IPv4 流量的防火墙过滤器匹配条件
您可以使用互联网协议版本 4 （IPv4） 流量匹配条件配置防火墙过滤器 （）。family inet
对于带有 MPC 的 MX 系列路由器，您需要通过遍历相应的 SNMP MIB 来初始化 MIB 中仅三重奏匹配过滤器的过滤器计数器，例如。 show snmp mib walk name ascii 这会强制 Junos 学习过滤器计数器，并确保显示过滤器统计信息（这是因为筛选统计信息的第一个轮询可能不会显示所有计数器）。本指南适用于所有增强模式防火墙筛选器、具有灵活条件的筛选器以及具有某些终止操作的筛选器。有关详细信息，请参阅“相关文档”下列出的这些主题。
表 1介绍了可以在层次结构级别配置的 。match-conditions[edit firewall family inet filter filter-name term term-name from]
|
匹配条件 |
Description |
|
|---|---|---|
|
|
匹配 IPv4 源地址或目标地址字段，除非包含该 选项。 EX2300 和 EX3400 平台不支持修饰 符。 |
|
|
|
（M 系列路由器，M120 和 M320 除外）匹配 IPsec 身份验证标头 （AH） 安全参数索引 （SPI） 值。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
（M 系列路由器，M120 和 M320 除外）与 IPsec AH SPI 值不匹配。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
指定要从中继承配置数据的组。可以指定多个组名。必须按继承优先级顺序列出它们。第一组中的配置数据优先于后续组中的数据。 |
|
|
|
指定不从中继承配置数据的组。可以指定多个组名。 |
|
|
|
匹配 IPv4 目标地址字段，除非包含该 选项。 不能在同一术语中同时 指定 和 匹配条件。 |
|
|
|
匹配一个或多个指定的目标类名（组合在一起并给定类名的目标前缀集）。有关详细信息，请参阅 基于地址类的防火墙过滤器匹配条件。基于地址类的防火墙过滤器匹配条件 |
|
|
|
不要与一个或多个指定的目标类名匹配。有关详细信息，请参阅 匹配条件。 |
|
|
|
匹配 UDP 或 TCP 目标端口字段。 不能在同一术语中同时 指定 和 匹配条件。 配置基于端口的匹配时，还必须在同一筛选术语中配置 or match 语句。 要代替数值，可以指定以下文本同义词之一（还会列出端口号）：（1483）， （179）， （512）， （68）， （67）， （514）， （2401）， （67）， （53）， （2105）， （2106）， （512）， （79）， （21）， （20）， （80）， （443）， （113）， （143）， （88）， （543）， （761）， （754）， （760）， （544）， （389）， （646）， （513）， （434）， （435）， （639）， （138）， （137）， （139）， （2049）， （119）， （518）、（123）、（110）、（1723）、（515）、（1813）、（1812）、（520）、（2108）、（25）、（161）、（162）、（444）、（1080）、（22）、（111）、（514）、（49）、（65）、（517）、（23）、（69）、（525）、 （513）或（177）。 |
|
|
|
不匹配 UDP 或 TCP 目标端口字段。有关详细信息，请参阅 匹配条件。 |
|
|
|
匹配指定列表中 的目标前缀，除非包含该 选项。 指定在 ] 层次结构级别定义的 前缀列表的名称。 |
|
|
|
匹配差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。有关更多信息，请参阅 了解行为聚合分类器如何确定可信流量的优先级。Understanding How Behavior Aggregate Classifiers Prioritize Trusted Traffic 添加了对路由引擎源数据包（包括封装在通用路由封装 （GRE） 中的 IS-IS 数据包）的差异服务代码点 （DSCP） 和转发类进行过滤的支持。随后，从同时具有服务等级 （CoS） 和防火墙过滤器，并且都包含 DSCP 或转发类过滤器操作的先前版本的 Junos OS 升级时，防火墙过滤器中的条件会自动优先于 CoS 设置。创建新配置时也是如此;也就是说，如果存在相同的设置，则防火墙过滤器优先于 CoS，无论哪个设置是先创建的。 您可以指定 到 的 数值。 代替数值，您可以指定以下文本同义词之一（字段值也会列出）：
|
|
|
|
DSCP 编号不匹配。有关详细信息，请参阅 匹配条件。 |
|
|
|
匹配 IPsec 封装安全有效负载 （ESP） SPI 值。匹配此特定 SPI 值。您可以以十六进制、二进制或十进制形式指定 ESP SPI 值。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
匹配 IPsec ESP SPI 值。与此特定 SPI 值不匹配。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
如果数据包是分段数据包的第一个分段，则匹配。如果数据包是分段数据包的尾随片段，则不匹配。分片数据包的第一个分片的分片偏移值为 。 此匹配条件是位字段匹配条件 匹配条件的别名。 要匹配第一个片段和尾随片段，您可以使用两个指定不同匹配条件的术语： |
|
|
|
|
要匹配的数据长度（以位为单位），字符串输入不需要 （0..128） |
|
|
（匹配开始 + 字节）偏移量 （0..7） 之后的位偏移量 |
|
|
|
比赛起点之后的字节偏移量 |
|
|
|
从预定义的模板字段中选择灵活匹配 |
|
|
|
屏蔽数据包数据中要匹配的位 |
|
|
|
数据包中匹配的起点 |
|
|
|
要匹配的值数据/字符串 |
|
|
|
|
要匹配的数据长度（以位为单位） （0..32） |
|
|
（匹配开始 + 字节）偏移量 （0..7） 之后的位偏移量 |
|
|
|
比赛起点之后的字节偏移量 |
|
|
|
从预定义的模板字段中选择灵活匹配 |
|
|
|
数据包中匹配的起点 |
|
|
|
要匹配的值范围 |
|
|
|
不匹配此值范围 |
|
|
|
匹配数据包的转发类。 指定 、 、 或 。 有关转发类和路由器内部输出队列的信息，请参阅 了解转发类如何将类分配给输出队列。Understanding How Forwarding Classes Assign Classes to Output Queues |
|
|
|
与数据包的转发类不匹配。有关详细信息，请参阅 匹配条件。 |
|
|
|
（仅限入口）匹配 IP 报头中的三位 IP 分段标志字段。 要代替数值字段值，您可以指定以下关键字之一（还会列出字段值）：（0x4）、 （0x2） 或 （0x8）。 |
|
|
|
匹配 IP 报头中的 13 位片段偏移量字段。该值是发往数据片段的整个数据报消息中的偏移量（以 8 字节为单位）。指定一个数值、一个值范围或一组值。偏移值 为 表示 分片数据包的第一个分片。 匹配条件是匹配条件的别名。 要匹配第一个片段和尾随片段，可以使用两个指定不同匹配条件的术语 （ 和 ）。 |
|
|
|
不匹配 13 位片段偏移量字段。 |
|
|
|
匹配 gre-key 字段。GRE 密钥字段是由 GRE 封装程序插入的 4 个八位字节数字。它是用于 GRE 封装的可选字段。可以是 单个 GRE 密钥编号，也可以是一系列密钥编号。range 对于带有 MPC 的 MX 系列路由器，请遍历相应的 SNMP MIB，初始化包含此条件的新防火墙过滤器。 |
|
|
|
匹配 ICMP 消息代码字段。 注：
使用此匹配条件时，还应在同一 术语中使用匹配条件（如下所示），以确保 正在评估数据包。 term Allow _ICMP {
from protocol icmp {
icmp-code ip-header-bad;
icmp-type echo-reply;
}
then {
policer ICMP_Policier;
count Allow_ICMP;
您还必须在同一术语中配置 匹配条件。 要代替数值，您可以指定以下文本同义词之一（还会列出字段值）。关键字按与其关联的 ICMP 类型分组：
|
|
|
|
不匹配 ICMP 消息代码字段。有关详细信息，请参阅 匹配条件。 |
|
|
|
匹配 ICMP 消息类型字段。 注：
使用此匹配条件时，还应在同一 术语中使用匹配条件（如下所示），以确保 正在评估数据包。 term Allow _ICMP {
from protocol icmp {
icmp-code ip-header-bad;
icmp-type echo-reply;
}
then {
policer ICMP_Policier;
count Allow_ICMP;
您还必须在同一术语中配置 匹配条件。 注：
对于 Junos OS 演化版，您必须在同一术语中配置 match 语句。 代替数值，您可以指定以下文本同义词之一（字段值也会列出）：（0）、（8）、（16）、（15）、（17）、（18）、（12）、（5）、（9）、（10）、（4）、（11）、（13）、 （14）或（3）。 |
|
|
|
不匹配 ICMP 消息类型字段。有关详细信息，请参阅 匹配条件。 |
|
|
|
匹配接收数据包的接口。 注：
如果使用不存在的接口配置此匹配条件，则该术语与任何数据包都不匹配。 |
|
|
|
将接收数据包的逻辑接口与指定的接口组或接口组进行匹配。对于 ，请指定单个值或 0 到 255 之间的值范围。 要将逻辑接口分配给接口组，请在层次结构级别指定 。 注：
PTX 系列路由器不支持此匹配条件。 有关更多信息，请参阅 过滤一组接口组上收到的数据包概述。过滤一组接口组上收到的数据包概述 |
|
|
|
不要将接收数据包的逻辑接口与指定的接口组或接口组匹配。有关详细信息，请参阅 匹配条件。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
将接收数据包的接口与指定的接口集匹配。 要定义接口集，请在层次结构级别包含 语句 。 注：
PTX 系列路由器不支持此匹配条件。 有关更多信息，请参阅 过滤接口集上收到的数据包概述。过滤接口集上接收的数据包概述 |
|
|
|
将 8 位 IP 选项字段（如果存在）与指定的值或值列表匹配。 要代替数值，可以指定以下文本同义词之一（还会列出选项值）：（131）、（7）、（148）、（130）、（136）、 （137） 或 （68）。 要匹配 IP 选项 的任何 值，请使用文本同义词 。 例如，匹配条件匹配包含 、 或值或 0 到 147 之间的任何其他值的 IP 选项字段。 对于大多数接口，指定 一个或多个 特定 IP 选项值（非 ）匹配项的过滤器术语会导致数据包发送到路由引擎，以便内核可以解析数据包标头中的 IP 选项字段。
MX 系列路由器上的 10 千兆以太网模块化端口集中器 （MPC）、100 千兆以太网 MPC、60 千兆以太网 MPC、60 千兆队列以太网 MPC 和 60 千兆以太网增强型队列 MPC 能够解析 IPv4 数据包标头的 IP 选项字段。对于在这些 MPC 上配置的接口，使用匹配条件匹配的所有数据包都将发送到数据包转发引擎进行处理。 从 Junos Evolved OS 版本 20.2R1 开始的 PTX10003 和 PTX10008 系列路由器支持匹配条件。 注：
|
|
|
|
不要将 IP 选项字段与指定的值或值列表匹配。有关指定 的详细信息 ，请参阅 匹配条件。 |
|
|
|
如果在 IP 报头中启用了“更多片段”标志并且片段偏移量不为零，则使用此条件会导致匹配。 注：
要匹配第一个片段和尾随片段，可以使用两个指定不同匹配条件的术语 （ 和 ）。 |
|
|
|
匹配数据包丢失优先级 （PLP） 级别。 指定单个级别或多个级别：、 、 或 。 在 M120 和 M320 路由器上受支持;采用增强型 CFEB （CFEB-E） 的 M7i 和 M10i 路由器;和 MX 系列路由器。 对于配备增强型 II 灵活 PIC 集中器 （FPC） 的 M320、MX 系列和 T 系列路由器上的 IP 流量，必须在层次结构级别包含语句，才能提交具有指定四个级别中的任何一个的 PLP 配置。 有关该 语句的信息，请参阅 配置和应用 Tricolor 标记监管器。 |
|
|
|
与 PLP 级别不匹配。有关详细信息，请参阅 匹配条件。 |
|
|
|
匹配收到的数据包的长度（以字节为单位）。长度仅指 IP 数据包，包括数据包标头，不包括任何第 2 层封装开销。您还可以指定要匹配的值范围。 |
|
|
|
与收到的数据包的长度不匹配（以字节为单位）。有关详情，请参阅 匹配类型。 |
|
|
|
匹配 UDP 或 TCP 源或目标端口字段。 如果配置此匹配条件，则无法在同一期限内配置 匹配条件或 匹配条件。 配置基于端口的匹配时，还必须在同一筛选术语中配置 or match 语句。 要代替数值，可以指定 下 列出的文本同义词之一。 |
|
|
|
与源或目标 UDP 或 TCP 端口字段不匹配。有关详细信息，请参阅 匹配条件。 |
|
|
|
匹配 IP 优先级字段。 要代替数值字段值，您可以指定以下文本同义词之一（还会列出字段值）：（0xa0）、 （0x60）、 （0x80）、 （0x40）、 （0xc0）、 （0xe0）、 （0x20）或 （0x00）。 |
|
|
|
与 IP 优先级字段不匹配。 要代替数值字段值，您可以指定以下文本同义词之一（还会列出字段值）：（0xa0）、 （0x60）、 （0x80）、 （0x40）、 （0xc0）、 （0xe0）、 （0x20）或 （0x00）。 |
|
|
|
将源地址或目标地址字段的前缀与指定列表中的 前缀匹配，除非包含该 选项。 前缀列表在 层次结构级别定义。 注：
PTX1000路由器不支持此匹配条件。 |
|
|
|
匹配 IP 协议类型字段。代替数值，您可以指定以下文本同义词之一（字段值也会列出）：（51）、（60）、（8）、（50）、（44）、（47）、（0）、（1）、（58）、（58）、 （2）、（4）、（41）、（89）、（103）、（46）、（132）、（6）、 （17）或（112）。 |
|
|
|
不匹配 IP 协议类型字段。代替数值，您可以指定以下文本同义词之一（字段值也会列出）：（51）、（60）、（8）、（50）、（44）、（47）、（0）、（1）、（58）、（58）、 （2）、（4）、（41）、（89）、（103）、（46）、（132）、（6）、 （17）或（112）。 |
|
|
|
匹配在代理移动 IPv4 （PMIPv4） 接入技术类型扩展的 8 位技术类型字段中指定的无线接入技术 （RAT） 类型。技术类型指定移动设备连接到接入网络的访问技术。 指定单个值、一个值范围或一组值。可以将技术类型指定为 0 到 255 之间的数值或系统关键字。
|
|
|
|
与 RAT 类型不匹配。 |
|
|
|
匹配从应用操作的 过滤器接收的数据包。 注：
PTX 系列路由器不支持此匹配条件。 |
|
|
|
匹配发送数据包的源节点的 IPv4 地址，除非包含该 选项。 不能在同一术语中同时 指定 和 匹配条件。 |
|
|
|
匹配一个或多个指定的源类名（组合在一起并给定类名的源前缀集）。有关详细信息，请参阅 基于地址类的防火墙过滤器匹配条件。基于地址类的防火墙过滤器匹配条件 |
|
|
|
不要匹配一个或多个指定的源类名。有关详细信息，请参阅 匹配条件。 |
|
|
|
匹配 UDP 或 TCP 源端口字段。 不能在同一术语中指定 和 匹配条件。 配置基于端口的匹配时，还必须在同一筛选术语中配置 or match 语句。 要代替数值，您可以指定与匹配条件一起 列出的文本同义词之一。 |
|
|
|
不匹配 UDP 或 TCP 源端口字段。有关详细信息，请参阅 匹配条件。 |
|
|
|
匹配指定列表中的 源前缀，除非包含该 选项。 指定在 ] 层次结构级别定义的 前缀列表的名称。 |
|
|
|
匹配已建立的 TCP 会话的 TCP 数据包（连接的第一个数据包以外的数据包）。这是 的 别名。 此匹配条件不会隐式检查协议是否为 TCP。要检查这一点，请指定 匹配条件。 |
|
|
|
匹配 TCP 报头的 8 位 TCP 标志字段中的一个或多个低阶 6 位。 若要指定单个位字段，可以指定以下文本同义词或十六进制值：
在 TCP 会话中，SYN 标志仅在发送的初始数据包中设置，而 ACK 标志在初始数据包之后发送的所有数据包中设置。 您可以使用位字段逻辑运算符将多个标志串在一起。 有关组合位字段匹配条件，请参阅 和 匹配条件。 如果配置此匹配条件，我们建议您也在同一术语中配置 match 语句，以指定端口上使用 TCP 协议。 仅对于 IPv4 流量，此匹配条件不会隐式检查数据报是否包含分段数据包的第一个分段。要仅为 IPv4 流量检查此条件，请使用 匹配条件。 |
|
|
|
匹配 TCP 连接的初始数据包。这是 的 别名。 此条件不会隐式检查协议是否为 TCP。如果配置此匹配条件，我们建议您也在同一术语中配置 匹配条件。 |
|
|
|
匹配 IPv4 生存时间编号。指定 TTL 值或 TTL 值范围。对于 ，可以从 中指定一个或多个值。 |
|
|
|
在 IPv4 TTL 号码上不匹配。有关详细信息，请参阅 匹配条件。 |
|
变更历史表
是否支持某项功能取决于您使用的平台和版本。 使用 Feature Explorer 查看您使用的平台是否支持某项功能。