Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

IPv4 或 IPv6 流量的服务过滤器匹配条件

服务过滤器仅支持 IPv4 和 IPv6 流量的无状态防火墙过滤器匹配条件的子集。 表 1 介绍了服务过滤器匹配条件。

表 1: IPv4 或 IPv6 流量的服务过滤器匹配条件

匹配条件

说明

协议家族

address address

匹配 IP 源或目标地址字段。

  • family inet

  • family inet6

 

address address except

与 IP 源或目标地址字段不匹配。

  • family inet

  • family inet6

 

ah-spi spi-value

(M 系列路由器,M120 和 M320 除外)匹配 IPsec 认证标头 (AH) 安全参数索引 (SPI) 值。

  • family inet

 

ah-spi-except spi-value

(M 系列路由器,M120 和 M320 除外)与 IPsec AH SPI 值不匹配。

  • family inet

 

destination-address address

匹配 IP 目标地址字段。

不能在同一 address 术语中同时指定和 destination-address 匹配条件。

  • family inet

  • family inet6

 

destination-address address except

与 IP 目标地址字段不匹配。

不能在同一 address 术语中同时指定和 destination-address 匹配条件。

  • family inet

  • family inet6

 

destination-port number

匹配 UDP 或 TCP 目标端口字段。

不能在同一 port 术语中同时指定和 destination-port 匹配条件。

如果为 IPv4 流量配置此匹配条件,我们建议您在同一 protocol udp 术语中配置或 protocol tcp 匹配语句,指定端口上正在使用哪个协议。

如果为 IPv6 流量配置此匹配条件,我们建议您在同一 next-header udp 术语中配置或 next-header tcp 匹配条件,指定端口上正在使用哪个协议。

代替数字值时,您可以指定以下文本同义词之一(端口号也列出):afs(1483)、 bgp (179)、 biff (512)、(68)、 bootpc (67)、 bootpscmd (514)、 cvspserver (2401)、 dhcp (67)、 domain (53)、 eklogin (21 205)、 ekshell (2106)、 exec (512)、 finger (79)、(21)、 ftp (20)、 httpftp-data (80)、 https (443)、 ident (113)、 imap (143)、 kerberos-sec (88)、 klogin (543)、 kpasswd (761)、(754)、 krb-prop (760)、 krbupdate (544)、 kshellldap (389)、 ldp (646)、 login (513)、 mobileip-agent (434)、 mobilip-mn (435)、 msdp (639)、 netbios-dgm (138)、 netbios-ns (137)、 netbios-ssn (139)、 nfsd (2049)、 nntp (119)、 ntalk (518)、(518)、ntp (123)、 pop3 (110)、 pptp (1723)、(515)、 radacctprinter (1813)、 radius (1812)、 rip (520)、 rkinit (2108)、 smtp (25)、 snmp (161)、 snmptrap (162)、 snpp (44 4)、 socks (1080)、 ssh (22)、(111)、 sunrpc (514)、 syslog (49)、 tacacs (65)、 talktacacs-ds (517)、 telnet (23)、 tftp (69)、 timed (525)、 who (513) 或 xdmcp (177)。

  • family inet

  • family inet6

 

destination-port-except number

与 UDP 或 TCP 目标端口字段不匹配。有关详细信息,请参阅 destination-port 匹配说明。

  • family inet

  • family inet6

family inet6

destination-prefix-list name

匹配目标前缀列表。前缀列表在 [edit policy-options prefix-list prefix-list-name] 层次结构级别中定义。

  • family inet

  • family inet6

 

esp-spi value

匹配封装安全有效负载 (ESP) SPI 值的 IPsec。指定单个值或一系列值。您可以以十六进制、二进制或十进制形式指定 。要以十六进制形式指定值,请作为前缀进行包括 0x 。要以二进制格式指定值,请将前缀作为前缀包括 b 在内。

  • family inet

  • family inet6

 

esp-spi-except value

与 IPsec ESP SPI 值或值范围不匹配。有关详细信息,请参阅 esp-spi 匹配条件。

  • family inet

  • family inet6

 

first-fragment

如果数据包是分片数据包的第一个分片,则匹配。如果数据包是分片数据包的尾随分片,则不匹配。分片数据包的第一个分片的分片偏移值为 0

此匹配条件是比特现场匹配条件 fragment-offset 0 匹配条件的别名。

要匹配首个分片和后部分片,您可以使用两个术语来指定不同的匹配条件:first-fragment和 .is-fragment

  • family inet

 

forwarding-class

匹配以下一个或多个指定的数据包转发类:

  • assured-forwarding

  • best-effort

  • expedited-forwarding

  • network-control

  • user-defined-name

有关转发类和路由器内部输出队列的信息,请参阅 了解转发类如何将类分配给输出队列

  • family inet

  • family inet6

forwarding-class-except

与以下一个或多个指定的数据包转发类不匹配:

  • assured-forwarding

  • best-effort

  • expedited-forwarding

  • network-control

  • user-defined-name

  • family inet

  • family inet6

fragment-flags number

(仅限入口)匹配 IP 报头中的三位 IP 分片标记字段。

代替数字字段值,您可以指定以下一个关键字(也列出了字段值):dont-fragment(0x4)、 more-fragments (0x2)或 reserved (0x8)。

  • family inet

 

fragment-offset number

匹配 IP 报头中的 13 位分片偏移字段。该值是数据报给数据分片的整体数据报消息中的 8 字节单元中的偏移。指定数字值、一系列值或一组值。的 0 偏移值表示分片数据包的第一个分片。

匹配 first-fragment 条件是匹配条件的 fragment-offset 0 别名。

要匹配第一个和尾随分片,您可以使用两个术语来指定不同的匹配条件 (first-fragmentis-fragment)。

  • family inet

 

fragment-offset-except number

与 13 位分片偏移字段不匹配。

  • family inet

 

interface-group group-number

匹配接收数据包的接口组(一个或多个逻辑接口集)。对于 group-number, 指定从 0255... 的值。

有关配置接口组的信息,请参阅 过滤接口组上收到的数据包概述

  • family inet

  • family inet6

 

interface-group-except group-number

与接收数据包的接口组不匹配。有关详细信息,请参阅 interface-group 匹配条件。

  • family inet

  • family inet6

 

ip-options values

将 8 位 IP 选项字段(如果有)与指定值或值列表匹配。

代替数字值时,您可以指定以下文本同义词之一(也列出了选项值):loose-source-route(131)、 record-route (7)、 router-alert (148)、 security (130)、 stream-id (136)、 strict-source-route (137) 或 timestamp (68)。

要匹配 IP 选项 的任何 值,请使用文本同义词 any。要在 多个 值上匹配,请指定方形托架内的值列表 (''[ 和']')。要匹配一 系列 值,请使用值规格 value1-value2 ]

例如,匹配条件 ip-options [ 0-147 ] 在 IP 选项字段上匹配,IP 选项字段包含 loose-source-routerecord-routesecurity 值或任何其他值(从 0 到 147)。但是,此匹配条件在仅包含值 (148) 的 router-alert IP 选项字段上不匹配。

对于大多数接口,一个过滤器术语,用于指定一个 ip-option 或多个 特定 IP 选项值上的匹配项(此值除 any外)会导致数据包发送至路由引擎,以便内核可以解析数据包标头中的 IP 选项字段。

  • 对于在一个或多个特定 IP 选项值上指定匹配项的防火墙过滤器术语,除非您在同一ip-option术语中也指定终止操作,否则不能指定discardcountlogsyslog或非终止操作。此行为可防止对应用于路由器(或交换机)中转接口的过滤器的数据包进行双重计数。

  • 如果出现系统瓶颈,可能会丢弃在内核上处理的数据包。为确保将匹配的数据包发送至数据包转发引擎(在硬件中实施数据包处理),请使用 ip-options any 匹配条件。

MX 系列路由器和 EX 系列交换机上的 10 千兆位以太网模块化端口集中器 (MPC)、60 千兆位以太网 MPC、60 千兆位排队以太网 MPC、60 千兆位以太网增强型排队 MPC 能够解析 IPv4 数据包标头的 IP 选项字段。EX 系列交换机上也支持此功能。对于在这些 MPC 上配置的接口,使用ip-options匹配条件匹配的所有数据包将发送至数据包转发引擎进行处理。

family inet

  • family inet

ip-options-except values

请勿将 IP 选项字段与指定值或值列表匹配。有关指定的 values详细信息,请参阅 ip-options 匹配条件。

  • family inet

 

is-fragment

如果数据包是分片数据包的尾随分片,则匹配。与分片数据包的第一个分片不匹配。

此匹配条件是比特现场匹配条件 fragment-offset 0 except 位的别名。

注:

要匹配第一个和尾随分片,您可以使用两个术语来指定不同的匹配条件 (first-fragmentis-fragment)。

  • family inet

 

loss-priority

匹配以下一个或多个指定的数据包丢失优先级 (PLP) 级别:

  • low

  • medium-low

  • medium-high

  • high

时间表与随机早期丢弃 (RED) 算法一起使用 PLP,以控制拥塞期间丢弃的数据包。有关 PLP 的信息,请参阅 通过 设置不同流量的丢包优先级来管理拥 塞情况,以及 基于多个数据包标头字段将服务级别分配给数据包的概述

  • family inet

  • family inet6

loss-priority-except

与以下一个或多个指定的数据包丢失优先级 (PLP) 级别不匹配:

  • low

  • medium-low

  • medium-high

  • high

  • family inet

  • family inet6

port number

匹配 UDP 或 TCP 源或目标端口字段。

如果配置此匹配条件,则不能在同一 destination-port 术语中配置匹配条件或 source-port 匹配条件。

如果为 IPv4 流量配置此匹配条件,我们建议您在同一 protocol udp 术语中配置或 protoco tcp 匹配语句,指定端口上正在使用哪个协议。

如果为 IPv6 流量配置此匹配条件,我们建议您在同一 next-header udp 术语中配置或 next-header tcp 匹配条件,指定端口上正在使用哪个协议。

代替数字值时,您可以指定下 destination-port列的一个文本同义词。

  • family inet

  • family inet6

 

port-except number

与 UDP、TCP 源或目标端口字段不匹配。有关详细信息,请参阅 port 匹配条件。

  • family inet

  • family inet6

 

prefix-list prefix-list-name

将源或目标地址字段的前缀与指定列表中的前缀匹配。前缀列表在层次结构级别中 [edit policy-options prefix-list prefix-list-name] 定义。

  • family inet

  • family inet6

 

protocol number

匹配 IP 协议类型字段。

代替数字值时,您可以指定以下文本同义词之一(字段值也列出):ah(51)、 dstopts (60)、 egp (8)、(50)、 fragmentesp (44)、(47)、 gre (0)、 hop-by-hop (1)、 icmpicmp6 (58)、 icmpv6 (58)、 igmp (2)、 ipip (4)、 ipv6 (41)、 ospf (89)、 pim (103)、(46)、 rsvp (132)、 tcpsctp (6)、udp (17) 或 vrrp (112)。

  • family inet

protocol-except number

与 IP 协议类型字段不匹配。有关详细信息,请参阅 protocol 匹配条件。

  • family inet

 

source-address address

匹配 IP 源地址。

不能在同一 address 术语中同时指定和 source-address 匹配条件。

  • family inet

  • family inet6

 

source-address address except

与 IP 源地址不匹配。

不能在同一 address 术语中同时指定和 source-address 匹配条件。

  • family inet

  • family inet6

 

source-port number

匹配 UDP 或 TCP 源端口字段。

不能在同一 port 术语中指定和 source-port 匹配条件。

如果为 IPv4 流量配置此匹配条件,我们建议您在同一 protocol udp 术语中配置或 protocol tcp 匹配语句,指定端口上正在使用哪个协议。

如果为 IPv6 流量配置此匹配条件,我们建议您在同一 next-header udp 术语中配置或 next-header tcp 匹配条件,指定端口上正在使用哪个协议。

代替数字值时,您可以指定具有 destination-port number 匹配条件的其中一个文本同义词。

  • family inet

  • family inet6

 

source-port-except number

与 UDP 或 TCP 源端口字段不匹配。有关详细信息,请参阅 source-port 匹配条件。

  • family inet

  • family inet6

 

source-prefix-list name

匹配指定列表中的源前缀。指定在 ] 层次结构级别中定义的前缀列表的 [edit policy-options prefix-list prefix-list-name名称。

  • family inet

  • family inet6

 

tcp-flags value

在 TCP 标头的 8 位 TCP 标志字段中匹配一个或多个低阶 6 位。

要指定单个比特字段,您可以指定以下文本同义词或十六进制值:

  • fin(0x01)

  • syn(0x02)

  • rst(0x04)

  • push(0x08)

  • ack(0x10)

  • urgent(0x20)

在 TCP 会话中,SYN 标志仅在已发送的初始数据包中设置,而 ACK 标记设置在初始数据包之后发送的所有数据包中。

您可以使用比特字段逻辑操作员将多个标志串在一起。

有关组合比特现场匹配条件,请参阅 tcp-establishedtcp-initial 匹配条件。

如果为 IPv4 流量配置此匹配条件,我们建议您在同一 protocol tcp 术语中配置匹配语句,指定端口上正在使用 TCP 协议。

如果为 IPv6 流量配置此匹配条件,我们建议您也在同一 next-header tcp 术语中配置匹配条件,指定端口上正在使用 TCP 协议。

  • family inet

  • family inet6

 
注:

如果在匹配条件( addressdestination-address匹配条件)中指定 IPv6 地址, source-address 请使用语法表示 RFC 4291 、IP 版本 6 寻址架构中所述的文本表示。有关 IPv6 地址的详细信息,请参阅 Junos OS 路由设备路由协议库中的“IPv6 概述”。