syslog アクション修飾子を設定します。

以下のメッセージタイプのいずれかを指定できます。 administratively-prohibited (default), bad-host-tos, bad-network-tos, host-prohibited, host-unknown, host-unreachable, network-prohibited, network-unknown, network-unreachable, port-unreachable, precedence-cutoff, precedence-violation, protocol-unreachable, source-host-isolated, source-route-failed.

メッセージタイプを指定しない場合、ICMP通知「宛先に到達できません」がデフォルトメッセージ「communication administratically filtered」とともに送信されます。

three-color-policer three-color-policer-name

3カラーポリサーにパケットを送信します(レート制限を適用するため)。

vlan VLAN-name

一致したパケットを特定のVLANに転送します。

これらのプラットフォームでこのアクションプロファイルを有効にするには、 set system packet-forwarding-options firewall profiles actions ethernet-switching profile1 設定を適用する必要があります。 vlan vlanID アクションは、ポートおよびVLANファイアウォールフィルタールールで設定できます。