2 层 CCC 流量的防火墙过滤器匹配条件
您可以为第 2 层电路交叉连接 (CCC) 流量family ccc
() 配置匹配条件的防火墙过滤器。
以下限制适用于第 2 层 CCC 流量的防火墙过滤器:
input-list filter-names
除管理接口和内部以太网接口(或em0
)、环路接口 () 和 USB 调制解调器umd
接口 (fxp
lo0
) 之外,所有接口均支持协议系列防火墙过滤器ccc
的和output-list filter-names
语句。只有在 MX 系列路由器和 EX 系列交换机上,您才能将第 2 层 CCC 无状态防火墙过滤器(在层次结构级别上
[edit firewall filter family ccc]
配置的防火墙过滤器)应用为输出过滤器。在 MX 系列路由器和 EX 系列交换机上,为语句family ccc
配置的防火墙过滤器只能作为输入过滤器应用。
表 1 介绍了 match-conditions
可以在层级配置 [edit firewall family ccc filter filter-name term term-name from]
的问题。
匹配条件 |
说明 |
|
---|---|---|
|
指定要从哪些组继承配置数据。您可以指定多个组名。您必须按继承优先级顺序列出它们。第一个组中的配置数据优先于后续组中的数据。 |
|
|
指定不继承配置数据的组。您可以指定多个组名。 |
|
|
(仅限 MX 系列路由器和 EX 系列交换机)匹配虚拟专用 LAN 服务 (VPLS) 数据包的目标媒体访问控制 (MAC) 地址。 要在第 2 层虚拟专用网络 (VPN) 路由实例中 I 芯片 DPC 上的逻辑接口上通过 CCC 电路传输的出口流量时,按此匹配条件正确评估数据包,您必须对第 2 层 VPN 路由实例进行配置更改。您必须明确禁止对通过第 2 层电路流出的流量使用控制字。默认情况下,第 2 层 VPN 路由实例会使用控制字,以支持第 2 层电路的仿真虚拟电路 (VC) 封装。 要显式禁止对第 2 层 VPN 使用控制字,请在
注:
PTX 系列数据包传输路由器不支持此匹配条件。 有关更多信息,请参阅 禁用第 2 层 VPN 的控制字。 |
|
|
|
要以位表示的数据长度,字符串输入 (0..128) |
|
(匹配开始 + 字节) 偏移 (0.7) 后的位偏移量 |
|
|
匹配起点后的字节偏移量 |
|
|
从预定义模板字段灵活选择匹配项 |
|
|
掩盖要匹配的数据包数据中的位 |
|
|
在数据包中匹配的起点 |
|
|
值数据/要匹配的字符串 |
|
|
|
要以位计的匹配数据长度 (0.32) |
|
(匹配开始 + 字节) 偏移 (0.7) 后的位偏移量 |
|
|
匹配起点后的字节偏移量 |
|
|
从预定义模板字段灵活选择匹配项 |
|
|
在数据包中匹配的起点 |
|
|
要匹配的值范围 |
|
|
不匹配此值范围 |
|
|
转发类。指定 |
|
|
转发类不匹配。指定 |
|
|
将接收数据包的逻辑接口与指定的接口组或接口组集匹配。对于 要为接口组 注:
PTX 系列数据包传输路由器不支持此匹配条件。 有关更多详细信息,请参阅在一组接口组上收到的过滤数据包概述。 |
|
|
不要与接收数据包的逻辑接口匹配到指定的接口组或接口组集。有关详细信息,请参阅 注:
PTX 系列数据包传输路由器不支持此匹配条件。 |
|
|
(仅限 MX 系列路由器、M320 路由器和 EX 系列交换机)匹配 IEEE 802.1p 学习的提供商 VLAN 标记中的 VLAN 优先级位(具有 802.1Q VLAN 标记的单标记帧中的唯一标记或具有 802.1Q VLAN 标记的双标记帧中的唯一标记)。指定从到 与 注:
PTX 系列数据包传输路由器不支持此匹配条件。 注:
此匹配条件支持 MX 系列和 M320 路由器存在控制字。 |
|
|
(仅限 MX 系列路由器、M320 路由器和 EX 系列交换机)IEEE 802.1p 学习的 VLAN 优先级位不匹配。有关详细信息,请参阅 注:
PTX 系列数据包传输路由器不支持此匹配条件。 注:
此匹配条件支持 MX 系列和 M320 路由器存在控制字。 |
|
|
数据包丢失优先级 (PLP) 级别。指定单个级别或多个级别: 支持 M120 和 M320 路由器;配备增强型 CFEB (CFEB-E) 的 M7i 和 M10i 路由器;和 MX 系列路由器和 EX 系列交换机 对于具有增强型 II 灵活 PIC 集中器 (FPC) 和 EX 系列交换机的 M320、MX 系列和 T 系列路由器上的 IP 流量,您必须在 有关 |
|
|
数据包丢失优先级级别不匹配。指定单个级别或多个级别: 注:
PTX 系列数据包传输路由器不支持此匹配条件。 有关使用行为聚合 (BA) 分类器设置传入数据包的 PLP 级别的信息,请参阅 行为聚合分类器如何确定可信流量的优先级。 |
|
|
(仅限 MX 系列路由器、M320 路由器和 EX 系列交换机)匹配客户 VLAN 标记中的 IEEE 802.1p 用户优先级位(具有 802.1Q VLAN 标记的双标记帧中的内部标记)。指定从到 与 注:
PTX 系列数据包传输路由器不支持此匹配条件。 注:
此匹配条件支持 MX 系列和 M320 路由器存在控制字。 |
|
|
(仅限 MX 系列路由器、M320 路由器和 EX 系列交换机)IEEE 802.1p 用户优先级位不匹配。有关详细信息,请参阅 注:
PTX 系列数据包传输路由器不支持此匹配条件。 注:
此匹配条件支持 MX 系列和 M320 路由器存在控制字。 |