VPLS 流量的防火墙过滤器匹配条件

匹配 VPLS 数据包的目标媒体访问控制 （MAC） 地址。

（仅限 MX 系列路由器和 EX 系列交换机）匹配 UDP 或 TCP 目标端口字段。

不能在同一术语中同时 port 指定 和 destination-port 匹配条件。

要代替数值，可以指定以下文本同义词之一（还会列出端口号）：afs（1483）， bgp （179）， biff （512）， bootpc （68）， bootps （67）， cmd （514）， cvspserver （2401）， dhcp （67）， domain （53）， eklogin （2105）， ekshell （2106）， exec （512）， finger （79）， ftp （21）， ftp-data （20）， http （80）， https （443）， ident （113）， imap （143）， kerberos-sec （88）， klogin （543）， kpasswd （761）， krb-prop （754）， krbupdate （760）， kshell （544）， ldap （389）， ldp （646）， login （513）， mobileip-agent （434）， mobilip-mn （435）， msdp （639）， netbios-dgm （138）， netbios-ns （137）， netbios-ssn （139）， nfsd （2049）， nntp （119）， ntalk （518），ntp （123）， pop3 （110）， pptp （1723）， printer （515）， radacct （1813）， radius （1812）， rip （520）， rkinit （2108）， smtp （25）， snmp （161）， snmptrap （162）， snpp （444）， socks （1080）， ssh （22）， sunrpc （111）， syslog （514）， tacacs （49）， （65）， talk （517）， telnet （23）， tftp （69）， timedtacacs-ds （525）， who （513） 或 xdmcp （177）。

（仅限 MX 系列路由器和 EX 系列交换机）在 TCP 或 UDP 目标端口字段上不匹配。不能在同一术语中同时 port 指定 和 destination-port 匹配条件。

（仅限 ACX 系列路由器、MX 系列路由器和 EX 系列交换机）匹配指定列表中的目标前缀。指定在 ] 层次结构级别定义的 [edit policy-options prefix-list prefix-list-name前缀列表的名称。

（仅限 MX 系列路由器和 EX 系列交换机）不匹配指定列表中的目标前缀。有关详细信息，请参阅 destination-prefix-list 匹配条件。

（仅限 MX 系列路由器和 EX 系列交换机）匹配差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。有关更多信息，请参阅 了解行为聚合分类器如何确定可信流量的优先级。

您可以指定 到 0 的 63数值。若要以十六进制形式指定值，请包含 0x 为前缀。若要以二进制形式指定值，请包含 b 为前缀。

代替数值，您可以指定以下文本同义词之一（字段值也会列出）：

• RFC 3246 加速 转发 PHB（每跳行为）定义了一个代码点：ef(46).

• RFC 2597（ 保证转发 PHB 组）定义了 4 个类，每个类中有 3 个丢弃优先级，总共 12 个代码点：

af11（10）， af12 （12）， af13 （14），

af21（18）， af22 （20）， af23 （22），

af31（26）， af32 （28）， af33 （30），

af41（34）、 af42 （36）、 af43 （38）

（仅限 MX 系列路由器和 EX 系列交换机）在 DSCP 上不匹配。有关详细信息，请参阅 dscp 匹配条件。

将 2 字节 IEEE 802.3 长度/以太类型字段与指定的值或值列表匹配。

可以指定从 0 到 65535 （0xFFFF） 的十进制或十六进制值。从 0 到 1500 （0x05DC） 的值指定以太网版本 1 帧的长度。从 1536 （0x0600） 到 65535 的值指定以太网版本 2 帧的 EtherType（MAC 客户端协议的性质）。

代替数值，可以指定以下文本同义词之一（还会列出十六进制值）：aarp（0x80F3）、 appletalk （0x809B）、 arp （0x0806）、 ipv4 （0x0800）、 ipv6 （0x86DD）、 mpls-multicast （0x8848）、 mpls-unicast （0x8847）、 oam （0x8902）、 ppp （0x880B）、 pppoe-discovery （0x8863）、 pppoe-session （0x8864）或 sna（0x80D5）。

不要将 2 个八位字节长度/以太类型字段与指定的值或值列表匹配。

有关指定 的详细信息 values，请参阅 ether-type 匹配条件。

从 Junos OS 14.2 开始，防火墙层次结构配置支持灵活的偏移过滤器。

要匹配的数据长度（以位为单位），字符串输入不需要 （0..128）

（匹配开始 + 字节）偏移量 （0..7） 之后的位偏移量

比赛起点之后的字节偏移量

从预定义的模板字段中选择灵活匹配

屏蔽数据包数据中要匹配的位

数据包中匹配的起点

要匹配的值数据/字符串

要匹配的数据长度（以位为单位） （0..32）

（匹配开始 + 字节）偏移量 （0..7） 之后的位偏移量

比赛起点之后的字节偏移量

从预定义的模板字段中选择灵活匹配

数据包中匹配的起点

要匹配的值范围

不匹配此值范围

匹配转发类。指定 assured-forwarding、 best-effortexpedited-forwarding、 或 network-control。

与转发类不匹配。有关详细信息，请参阅 forwarding-class 匹配条件。

匹配 ICMP 消息代码字段。

如果配置此匹配条件，我们建议您在同一术语中也配置 next-header icmp 或 next-header icmp6 匹配条件。

如果配置此匹配条件，则还必须在同一术语中配置 icmp-type message-type 匹配条件。ICMP 消息代码提供比 ICMP 消息类型更具体的信息，但 ICMP 消息代码的含义取决于关联的 ICMP 消息类型。

要代替数值，您可以指定以下文本同义词之一（还会列出字段值）。关键字按与其关联的 ICMP 类型分组：

• 参数问题：ip6-header-bad（0）、 unrecognized-next-header （1）、 unrecognized-option （2）

• 超过时间：ttl-eq-zero-during-reassembly（1）、 ttl-eq-zero-during-transit （0）

• 无法到达目的地：address-unreachable（3）、 administratively-prohibited （1）、 no-route-to-destination （0）、 port-unreachable （4）

不匹配 ICMP 消息代码字段。有关详细信息，请参阅 icmp-code 匹配条件。

（仅限 MX 系列路由器和 EX 系列交换机） 匹配 ICMP 消息代码字段。

如果配置此匹配条件，我们建议您在同一术语中也配置 ip-protocol icmp 或 ip-protocol icmp6 匹配条件。

如果配置此匹配条件，则还必须在同一术语中配置 icmp-type message-type 匹配条件。ICMP 消息代码提供比 ICMP 消息类型更具体的信息，但 ICMP 消息代码的含义取决于关联的 ICMP 消息类型。

要代替数值，您可以指定以下文本同义词之一（还会列出字段值）。关键字按与其关联的 ICMP 类型分组：

• 参数问题：ip6-header-bad（0）、 unrecognized-next-header （1）、 unrecognized-option （2）

• 超过时间：ttl-eq-zero-during-reassembly（1）、 ttl-eq-zero-during-transit （0）

• 无法到达目的地：address-unreachable（3）、 administratively-prohibited （1）、 no-route-to-destination （0）、 port-unreachable （4）

（仅限 MX 系列路由器和 EX 系列交换机） 在 ICMP 代码字段上不匹配。有关详细信息，请参阅 icmp-code 匹配条件。

接收数据包的接口。您可以配置匹配条件，根据接收数据包的接口匹配数据包。

将接收数据包的逻辑接口与指定的接口组或接口组进行匹配。对于 group-number，指定单个值或从 0 到 的值 255范围。

要将逻辑接口分配给接口组group-number，请在层次结构级别指定 。group-number[interfaces interface-name unit number family family filter group]

有关更多信息，请参阅 过滤一组接口组上收到的数据包概述。

不要将接收数据包的逻辑接口与指定的接口组或接口组匹配。有关详细信息，请参阅 interface-group 匹配条件。

将接收数据包的接口与指定的接口集匹配。

要定义接口集，请在层次结构级别包含 interface-set 语句 [edit firewall] 。有关更多信息，请参阅 过滤接口集上收到的数据包概述。

（仅限 MX 系列路由器和 EX 系列交换机）支持 IPv4 地址标准语法的 32 位地址。

请注意，使用此术语时，必须在同一术语上定义匹配条件以太类型 IPv4。

（仅限 MX 系列路由器和 EX 系列交换机）32 位地址，即数据包的最终目标节点地址。

请注意，使用此术语时，必须在同一术语上定义匹配条件以太类型 IPv4。

（仅限 MX 系列路由器和 EX 系列交换机）IP 优先级字段。要代替数值字段值，您可以指定以下文本同义词之一（还会列出字段值）：critical-ecp（0xa0）、 flash （0x60）、 flash-override （0x80）、 immediate （0x40）、 internet-control （0xc0）、 net-control （0xe0）、 priority （0x20）或 routine（0x00）。

（仅限 MX 系列路由器和 EX 系列交换机）在 IP 优先级字段上不匹配。

（仅限 MX 系列路由器和 EX 系列交换机）IP 协议字段。

（仅限 MX 系列路由器和 EX 系列交换机）在 IP 协议字段上不匹配。

ip-source-address address

（仅限 MX 系列路由器和 EX 系列交换机）发送数据包的源节点的 IP 地址。

请注意，使用此术语时，还必须在同一术语上定义匹配条件以太型IPv4。

（仅限 MX 系列）匹配 中的 named-listIPv6 源地址。

（仅限 MX 系列和 EX9200）支持 IPv6 地址标准语法的 128 位地址。从 Junos OS 14.2 开始，MX 系列和 EX9200 交换机支持防火墙家族网桥 IPv6 匹配标准。

（（仅限 MX 系列和 EX9200）128 位地址，是此数据包的最终目标节点地址。请注意，使用此术语时，必须在同一术语上定义匹配条件 ether-type IPv6 。

（仅限 MX 系列）匹配 中的 named-listIPv6 目标地址。

（仅限 MX 系列）匹配 IPv6 下一个报头协议类型。

以下列表显示了以下各项支持 protocol的值：

• ah— IP 安全认证标头

• dstopts—IPv6 目标选项

• egp—外部网关协议

• esp—IPSec 封装安全有效负载

• fragment—IPv6 片段标头

• gre—通用路由封装

• hop-by-hop—IPv6 逐跳选项

• icmp—互联网控制消息协议

• icmp6—互联网控制消息协议版本 6

• igmp—互联网组管理协议

• ipip—IP 中的 IP

• ipv6—IP 中的 IPv6

• no-next-header—IPv6 无下一个报头

• ospf- 开放最短路径优先

• pim—协议无关组播

• routing—IPv6 路由标头

• rsvp—资源预留协议

• sctp—流控制传输协议

• tcp—传输控制协议

• udp—用户数据报协议

• vrrp—虚拟路由器冗余协议

（仅限 MX 系列）与 IPv6 下一个报头协议类型不匹配。

ipv6-payload-protocol protocol

（仅限 MX 系列）匹配 IPv6 有效负载协议类型。

以下列表显示了以下各项支持 protocol的值：

• ah— IP 安全认证标头

• dstopts—IPv6 目标选项

• egp—外部网关协议

• esp—IPSec 封装安全有效负载

• fragment—IPv6 片段标头

• gre—通用路由封装

• hop-by-hop—IPv6 逐跳选项

• icmp—互联网控制消息协议

• icmp6—互联网控制消息协议版本 6

• igmp—互联网组管理协议

• ipip—IP 中的 IP

• ipv6—IP 中的 IPv6

• no-next-header—IPv6 无下一个报头

• ospf- 开放最短路径优先

• pim—协议无关组播

• routing—IPv6 路由标头

• rsvp—资源预留协议

• sctp—流控制传输协议

• tcp—传输控制协议

• udp—用户数据报协议

• vrrp—虚拟路由器冗余协议

（仅限 MX 系列）与 IPv6 有效负载协议不匹配。

（仅限 MX 系列）匹配 中的 named-listIPv6 地址。

（仅限 MX 系列）128 位地址，是此数据包的始发源节点地址。

（仅限 MX 系列）差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。有关更多信息，请参阅 了解行为聚合分类器如何确定可信流量的优先级。

您可以指定 到 0 的 63数值。若要以十六进制形式指定值，请包含 0x 为前缀。若要以二进制形式指定值，请包含 b 为前缀。

代替数值，您可以指定以下文本同义词之一（字段值也会列出）：

• RFC 3246 加速 转发 PHB（每跳行为）定义了一个代码点：ef(46).

• RFC 2597（ 保证转发 PHB 组）定义了 4 个类，每个类中有 3 个丢弃优先级，总共 12 个代码点：

af11（10）， af12 （12）， af13 （14），

af21（18）， af22 （20）， af23 （22），

af31（26）， af32 （28）， af33 （30），

af41（34）、 af42 （36）、 af43 （38）

不匹配 DSCP number。

（仅限 MX 系列路由器、M320 路由器和 EX 系列交换机）匹配提供商 VLAN 标记（具有 802.1Q VLAN 标记的单标记帧中的唯一标记或具有 802.1Q VLAN 标记的双标记帧中的外部标记）中的 IEEE 802.1p 获知的 VLAN 优先级位。指定 中的7单个值或多个值0。

与 user-vlan-1p-priority 匹配条件进行比较。

（仅限 MX 系列路由器、M320 路由器和 EX 系列交换机）在 IEEE 802.1p 获知的 VLAN 优先级位上不匹配。有关详细信息，请参阅 learn-vlan-1p-priority 匹配条件。

（仅限 MX 系列路由器和 EX 系列交换机）匹配用户 VLAN ID 丢弃资格指示器 （DEI） 位。

（仅限 MX 系列路由器和 EX 系列交换机）不匹配用户 VLAN ID DEI 位。

（仅限 MX 系列路由器和 EX 系列交换机）用于 MAC 学习的 VLAN 标识符。

（仅限 MX 系列路由器和 EX 系列交换机）与用于 MAC 学习的 VLAN 标识符不匹配。

数据包丢失优先级 （PLP） 级别。指定单个级别或多个级别：low、 medium-low、 medium-high或 high。

在 M120 和 M320 路由器上受支持;采用增强型 CFEB （CFEB-E） 的 M7i 和 M10i 路由器;和 MX 系列路由器。

对于配备增强型 II 灵活 PIC 集中器 （FPC） 和 EX 系列交换机的 M320、MX 系列和 T 系列路由器上的 IP 流量，必须在层次结构级别包含该 tri-color 语句 [edit class-of-service] ，才能提交具有指定四个级别中的任何一个的 PLP 配置。如果未启用该 tri-color 语句，则只能配置 和 highlow 级别。这适用于所有协议家族。

有关语句以及使用行为聚合 （BA） 分类器设置传入数据包的 PLP 级别的信息 tri-color ，请参阅 了解转发类如何将类分配给输出队列。

在丢包优先级上不匹配。指定单个级别或多个级别：low、 medium-low、 medium-high或 high。

有关使用行为聚合 （BA） 分类器设置传入数据包的 PLP 级别的信息，请参阅 了解行为聚合分类器如何确定可信流量的优先级。

（仅限 MX 系列路由器和 EX 系列交换机）TCP 或 UDP 源或目标端口。不能在同一术语中同时 port 指定匹配条件和 destination-port 或 source-port 匹配条件。

（仅限 MX 系列路由器和 EX 系列交换机）在 TCP 或 UDP 源或目标端口上不匹配。不能在同一术语中同时 port 指定匹配条件和 destination-port 或 source-port 匹配条件。

（仅限 MX 系列路由器和 EX 系列交换机）匹配指定列表中的目标或源前缀。指定在 ] 层次结构级别定义的 [edit policy-options prefix-list prefix-list-name前缀列表的名称。

（仅限 MX 系列路由器和 EX 系列交换机）与指定列表中的目标或源前缀不匹配。有关详细信息，请参阅 destination-prefix-list 匹配条件。

VPLS 数据包的源 MAC 地址。

（仅限 MX 系列路由器和 EX 系列交换机）TCP 或 UDP 源端口字段。不能在同一术语中指定 port 和 source-port 匹配条件。

（仅限 MX 系列路由器和 EX 系列交换机）在 TCP 或 UDP 源端口字段上不匹配。不能在同一术语中指定 port 和 source-port 匹配条件。

（仅限 ACX 系列路由器、MX 系列路由器和 EX 系列交换机）匹配指定前缀列表中的源前缀。指定在层次结构级别定义的 [edit policy-options prefix-list prefix-list-name] 前缀列表名称。

（仅限 MX 系列路由器和 EX 系列交换机）与指定前缀列表中的源前缀不匹配。有关详细信息，请参阅 source-prefix-list 匹配条件。

匹配 TCP 报头的 8 位 TCP 标志字段中的一个或多个低阶 6 位。

若要指定单个位字段，可以指定以下文本同义词或十六进制值：

• fin（0x01）

• syn（0x02）

• rst（0x04）

• push（0x08）

• ack（0x10）

• urgent（0x20）

在 TCP 会话中，SYN 标志仅在发送的初始数据包中设置，而 ACK 标志在初始数据包之后发送的所有数据包中设置。

您可以使用位字段逻辑运算符将多个标志串在一起。

如果为 IPv6 流量配置此匹配条件，我们建议您也在同一术语中配置 next-header tcp 匹配条件，以指定端口上使用 TCP 协议。

（仅限 MX 系列路由器和 EX 系列交换机）流量类型。指定 broadcast、 multicastunknown-unicast、 或 known-unicast。

（仅限 MX 系列路由器和 EX 系列交换机）在流量类型上不匹配。指定 broadcast、 multicastunknown-unicast、 或 known-unicast。

（仅限 MX 系列路由器、M320 路由器和 EX 系列交换机）匹配客户 VLAN 标记（具有 802.1Q VLAN 标记的双标记帧中的内部标记）中的 IEEE 802.1p 用户优先级位。指定 中的7单个值或多个值0。

与 learn-vlan-1p-priority 匹配条件进行比较。

（仅限 MX 系列路由器、M320 路由和 EX 系列交换机）在 IEEE 802.1p 用户优先级位上不匹配。有关详细信息，请参阅 user-vlan-1p-priority 匹配条件。

（仅限 MX 系列路由器和 EX 系列交换机）匹配属于有效负载一部分的第一个 VLAN 标识符。

（仅限 MX 系列路由器和 EX 系列交换机）在作为有效负载一部分的第一个 VLAN 标识符上不匹配。

VPLS 数据包的 VLAN 以太网类型字段。

在 VPLS 数据包的 VLAN 以太网类型字段上不匹配。