Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

2层桥接流量的防火墙过滤器匹配条件

只有在 MX 系列路由器和 EX 系列交换机上,才能配置标准无状态防火墙过滤器,该过滤器具有第 2 层桥接流量的匹配条件 ( )。 介绍了可在 层次结构级别中配置的 。 family bridge表 1match-conditions[edit firewall family bridge filter filter-name term term-name from]

表 1: 第 2 层桥接的标准防火墙过滤器匹配条件(仅适用于 MX 系列路由器和 EX 系列交换机)

匹配条件

Description

destination-mac-address address

桥接媒体访问控制(地址)第 2 层数据包的目标地址(MAC) 地址。

destination-port number

TCP 或 UDP 目标端口字段。不能在同一术语portdestination-port同时指定和匹配条件。

destination-port-except

与 TCP/UDP 目标端口不匹配。

destination-prefix-list 命名列表

匹配已命名列表中的 IP 目标前缀

dscp number

差异化服务代码点(DSCP)。DiffServ 协议使用 IP 标头中的服务类型(ToS)字节。此字节最重大的 6 位构成 DSCP。有关详细信息,请参阅了解行为聚合分类器如何区分可信流量

您可以从到063中指定一个数字值。要以十六进制形式指定值,请将0x其作为前缀包括在内。要以二进制格式指定值,请将b其包含为前缀。

为了代替数值,您可以指定以下文本同义词之一(也列出了这些字段值):

  • RFC 3246, 加速转发 PHB(单跳行为),定义一个代码点:ef(46).

  • RFC 2597,保证转发 PHB组 ,定义了 4 个类,每个类有 3 个丢弃优先级,总共 12 个代码点:

af11 (10), af12 (12), af13 (14),

af21 (18), af22 (20), af23 (22),

af31 (26), af32 (28), af33 (30),

af41 (34), af42 (36), af43 (38)

dscp-except number

在 DSCP 编号上不匹配。有关详细信息,请参阅dscp-except match 条件。

ether-type value

将2个八进制数 IEEE 802.3 长度/EtherType 字段匹配到指定值或值列表。

您可以指定从0到65535(0xFFFF)的十进制或十六进制值。从 0 到 1500 (0x05DC) 的值指定以太网版本 1 帧的长度。从 1536 (0x0600) 到 65535 的值指定以太网版本 2 帧的 EtherType(MAC 客户端协议性质)。

为了代替数值,您可以指定以下文本同义词之一(十六进制值也会列出):aarpappletalkarpipv4ipv6 (0x80F3)、(0x809B)、(0x0806)、(0x0800)、(0x86DD)、(0x8848)、(0x8847)、(0x8902)、(0x880B)、(0x8863)、(0x8864))(0x80D5)。 mpls-multicastmpls-unicastoamppppppoe-discoverypppoe-sessionsna

注:

当在 ip 地址或 ipv6 地址上进行匹配时,必须同时指定 ether 类型 ipv4 或 ipv6,以便将匹配仅限于 ip 流量。

ether-type-except value

不要将2位八进制 IEEE 802.3 Length/EtherType 字段与指定值或值列表匹配。

有关指定的values详细信息,请参阅ether-type match 条件。

flexible-match-mask value

bit-length

要匹配的数据长度(以位为单位),对于字符串输入,不需要它(0. 128)

bit-offset

(匹配-start + 字节)偏移量(0到7)之后的位偏移

byte-offset

匹配起始点之后的字节偏移量

flexible-mask-name

从预定义模板字段中选择一个灵活匹配

mask-in-hex

屏蔽要匹配的数据包数据中的位

match-start

数据包中要匹配的起始点

prefix

要匹配的值数据/字符串

 

flexible-match-range value

bit-length

要以位(0. 32)匹配的数据长度

bit-offset

(匹配-start + 字节)偏移量(0到7)之后的位偏移

byte-offset

匹配起始点之后的字节偏移量

flexible-range-name

从预定义模板字段中选择一个灵活匹配

match-start

数据包中要匹配的起始点

range

要匹配的值范围

range-except

与此范围的值不匹配

 

forwarding class class

转发类。指定assured-forwardingbest-effortexpedited-forwarding、或network-control

forwarding-class-except class

第 2 层数据包环境的以太网类型字段。指定assured-forwardingbest-effortexpedited-forwarding、或network-control

icmp-code message-code

匹配 ICMP 消息代码字段。

如果配置此匹配条件,我们建议您同时在同一术语中ip-protocol icmp配置ip-protocol icmp6、或ip-protocol icmpv6匹配条件。

如果配置此匹配条件,则还必须在同一术语icmp-type message-type中配置匹配条件。ICMP 消息代码提供的信息比 ICMP 消息类型更具体,但 ICMP 消息代码的含义依赖于关联的 ICMP 消息类型。

为了代替数值,您可以指定以下文本同义词之一(也列出了这些字段值)。关键字按与其关联的 ICMP 类型分组:

  • 参数-问题:ip6-header-badunrecognized-next-header(0)、(1)、(2) unrecognized-option

  • 已超过时间:ttl-eq-zero-during-reassemblyttl-eq-zero-during-transit(1)、(0)

  • 目标-无法到达:address-unreachableadministratively-prohibitedno-route-to-destination (3)、(1)、(0)、(4) port-unreachable

icmp-code-except message-code

与 ICMP 消息代码字段不匹配。有关详细信息,请icmp-code参阅 match 条件。

icmp-type message-type

匹配 ICMP 消息类型字段。

如果配置此匹配条件,我们建议您同时在同一术语中ip-protocol icmp配置ip-protocol icmp6、或ip-protocol icmpv6匹配条件。

为了代替数值,您可以指定以下文本同义词之一(也列出了这些字段值):destination-unreachableecho-replyecho-requestmembership-querymembership-report (1)、(129)、(128)、(130)、(131)、(132)、(136)、(135)、(140)、(139)、(2)、(4)、(137)、(134)、(138)、(133) membership-terminationneighbor-advertisementneighbor-solicitnode-information-replynode-information-requestpacket-too-bigparameter-problemredirectrouter-advertisementrouter-renumberingrouter-solicittime-exceeded (3)。

icmp-type-except message-type

不匹配 ICMP 消息类型字段。有关详细信息,请icmp-type参阅 match 条件。

interface interface-name

接收数据包的接口。您可以根据接收的接口,配置匹配数据包的匹配条件。

注:

如果您使用不存在的接口配置此匹配条件,则术语不匹配任何数据包。

interface-group group-number

将接收数据包的逻辑接口与指定接口组或一组接口组相匹配。对于group-number,请从一个值或中的一系列值0255指定。

要将逻辑接口分配给接口组group-number,请group-number[interfaces interface-name unit number family family filter group]层次结构级别指定。

有关更多详细信息,请参阅过滤在一组接口组上接收的数据包概述

interface-group-except number

与将数据包接收到指定接口组或接口组集的逻辑接口不匹配。有关详细信息,请interface-group参阅 match 条件。

interface-set interface-set-name

匹配数据包接收到指定接口集的接口。

要定义接口集,请包含 interface-set 层级的 [edit firewall] 语句。有关更多详细信息,请参阅过滤在接口集上接收的数据包概述

ip-address address

支持 IPv4 地址标准语法的32位地址。

注:

为了仅将匹配限制到 IPv4 流量,必须在同一术语中指定 ether 类型的 IPv4。

ip-destination-address address

32位地址,是数据包的最终目标节点地址。

ip-precedence ip-precedence-field

IP 优先级字段。在数字字段值的位置,您可以指定以下文本同义词之一(也列出了这些字段值):critical-ecpflashflash-overrideimmediate (0xa0)、(0x60)、(0x80)、(0x40)、(0xc0)、(0xe0)、(0x20) internet-controlnet-controlpriorityroutine (0x00)。

ip-precedence-except ip-precedence-field

不在 IP 优先级字段上匹配。

ip-protocol number

IP 协议字段。

ip-protocol-except

不匹配 IP 协议类型。

ip-source-address address

发送数据包的源节点的 IP 地址。

ipv6-address address

(仅限 MX 系列)128位地址,支持 IPv6 地址的标准语法。

注:

为了仅将匹配限制到 IPv6 流量,必须在同一术语中指定 ether 类型 IPv6。

ipv6-destination-address address

(仅 MX 系列)128位地址,是此数据包的最终目标节点地址。

ipv6-destination-prefix-list 命名列表

(仅 MX 系列)匹配已命名列表中的 IPv6 目标地址

ipv6-next-header 协议

仅限 MX 系列)匹配 IPv6 下一个标头协议类型。

以下列表显示协议支持的

  • ah—IP 安全认证头

  • dstopts—IPv6 目标选项

  • egp—外部网关协议

  • esp—IPSec 封装安全有效负载

  • fragment—IPv6 分片标头

  • gre—通用路由封装

  • hop-by-hop—IPv6 逐跳选项

  • icmp—互联网控制信息协议

  • icmp6—互联网控制消息协议版本 6

  • igmp—互联网组管理协议

  • ipip—IP 中 IP

  • ipv6— IP 中的 IPv6

  • no-next-header—IPv6 无下一个标头

  • ospf—开放最短路径优先

  • pim—协议无关组播

  • routing—IPv6 路由标头

  • rsvp—资源预留协议

  • sctp—流控制传输协议

  • tcp—传输控制协议

  • udp— 用户数据报协议

  • vrrp—虚拟路由器冗余协议

ipv6-next-header-except 协议

仅限 MX 系列)不匹配 IPv6 下一标头协议类型。

ipv6-payload-protocol 协议

仅限 MX 系列)匹配 IPv6 有效负载协议类型。

以下列表显示协议支持的

  • ah—IP 安全认证头

  • dstopts—IPv6 目标选项

  • egp—外部网关协议

  • esp—IPSec 封装安全有效负载

  • fragment—IPv6 分片标头

  • gre—通用路由封装

  • hop-by-hop—IPv6 逐跳选项

  • icmp—互联网控制信息协议

  • icmp6—互联网控制消息协议版本 6

  • igmp—互联网组管理协议

  • ipip—IP 中 IP

  • ipv6— IP 中的 IPv6

  • no-next-header—IPv6 无下一个标头

  • ospf—开放最短路径优先

  • pim—协议无关组播

  • routing—IPv6 路由标头

  • rsvp—资源预留协议

  • sctp—流控制传输协议

  • tcp—传输控制协议

  • udp— 用户数据报协议

  • vrrp—虚拟路由器冗余协议

ipv6-payload-protocol-except 协议

仅限 MX 系列)不匹配 IPv6 有效负载协议。

ipv6-prefix-list 命名列表

(仅 MX 系列)匹配已命名列表中的 IPv6 地址

ipv6-source-address address

(仅 MX 系列)128位地址,是此数据包的原始源节点地址。

ipv6-source-prefix-list 命名列表

(仅 MX 系列)匹配已命名列表中的 IPv6 源地址

ipv6-traffic-class 编号

仅限 MX 系列)差异化服务代码点(DSCP)。DiffServ 协议使用 IP 标头中的服务类型(ToS)字节。此字节最重大的 6 位构成 DSCP。有关详细信息,请参阅了解行为聚合分类器如何区分可信流量

您可以从到063中指定一个数字值。要以十六进制形式指定值,请将0x其作为前缀包括在内。要以二进制格式指定值,请将b其包含为前缀。

为了代替数值,您可以指定以下文本同义词之一(也列出了这些字段值):

  • RFC 3246, 加速转发 PHB(单跳行为),定义一个代码点:ef(46).

  • RFC 2597,保证转发 PHB组 ,定义了 4 个类,每个类有 3 个丢弃优先级,总共 12 个代码点:

af11 (10), af12 (12), af13 (14),

af21 (18), af22 (20), af23 (22),

af31 (26), af32 (28), af33 (30),

af41 (34), af42 (36), af43 (38)

ipv6-traffic-class-except 编号

不匹配 DSCP number

isid number

(支持提供商中枢桥接 [PBB])匹配互联网服务标识符。

isid-dei number

(支持 PBB)匹配 Internet 服务标识符丢弃资格指标(DEI)位。

isid-dei-except number

(支持 PBB)不符合互联网服务标识符 DEI 位。

isid-priority-code-point number

(支持 PBB)匹配互联网服务标识优先级代码点。

isid-priority-code-point-except number

(支持 PBB)与互联网服务标识优先级码位不匹配。

learn-vlan-1p-priority value

(仅适用于 MX 系列路由器和 EX 系列交换机)在 IEEE 802.1p 上匹配在提供商 VLAN 标记中学习 VLAN 优先级位(具有 802.1Q VLAN 标记的单标记帧中的唯一标记,或包含 802.1Q VLAN 标记的双标记帧中的外部标记)。0通过7指定一个或多个值。

user-vlan-1p-priority match 条件进行比较。

learn-vlan-1p-priority-except value

(仅适用于 MX 系列路由器和 EX 系列交换机)在 802.1p 学习IEEE位时,不相符。有关详细信息,请learn-vlan-1p-priority参阅 match 条件。

learn-vlan-dei number

(支持桥接)匹配用户虚拟 LAN (VLAN)标识符 DEI 位。

learn-vlan-dei-except number

(支持桥接)不匹配用户 VLAN 标识符 DEI 位。

learn-vlan-id number

用于 MAC 学习的 VLAN 标识符。

learn-vlan-id-except number

不匹配用于 MAC 学习的 VLAN 标识符。

loss-priority level

数据包丢失优先级(PLP)级别。指定一个级别或多个级别:lowmedium-lowmedium-highhigh

在路由器M120路由器M320;M7i CFEB (CFEB-E) M10i路由器的路由器连接;和 MX 系列路由器和 EX 系列交换机。

对于带增强型 II 灵活 PIC 集中器 (FPC) 和 EX 系列交换机的 M320、MX 系列和 T Series 路由器上的 IP 流量,您必须在 层次结构级别包含 语句,以提交采用四个级别中任何一个级别的 tri-color PLP 配置。 [edit class-of-service] 如果未tri-color启用该语句,则只能配置highlow级别。这适用于所有协议系列。

有关该tri-color语句的信息,请参阅配置和应用三色标记监管器。有关使用行为聚合(BA)分类器设置所传入数据包的 PLP 级别的信息,请参阅了解转发类如何将类分配给输出队列

loss-priority-except level

在数据包丢失优先级级别上不匹配。指定一个级别或多个级别:lowmedium-lowmedium-highhigh

有关使用行为聚合(BA)分类器设置所传入数据包的 PLP 级别的信息,请参阅了解行为聚合分类器如何区分可信流量

port number

TCP 或 UDP 源或目标端口。不能在同一术语port中同时指定 match 条件destination-portsource-port or 匹配条件。

source-mac-address address

第 MAC 地址层数据包的源数据包。

source-port number

TCP 或 UDP 源端口字段。不能在同一port术语source-port中指定和匹配条件。

source-port-except

与 TCP/UDP 源端口不匹配。

tcp-flags flags

匹配 TCP 标头的 8 位 TCP 标记字段中的一个或多个低顺序 6 位。

要指定单个位域,可指定以下文本同义词或十六进制值:

  • fin(0x01)

  • syn(0x02)

  • rst(0x04)

  • push(0x08)

  • ack(0x10)

  • urgent(0x20)

在 TCP 会话中,SYN 标志仅在发送的初始数据包中设置,而在初始数据包后发送的所有数据包中设置 ACK 标志。

您可以使用位字段逻辑运算符将多个标志组合在一起。

配置tcp-flags匹配条件需要配置next-header-tcp匹配条件。

traffic-type type

信息流类型。指定broadcastmulticastunknown-unicast、或known-unicast

traffic-type-except type

不与流量类型匹配。

user-vlan-1p-priority value

(仅适用于 MX 系列路由器和 EX 系列交换机)在客户 VLAN 标记IEEE 802.1p 用户优先级位(带 802.1Q VLAN 标记的双标记帧中内部标记)上匹配。0通过7指定一个或多个值。

learn-vlan-1p-priority match 条件进行比较。

user-vlan-1p-priority-except value

(仅适用于 MX 系列路由器和 EX 系列交换机)在 802.1p IEEE位上不匹配。有关详细信息,请user-vlan-1p-priority参阅 match 条件。

user-vlan-id number

(仅适用于 MX 系列路由器和 EX 系列交换机)匹配作为有效负载一部分的第一个 VLAN 标识符。

user-vlan-id-except number

(仅适用于 MX 系列路由器和 EX 系列交换机)不匹配作为有效载荷一部分的第一个 VLAN 标识符。

vlan-ether-type value

第 2 层桥接数据包的 VLAN 以太网类型字段。

vlan-ether-type-except value

第 2 层桥接数据包的 VLAN 以太网类型字段不匹配。