第 2 层桥接流量的防火墙过滤器匹配条件

桥接环境中第 2 层数据包的目标媒体访问控制 （MAC） 地址。

TCP 或 UDP 目标端口字段。不能在同一术语中同时 port 指定 和 destination-port 匹配条件。

不匹配 TCP/UDP 目标端口。

匹配 中的 named-listIP 目标前缀。

差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。有关更多信息，请参阅 了解行为聚合分类器如何确定可信流量的优先级。

您可以指定 到 0 的 63数值。若要以十六进制形式指定值，请包含 0x 为前缀。若要以二进制形式指定值，请包含 b 为前缀。

代替数值，您可以指定以下文本同义词之一（字段值也会列出）：

• RFC 3246 加速 转发 PHB（每跳行为）定义了一个代码点：ef(46).

• RFC 2597（ 保证转发 PHB 组）定义了 4 个类，每个类中有 3 个丢弃优先级，总共 12 个代码点：

af11（10）， af12 （12）， af13 （14），

af21（18）， af22 （20）， af23 （22），

af31（26）， af32 （28）， af33 （30），

af41（34）、 af42 （36）、 af43 （38）

DSCP 编号不匹配。有关详细信息，请参阅 dscp-except 匹配条件。

将 2 字节 IEEE 802.3 长度/以太类型字段与指定的值或值列表匹配。

可以指定从 0 到 65535 （0xFFFF） 的十进制或十六进制值。从 0 到 1500 （0x05DC） 的值指定以太网版本 1 帧的长度。从 1536 （0x0600） 到 65535 的值指定以太网版本 2 帧的 EtherType（MAC 客户端协议的性质）。

代替数值，可以指定以下文本同义词之一（还会列出十六进制值）：aarp（0x80F3）、 appletalk （0x809B）、 arp （0x0806）、 ipv4 （0x0800）、 ipv6 （0x86DD）、 mpls-multicast （0x8848）、 mpls-unicast （0x8847）、 oam （0x8902）、 ppp （0x880B）、 pppoe-discovery （0x8863）、 pppoe-session （0x8864）、 sna （0x80D5）。

不要将 2 字节 IEEE 802.3 长度/以太类型字段与指定的值或值列表匹配。

有关指定 的详细信息 values，请参阅 ether-type 匹配条件。

要匹配的数据长度（以位为单位），字符串输入不需要 （0..128）

（匹配开始 + 字节）偏移量 （0..7） 之后的位偏移量

比赛起点之后的字节偏移量

从预定义的模板字段中选择灵活匹配

屏蔽数据包数据中要匹配的位

数据包中匹配的起点

要匹配的值数据/字符串

要匹配的数据长度（以位为单位） （0..32）

（匹配开始 + 字节）偏移量 （0..7） 之后的位偏移量

比赛起点之后的字节偏移量

从预定义的模板字段中选择灵活匹配

数据包中匹配的起点

要匹配的值范围

不匹配此值范围

转发类。指定 assured-forwarding、 best-effortexpedited-forwarding、 或 network-control。

第 2 层数据包环境的以太网类型字段。指定 assured-forwarding、 best-effortexpedited-forwarding、 或 network-control。

匹配 ICMP 消息代码字段。

如果配置此匹配条件，我们建议您在同一术语中同时配置 ip-protocol icmp、 ip-protocol icmp6或 ip-protocol icmpv6 匹配条件。

如果配置此匹配条件，则还必须在同一术语中配置 icmp-type message-type 匹配条件。ICMP 消息代码提供比 ICMP 消息类型更具体的信息，但 ICMP 消息代码的含义取决于关联的 ICMP 消息类型。

要代替数值，您可以指定以下文本同义词之一（还会列出字段值）。关键字按与其关联的 ICMP 类型分组：

• 参数问题：ip6-header-bad（0）、 unrecognized-next-header （1）、 unrecognized-option （2）

• 超过时间：ttl-eq-zero-during-reassembly（1）、 ttl-eq-zero-during-transit （0）

• 无法到达目的地：address-unreachable（3）、 administratively-prohibited （1）、 no-route-to-destination （0）、 port-unreachable （4）

不匹配 ICMP 消息代码字段。有关详细信息，请参阅 icmp-code 匹配条件。

匹配 ICMP 消息类型字段。

如果配置此匹配条件，我们建议您在同一术语中同时配置 ip-protocol icmp、 ip-protocol icmp6或 ip-protocol icmpv6 匹配条件。

代替数值，您可以指定以下文本同义词之一（字段值也会列出）：destination-unreachable（1）、 echo-reply （129）、 echo-request （128）、 membership-query （130）、 membership-report （131）、 membership-termination （132）、 neighbor-advertisement （136）、 neighbor-solicit （135）、 node-information-reply （140）、 node-information-request （139）、 packet-too-big （2）、 parameter-problem （4）、 redirect （137）、 router-advertisement （134）、 router-renumbering （138）、 router-solicit （133）或 time-exceeded（3）。

不匹配 ICMP 消息类型字段。有关详细信息，请参阅 icmp-type 匹配条件。

接收数据包的接口。您可以配置匹配条件，根据接收数据包的接口匹配数据包。

将接收数据包的逻辑接口与指定的接口组或接口组进行匹配。对于 group-number，指定单个值或从 0 到 的值 255范围。

要将逻辑接口分配给接口组group-number，请在层次结构级别指定 。group-number[interfaces interface-name unit number family family filter group]

有关更多详细信息，请参阅过滤一组接口组上收到的数据包概述。

不要将接收数据包的逻辑接口与指定的接口组或接口组匹配。有关详细信息，请参阅 interface-group 匹配条件。

将接收数据包的接口与指定的接口集匹配。

要定义接口集，请在层次结构级别包含 interface-set 语句 [edit firewall] 。有关更多详细信息，请参阅过滤接口集上接收的数据包概述。

支持 IPv4 地址标准语法的 32 位地址。

32 位地址，即数据包的最终目标节点地址。

IP 优先级字段。要代替数值字段值，您可以指定以下文本同义词之一（还会列出字段值）：critical-ecp（0xa0）、 flash （0x60）、 flash-override （0x80）、 immediate （0x40）、 internet-control （0xc0）、 net-control （0xe0）、 priority （0x20）或 routine（0x00）。

在 IP 优先级字段上不匹配。

IP 协议字段。

与 IP 协议类型不匹配。

发送数据包的源节点的 IP 地址。

（仅限 MX 系列）支持 IPv6 地址标准语法的 128 位地址。

（仅限 MX 系列）128 位地址，是此数据包的最终目标节点地址。

（仅限 MX 系列）匹配 中的 named-listIPv6 目标地址。

（仅限 MX 系列）匹配 IPv6 下一个报头协议类型。

以下列表显示了以下各项支持 protocol的值：

• ah— IP 安全认证标头

• dstopts—IPv6 目标选项

• egp—外部网关协议

• esp—IPSec 封装安全有效负载

• fragment—IPv6 片段标头

• gre—通用路由封装

• hop-by-hop—IPv6 逐跳选项

• icmp—互联网控制消息协议

• icmp6—互联网控制消息协议版本 6

• igmp—互联网组管理协议

• ipip—IP 中的 IP

• ipv6—IP 中的 IPv6

• no-next-header—IPv6 无下一个报头

• ospf- 开放最短路径优先

• pim—协议无关组播

• routing—IPv6 路由标头

• rsvp—资源预留协议

• sctp—流控制传输协议

• tcp—传输控制协议

• udp—用户数据报协议

• vrrp—虚拟路由器冗余协议

（仅限 MX 系列）与 IPv6 下一个报头协议类型不匹配。

ipv6-payload-protocol protocol

（仅限 MX 系列）匹配 IPv6 有效负载协议类型。

以下列表显示了以下各项支持 protocol的值：

• ah— IP 安全认证标头

• dstopts—IPv6 目标选项

• egp—外部网关协议

• esp—IPSec 封装安全有效负载

• fragment—IPv6 片段标头

• gre—通用路由封装

• hop-by-hop—IPv6 逐跳选项

• icmp—互联网控制消息协议

• icmp6—互联网控制消息协议版本 6

• igmp—互联网组管理协议

• ipip—IP 中的 IP

• ipv6—IP 中的 IPv6

• no-next-header—IPv6 无下一个报头

• ospf- 开放最短路径优先

• pim—协议无关组播

• routing—IPv6 路由标头

• rsvp—资源预留协议

• sctp—流控制传输协议

• tcp—传输控制协议

• udp—用户数据报协议

• vrrp—虚拟路由器冗余协议

（仅限 MX 系列）与 IPv6 有效负载协议不匹配。

（仅限 MX 系列）匹配 中的 named-listIPv6 地址。

（仅限 MX 系列）128 位地址，是此数据包的始发源节点地址。

（仅限 MX 系列）匹配 中的 named-listIPv6 源地址。

（仅限 MX 系列）差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。有关更多信息，请参阅 了解行为聚合分类器如何确定可信流量的优先级。

您可以指定 到 0 的 63数值。若要以十六进制形式指定值，请包含 0x 为前缀。若要以二进制形式指定值，请包含 b 为前缀。

代替数值，您可以指定以下文本同义词之一（字段值也会列出）：

• RFC 3246 加速 转发 PHB（每跳行为）定义了一个代码点：ef(46).

• RFC 2597（ 保证转发 PHB 组）定义了 4 个类，每个类中有 3 个丢弃优先级，总共 12 个代码点：

af11（10）， af12 （12）， af13 （14），

af21（18）， af22 （20）， af23 （22），

af31（26）， af32 （28）， af33 （30），

af41（34）、 af42 （36）、 af43 （38）

不匹配 DSCP number。

（受提供商主干桥接 [PBB] 支持）匹配互联网服务标识符。

（由 PBB 支持）匹配互联网服务标识符丢弃资格指示器 （DEI） 位。

（由 PBB 支持）不匹配互联网服务标识符 DEI 位。

（由 PBB 支持）匹配互联网服务标识符优先级代码点。

（由 PBB 支持）与互联网服务标识符优先级代码点不匹配。

（仅限 MX 系列路由器和 EX 系列交换机）匹配提供商 VLAN 标记（具有 802.1Q VLAN 标记的单标记帧中的唯一标记或具有 802.1Q VLAN 标记的双标记帧中的外部标记）中的 IEEE 802.1p 获知的 VLAN 优先级位。指定 中的7单个值或多个值0。

与 user-vlan-1p-priority 匹配条件进行比较。

（仅限 MX 系列路由器和 EX 系列交换机）在 IEEE 802.1p 获知的 VLAN 优先级位上不匹配。有关详细信息，请参阅 learn-vlan-1p-priority 匹配条件。

（通过桥接支持）匹配用户虚拟 LAN （VLAN） 标识符 DEI 位。

（通过桥接支持）不匹配用户 VLAN 标识符 DEI 位。

用于 MAC 学习的 VLAN 标识符。

与用于 MAC 学习的 VLAN 标识符不匹配。

数据包丢失优先级 （PLP） 级别。指定单个级别或多个级别：low、 medium-low、 medium-high或 high。

在 M120 和 M320 路由器上受支持;采用增强型 CFEB （CFEB-E） 的 M7i 和 M10i 路由器;以及 MX 系列路由器和 EX 系列交换机。

对于配备增强型 II 灵活 PIC 集中器 （FPC） 和 EX 系列交换机的 M320、MX 系列和 T 系列路由器上的 IP 流量，必须在层次结构级别包含[edit class-of-service]语句tri-color，才能提交具有指定四个级别中的任何一个的 PLP 配置。如果未启用该 tri-color 语句，则只能配置 和 highlow 级别。这适用于所有协议家族。

有关该 tri-color 语句的信息，请参阅 配置和应用 Tricolor 标记监管器。有关使用行为聚合 （BA） 分类器设置传入数据包的 PLP 级别的信息，请参阅 了解转发类如何将类分配给输出队列。

在丢包优先级上不匹配。指定单个级别或多个级别：low、 medium-low、 medium-high或 high。

有关使用行为聚合 （BA） 分类器设置传入数据包的 PLP 级别的信息，请参阅 了解行为聚合分类器如何确定可信流量的优先级。

TCP 或 UDP 源或目标端口。不能在同一术语中同时 port 指定匹配条件和 destination-port 或 source-port 匹配条件。

第 2 层数据包的源 MAC 地址。

TCP 或 UDP 源端口字段。不能在同一术语中指定 port 和 source-port 匹配条件。

不匹配 TCP/UDP 源端口。

匹配 TCP 报头的 8 位 TCP 标志字段中的一个或多个低阶 6 位。

若要指定单个位字段，可以指定以下文本同义词或十六进制值：

• fin（0x01）

• syn（0x02）

• rst（0x04）

• push（0x08）

• ack（0x10）

• urgent（0x20）

在 TCP 会话中，SYN 标志仅在发送的初始数据包中设置，而 ACK 标志在初始数据包之后发送的所有数据包中设置。

您可以使用位字段逻辑运算符将多个标志串在一起。

配置匹配条件需要 tcp-flags 配置 next-header-tcp 匹配条件。

流量类型。指定 broadcast、 multicastunknown-unicast、 或 known-unicast。

在流量类型上不匹配。

（仅限 MX 系列路由器和 EX 系列交换机）匹配客户 VLAN 标记（具有 802.1Q VLAN 标记的双标记帧中的内部标记）中的 IEEE 802.1p 用户优先级位。指定 中的7单个值或多个值0。

与 learn-vlan-1p-priority 匹配条件进行比较。

（仅限 MX 系列路由器和 EX 系列交换机）在 IEEE 802.1p 用户优先级位上不匹配。有关详细信息，请参阅 user-vlan-1p-priority 匹配条件。

（仅限 MX 系列路由器和 EX 系列交换机）匹配属于有效负载一部分的第一个 VLAN 标识符。

（仅限 MX 系列路由器和 EX 系列交换机）在作为有效负载一部分的第一个 VLAN 标识符上不匹配。

第 2 层桥接数据包的 VLAN 以太网类型字段。

在第 2 层桥接数据包的 VLAN 以太网类型字段上不匹配。