IPv4 流量的防火墙过滤器匹配条件
您可以配置具有互联网协议版本 4 （IPv4） 流量 （） 的匹配条件的family inet防火墙过滤器。
对于带有 MPC 的 MX 系列路由器，您需要通过走相应的 SNMP MIB（例如 show snmp mib walk name ascii），初始化 MIB 中仅三匹配过滤器的过滤器计数器。这迫使 Junos 学习过滤器计数器，并确保显示过滤器统计信息（这是因为对过滤器统计信息的第一次轮询可能不会显示所有计数器）。本指南适用于所有增强型模式防火墙过滤器、具有灵活条件的过滤器以及具有某些终止操作的过滤器。有关详细信息，请参阅相关文档下列出的这些主题。
表 1 介绍了 match-conditions 可以在层级配置 [edit firewall family inet filter filter-name term term-name from] 的问题。
|
匹配条件 |
说明 |
|
|---|---|---|
|
|
匹配 IPv4 源地址或目标地址字段，
|
|
|
|
（M 系列路由器，M120 和 M320 除外）匹配 IPsec 身份验证标头 （AH） 安全参数索引 （SPI） 值。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
（M 系列路由器，M120 和 M320 除外）与 IPsec AH SPI 值不匹配。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
指定要从哪些组继承配置数据。您可以指定多个组名。您必须按继承优先级顺序列出它们。第一个组中的配置数据优先于后续组中的数据。 |
|
|
|
指定不继承配置数据的组。您可以指定多个组名。 |
|
|
|
匹配 IPv4 目标地址字段， 您不能在同一 |
|
|
|
匹配一个或多个指定的目标类名称（组合在一起并赋予一个类名的目标前缀集）。有关更多信息，请参阅 基于地址等级的防火墙过滤器匹配条件。 |
|
|
|
与一个或多个指定的目标类名称不匹配。有关详细信息，请参阅 |
|
|
|
匹配 UDP 或 TCP 目标端口字段。 您不能在同一 配置基于端口的匹配项时，还必须在同一过滤器术语中配置 您可以代替数值，指定以下文本同义词之一（同时列出了端口号）： |
|
|
|
与 UDP 或 TCP 目标端口字段不匹配。有关详细信息，请参阅 |
|
|
|
匹配指定列表中 的目标前缀， 指定在 |
|
|
|
匹配差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。有关更多信息，请参阅 了解行为聚合分类器如何确定可信流量的优先级。 增加了对差异化服务代码点 （DSCP） 过滤的支持和路由引擎源数据包的转发类，包括以通用路由封装 （GRE） 封装的 IS-IS 数据包。随后，从同时具有服务等级 （CoS） 和防火墙过滤器且同时包含 DSCP 或转发类过滤器操作的 Junos OS 前一个版本升级时，防火墙过滤器中的标准会自动优先于 CoS 设置。创建新配置时也是如此;也就是说，如果存在相同的设置，则防火墙过滤器优先于 CoS，无论哪个是先创建的。 您可以指定一个从到 代替数值，您可以指定以下文本同义词之一（字段值也列出）：
|
|
|
|
DSCP 编号不匹配。有关更多信息，请参阅 |
|
|
|
匹配 IPsec 封装安全有效负载 （ESP） SPI 值。匹配此特定 SPI 值。您可以以十六进制、二进制或十进制形式指定 ESP SPI 值。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
匹配 IPsec ESP SPI 值。此特定 SPI 值不匹配。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
匹配数据包是否为分片数据包的第一个分片。如果数据包是分片数据包的尾随分片，则不匹配。分片数据包的第一个分片的分片偏移值 。 此匹配条件是位字段匹配条件匹配条件 要同时匹配第一个和尾部分片，您可以使用两个指定不同匹配条件的术语： |
|
|
|
|
要以位表示的数据长度，字符串输入 （0..128） |
|
|
（匹配开始 + 字节） 偏移 （0.7） 后的位偏移量 |
|
|
|
匹配起点后的字节偏移量 |
|
|
|
从预定义模板字段灵活选择匹配项 |
|
|
|
掩盖要匹配的数据包数据中的位 |
|
|
|
在数据包中匹配的起点 |
|
|
|
值数据/要匹配的字符串 |
|
|
|
|
要以位计的匹配数据长度 （0.32） |
|
|
（匹配开始 + 字节） 偏移 （0.7） 后的位偏移量 |
|
|
|
匹配起点后的字节偏移量 |
|
|
|
从预定义模板字段灵活选择匹配项 |
|
|
|
在数据包中匹配的起点 |
|
|
|
要匹配的值范围 |
|
|
|
不匹配此值范围 |
|
|
|
匹配数据包的转发等级。 指定 有关转发类和路由器内部输出队列的信息，请参阅 了解转发类如何将类分配给输出队列。 |
|
|
|
与数据包的转发类不匹配。有关详细信息，请参阅 |
|
|
|
（仅限入口）匹配 IP 报头中的三位 IP 分片标志字段。 您可以指定以下一个关键词（字段值也列出）来代替数字字段值： |
|
|
|
匹配 IP 报头中的 13 位分片偏移字段。值是向数据分片发送的总体数据报消息中的 8 字节单位的偏移量。指定一个数字值、一个值范围或一组值。偏移值 匹配 要同时匹配第一个和尾部分片，您可以使用两个指定不同匹配条件（ |
|
|
|
与 13 位分片偏移字段不匹配。 |
|
|
|
匹配 gre-key 字段。GRE 密钥字段是由 GRE 封装器插入的 4 个八位位字节编号。这是用于 GRE 封装的可选字段。可以是 range 单个 GRE 密钥编号，也可以是一系列密钥编号。 对于具有 MPC 的 MX 系列路由器，通过走相应的 SNMP MIB 来初始化包含此情况的新防火墙过滤器。 |
|
|
|
匹配 ICMP 消息代码字段。 注：
使用此匹配条件时，还应在同 term Allow _ICMP {
from protocol icmp {
icmp-code ip-header-bad;
icmp-type echo-reply;
}
then {
policer ICMP_Policier;
count Allow_ICMP;
您还必须在同一 代替数值，可以指定以下文本同义词之一（字段值也会列出）。这些关键词按与之关联的 ICMP 类型进行分组：
|
|
|
|
与 ICMP 消息代码字段不匹配。有关详细信息，请参阅 |
|
|
|
匹配 ICMP 消息类型字段。 注：
使用此匹配条件时，还应在同 term Allow _ICMP {
from protocol icmp {
icmp-code ip-header-bad;
icmp-type echo-reply;
}
then {
policer ICMP_Policier;
count Allow_ICMP;
您还必须在同一 注：
对于 Junos OS Evolved，您必须在同一术语中配置 代替数值，您可以指定以下文本同义词之一（字段值也列出）： |
|
|
|
与 ICMP 消息类型字段不匹配。有关详细信息，请参阅 |
|
|
|
匹配接收数据包的接口。 注：
如果使用不存在的接口配置此匹配条件，则术语不会匹配任何数据包。 |
|
|
|
将接收数据包的逻辑接口与指定的接口组或接口组集匹配。对于 要为接口组 注：
PTX 系列路由器不支持此匹配条件。 有关更多信息，请参阅 过滤在一组接口组上接收的数据包概述。 |
|
|
|
不要与接收数据包的逻辑接口匹配到指定的接口组或接口组集。有关详细信息，请参阅 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
将接收数据包的接口匹配到指定的接口集。 要定义接口集，请将语句 注：
PTX 系列路由器不支持此匹配条件。 有关更多信息，请参阅 过滤接口集上接收的数据包概述。 |
|
|
|
将 8 位 IP 选项字段（如果存在）匹配指定的值或值列表。 代替数值，可以指定以下文本同义词之一（同时列出了选项值）： 要匹配 IP 选项 的任何 值，请使用文本同义词 例如，匹配条件 对于大多数接口，在一
MX 系列路由器上的 10 千兆以太网模块化端口集中器 （MPC）、100 千兆以太网 MPC、60 千兆以太网 MPC、60 千兆以太网 MPC 和 60 千兆以太网增强排队 MPC 能够解析 IPv4 数据包标头的 IP 选项字段。对于在这些 MPC 上配置的接口，使用
注：
|
|
|
|
请勿将 IP 选项字段与指定的值或值列表匹配。有关指定匹配 |
|
|
|
如果 IP 报头中启用了更多分片标志，或者分片偏移量不为零，则使用此条件将导致匹配。 注：
要同时匹配第一个和尾部分片，您可以使用两个指定不同匹配条件（ |
|
|
|
匹配丢包优先级 （PLP） 级别。 指定单个级别或多个级别： 支持 M120 和 M320 路由器;配备增强型 CFEB （CFEB-E） 的 M7i 和 M10i 路由器;和 MX 系列路由器。 对于具有增强型 II 灵活 PIC 集中器 （FPC） 的 M320、MX 系列和 T 系列路由器上的 IP 流量，您必须在 有关 |
|
|
|
与 PLP 级别不匹配。有关详细信息，请参阅 |
|
|
|
匹配接收数据包的长度（以字节为单位）。长度仅指 IP 数据包，包括数据包标头，不包括任何第 2 层封装开销。您还可以指定要匹配的值范围。 |
|
|
|
与收到的数据包的长度（以字节为单位）不匹配。有关详细信息，请参阅 |
|
|
|
匹配 UDP 或 TCP 源或目标端口字段。 如果配置此匹配条件，则无法配置 配置基于端口的匹配项时，还必须在同一过滤器术语中配置 您可以指定下 |
|
|
|
源、目标 UDP 或 TCP 端口字段不匹配。有关详细信息，请参阅 |
|
|
|
匹配 IP 优先级字段。 代替数字字段值，可以指定以下文本同义词之一（字段值也会列出）： |
|
|
|
与 IP 优先级字段不匹配。 代替数字字段值，可以指定以下文本同义词之一（字段值也会列出）： |
|
|
|
将源地址或目标地址字段的前缀与指定列表中 前缀匹配， 前缀列表在层次结构级别定义 注：
PTX1000 路由器不支持此匹配条件。 |
|
|
|
匹配 IP 协议类型字段。代替数值，您可以指定以下文本同义词之一（字段值也列出）： |
|
|
|
不匹配 IP 协议类型字段。代替数值，您可以指定以下文本同义词之一（字段值也列出）： |
|
|
|
匹配代理移动 IPv4 （PMIPv4） 接入技术类型扩展的 8 位技术类型字段指定的无线接入技术 （RAT） 类型。技术类型指定移动设备连接到接入网络的接入技术。 指定单个值、一系列值或一组值。您可以将技术类型指定为 0 到 255 的数值或系统关键词。
|
|
|
|
与 RAT 类型不匹配。 |
|
|
|
匹配从应用操作的过滤器 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
匹配发送数据包的源节点的 IPv4 地址， 您不能在同一 |
|
|
|
匹配一个或多个指定的源类名称（组合在一起并赋予一个类名称的源前缀集）。有关更多信息，请参阅 基于地址等级的防火墙过滤器匹配条件。 |
|
|
|
不匹配一个或多个指定的源类名称。有关详细信息，请参阅 |
|
|
|
匹配 UDP 或 TCP 源端口字段。 您不能在同一 配置基于端口的匹配项时，还必须在同一过滤器术语中配置 您可以指定与匹配条件列出的 |
|
|
|
与 UDP 或 TCP 源端口字段不匹配。有关详细信息，请参阅 |
|
|
|
匹配指定列表中 源前缀， 指定在 |
|
|
|
匹配已建立 TCP 会话的 TCP 数据包（连接第一个数据包以外的数据包）。这是的别名 此匹配条件不会隐式检查协议是否为 TCP。要检查这一点，请指定 |
|
|
|
匹配 TCP 标头中的 8 位 TCP 标志字段中的一个或多个低阶 6 位。 要指定单个位字段，可以指定以下文本同义词或十六进制值：
在 TCP 会话中，仅在发送的初始数据包中设置 SYN 标志，而 ACK 标志在初始数据包之后发送的所有数据包中设置。 您可以使用位字段逻辑运算符将多个标志串在一起。 有关组合位字段匹配条件，请参阅 如果配置此匹配条件，我们建议也配置 仅对于 IPv4 流量，此匹配条件不会隐式检查数据报是否包含分片数据包的第一个分片。要仅检查 IPv4 流量的此条件，请使用 |
|
|
|
匹配 TCP 连接的初始数据包。这是的别名 此条件不会隐式检查协议是否为 TCP。如果配置此匹配条件，我们建议您也配置 |
|
|
|
匹配 IPv4 生存时间编号。指定 TTL 值或 TTL 值范围。对于 |
|
|
|
IPv4 TTL 编号不匹配。有关详细信息，请参阅 |
|