简单过滤器配置准则

用于配置简单过滤器的语句层次结构

要配置简单过滤器，请在层次结构级别包含simple-filter simple-filter-name[edit firewall family inet]该语句。

本主题将单独介绍该 simple-filter simple-filter-name 语句下支持的各个语句，并在配置和应用简单过滤器的示例中进行了说明。

简单滤波器协议家族

您可以配置简单过滤器来仅过滤 IPv4 流量 （family inet）。简单过滤器不支持其他协议家族。

简单过滤器名称

在该 family inet 语句下，您可以包含 simple-filter simple-filter-name 用于创建和命名简单筛选器的语句。过滤器名称可以包含字母、数字和连字符 （-），长度不超过 64 个字符。要在名称中包含空格，请用引号 （“ ”） 将整个名称括起来。

简单过滤器术语

在语 simple-filter simple-filter-name 句下，您可以包含 term term-name 语句以创建和命名过滤器术语。

• 您必须在 防火墙过滤器中配置至少一个术语。

• 您必须为防火墙过滤器中的每个术语指定唯一的名称。术语名称可以包含字母、数字和连字符 （-），长度最长可达 64 个字符。要在名称中包含空格，请用引号 （“ ”） 将整个名称括起来。

• 在防火墙过滤器配置中指定术语的顺序很重要。系统会按配置顺序评估防火墙过滤器术语。默认情况下，新术语始终添加到现有过滤器的末尾。您可以使用配置模式命令对 insert 防火墙过滤器的术语重新排序。

简单过滤器 不 支持该 next term 操作。

简单过滤器匹配条件

简单过滤器术语仅支持标准无状态防火墙过滤器支持的 IPv4 匹配条件的子集。

与标准无状态防火墙过滤器不同，以下限制适用于简单过滤器：

• 在具有增强型队列 DPC 的 MX 系列路由器和 EX 系列交换机上，简单过滤器 不支持forwarding- class匹配条件。

• 简单过滤器仅支持每个 source-address 过滤器术语的一个和一个 destination-address 前缀。如果配置多个前缀，则仅使用最后一个前缀。

• 简单过滤器 不支持在 单个术语中使用多个源地址和目标地址。如果配置多个地址，则仅使用最后一个地址。

• 简单过滤器 不支持 否定匹配条件，如 protocol-except 匹配条件或 exception 关键字。

• 简单过滤器仅支持 source-port 一系列值和 destination-port 匹配条件。例如，您可以配置 source-port 400-500 destination-port 600-700或 。

• 简单过滤器不  支持不连续的掩码值。

表 1 列出了简单的过滤器匹配条件。

简单过滤器终止操作

简单过滤器 不 支持显式可配置的终止操作，如 accept、 reject和 discard。在简单过滤器中配置的术语始终接受数据包。

简单过滤器 不 支持该 next 操作。

简单过滤器非终止操作

简单过滤器仅支持以下非终止操作：

• forwarding-class (forwarding-class | assured-forwarding |best-effort | expedited-forwarding | network-control)

  注意：

  在采用增强型队列 DPC 的 MX 系列路由器和 EX 系列交换机上，不支持转发类作为匹配条件。from

• loss-priority (high | low | medium-high | medium-low)

简单过滤器不支持对数据包执行其他功能的操作（例如，递增计数器、记录有关数据包标头的信息、对数据包数据进行采样或使用系统日志功能将信息发送到远程主机）。