IPv6 có thể phù hợp với Wildcard trong Cisco IOS không?

Facebook rất thông minh với sơ đồ địa chỉ IPv6 của họ, nhưng điều đó khiến tôi suy nghĩ về ACL và có thể viết một Cisco IOS IPv6 ACL phù hợp không? Trong IPv4, bạn có thể khớp với một octet giữa, chẳng hạn như 10.xxx.10.xxx để đạt bất kỳ 'x' nào với 'không quan tâm'. Tôi không nghĩ rằng điều này là có thể có trong IPv6, ít nhất là kể từ iOS 15.1.

Trong trường hợp ví dụ của tôi, vì Facebook rất thông minh, nên bạn có thể dễ dàng kết hợp trên FACE: B00C nếu bạn có thể. Theo cách này, đơn giản hóa bởi vì không cần tra cứu khối nào được gán, tôi chỉ có thể khớp với phạm vi đó.

2A03: 2880: F000: [0000-FFFF]: KHUÔN: B00C :: / 96

Cách rõ ràng và thông thường là khớp trên 2A03: 2880: F000 :: / 48 nhưng thật không may, tôi không chắc chắn trong nháy mắt nếu FB có phạm vi lớn hơn (có thể là như vậy). Vì vậy, trong trường hợp cụ thể này, nếu tôi có thể chỉ khớp với phần FACE: B00C, tôi có thể khớp mọi thứ họ đang sử dụng, giả sử họ không chuyển sang FACE: B00D

Vì tôi không thể nhập mặt nạ ký tự đại diện trong IOS cho và ACL IPv6, tôi không nghĩ bạn có thể làm điều này, nhưng tôi tò mò nếu ai đó có cách giải quyết thú vị. Tôi nghĩ sẽ hữu ích khi biết điều này bởi vì tại một số điểm tôi có thể cần lọc một khối phụ chỉ vì DDoS hoặc lưu lượng truy cập mạnh trong khi không muốn chặn toàn bộ / 32 cho một số nhà cung cấp lớn.

Ngoài ra, điều này có thể cho phép chuyển hướng hoặc ưu tiên lưu lượng dựa trên chính sách. Nếu tôi nhận ra các quảng cáo nằm trong một khối khác, tôi có thể QoS chúng khác nhau, ví dụ, một tính năng hay cho băng thông thấp, các liên kết vệ tinh bị tắc nghẽn.

EDIT: Để làm rõ một chút. Có thể có trường hợp tôi cần chặn hoặc cho phép một số phạm vi nhất định trong một khối lớn như a / 32. Chúng có thể hơi liền kề và thay vì hàng trăm mục, một ký tự đại diện có thể khớp với các phần lớn của chúng. Điều này cũng có thể được sử dụng cho kỹ thuật giao thông theo cách tôi có thể định tuyến tất cả các khối 10.x.10.0 trong đó nếu x là số lẻ, nó sẽ đi một tuyến so với tuyến khác.

Một ví dụ khác là DDoS trong đó IP nguồn IPv6 đang bị giả mạo với một mẫu đánh vần tên nhóm của tin tặc. Điều này sẽ xảy ra ít nhất một lần, thật tuyệt khi có thể lọc trên đó.

Một ACL nhỏ gọn sạch hơn nhưng không phải lúc nào cũng dễ quản lý hơn. Những điều này có thể là ý tưởng / thực hành tốt hoặc xấu, không phải ở đây để tranh luận rằng, chỉ cần cố gắng để xử lý những công cụ tôi có so với những công cụ nào tôi có thể phải tạo ra.

Thật không may, Cisco đã loại bỏ mặt nạ ký tự đại diện trong IPv6. Đó chủ yếu là một điều tốt, NGOẠI TRỪ trong trường hợp cụ thể này. Tuy nhiên, để ý tưởng của bạn hoạt động, bạn phải dựa vào Facebook vừa "thông minh" vừa nhất quán, điều này có lẽ nhiều hơn một người có thể hy vọng.

Nhưng nếu bạn muốn xử lý lưu lượng truy cập của Facebook khác với lưu lượng khác, bạn chỉ cần lọc trên khối địa chỉ được chỉ định của họ. Người bạn đề cập trong câu hỏi của bạn thực sự được gán cho Facebook Ireland: 2a03: 2880 :: / 32.

Nhưng nó chỉ dễ dàng để tìm kiếm những người khác trong đăng ký.

Tôi đã chơi một số trò chơi với FPM và tôi nghĩ nó có thể làm những gì bạn đang tìm kiếm:

load protocol system:fpm/phdf/ether.phdf
load protocol flash:/fpm/phdf/ipv6.phdf
!
class-map type stack match-all cm-ipv6
 match field ETHER type eq 0x86DD next IPV6
class-map type access-control match-all cm-ipv6-facebook
 match start IPV6 dest-addr offset 9 size 4 eq 0xFACEB00C
!
policy-map type access-control pm-ipv6-facebook
 class cm-ipv6-facebook
   drop
policy-map type access-control pm-filter
 class cm-ipv6
   log
  service-policy pm-ipv6-facebook
!
interface FastEthernet0/1
 service-policy type access-control input pm-filter

Tôi đã phải cuộn tập tin ipv6.phdf của riêng mình cho cái này:

<?xml version="1.0" encoding="UTF-8"?>
<phdf>
 <version>1</version>
 <protocol name="ipv6" description="Definition-for-the-IPv6-protocol">
 <field name="version" description="IP version">
  <offset type="fixed-offset" units="bits">0</offset>
  <length type="fixed" units="bits">4</length>
 </field>
 <field name="tc" description="IPv6-Traffic-Class">
  <offset type="fixed-offset" units="bits">4</offset>
  <length type="fixed" units="bits">8</length>
 </field>
  <field name="fl" description="IPv6-Flow-Label">
  <offset type="fixed-offset" units="bits">12</offset>
  <length type="fixed" units="bits">20</length>
 </field>
 <field name="length" description="IPv6-Payload-Length">
  <offset type="fixed-offset" units="bits">32</offset>
  <length type="fixed" units="bits">16</length>
 </field>
 <field name="nh" description="IPv6-Next-Header">
  <offset type="fixed-offset" units="bits">48</offset>
  <length type="fixed" units="bits">8</length>
 </field>
 <field name="hl" description="IPv6-Hop-Limit">
  <offset type="fixed-offset" units="bits">56</offset>
  <length type="fixed" units="bits">8</length>
 </field>
 <field name="source-addr" description="IPv6-Source-Address">
  <offset type="fixed-offset" units="bits">64</offset>
  <length type="fixed" units="bits">128</length>
 </field>
 <field name="dest-addr" description="IPv6-Destination-Address">
  <offset type="fixed-offset" units="bits">192</offset>
  <length type="fixed" units="bits">128</length>
 </field>
 <field name="payload-start" description="IPv6-Payload-Start">
  <offset type="fixed-offset" units="bits">320</offset>
  <length type="fixed" units="bits">0</length>
 </field>
 <headerlength type="fixed" value="320"></headerlength>
 <constraint field="version" value="6" operator="eq"></constraint>
</protocol>
</phdf>

Thật không may, khi tôi thực hiện "hiển thị giao diện kiểm soát truy cập loại bản đồ chính sách fa0 / 1", tôi không nhận được kết quả khớp nào trên ethertype:

FastEthernet0/1 

  Service-policy access-control input: pm-filter

    Class-map: cm-ipv6 (match-all)
      0 packets, 0 bytes
      5 minute offered rate 0 bps, drop rate 0 bps
      Match: field ETHER type eq 0x86DD next IPV6
      log

      Service-policy access-control : pm-ipv6-facebook

        Class-map: cm-ipv6-facebook (match-all)
          0 packets, 0 bytes
          5 minute offered rate 0 bps
          Match: start IPV6 dest-addr offset 9 size 4 eq 0xFACEB00C
      drop

        Class-map: class-default (match-any)
          0 packets, 0 bytes
          5 minute offered rate 0 bps, drop rate 0 bps
          Match: any 

    Class-map: class-default (match-any)
      10000 packets, 1863618 bytes
      5 minute offered rate 14000 bps, drop rate 0 bps
      Match: any 

Tôi nghi ngờ rằng việc ping của tôi tới địa chỉ IPv6 của Facebook không chạy qua CEF đúng cách ( Câu hỏi thường gặp về FPM nói rằng điều đó là bắt buộc) hoặc tôi đang thiếu một cái gì đó. Tuy nhiên, tôi sẽ đưa nó ra cho bất cứ ai muốn nhai nó.