配置简单过滤器的准则

用于配置简单过滤器的语句层次结构

要配置简单过滤器，请在层级添加语句simple-filter simple-filter-name[edit firewall family inet]。

本主题将单独介绍该 simple-filter simple-filter-name 语句下支持的单个语句，并在配置和应用简单过滤器的示例中进行了说明。

简单过滤器协议家族

您可以配置简单的过滤器，以仅过滤 IPv4 流量 （family inet）。简单的过滤器不支持其他协议家族。

简单过滤器名称

在语句下 family inet ，您可以包括 simple-filter simple-filter-name 用于创建简单过滤器并命名简单过滤器的语句。过滤器名称可以包含字母、数字和连字符 （-），最长为 64 个字符。要让名称中包含空格，请用引号 （“ ”） 将整个名称括起来。

简单的过滤条款

该语句下 simple-filter simple-filter-name ，您可以包括 term term-name 要创建和命名过滤术语的语句。

• 您必须在 防火墙过滤器中至少配置一个术语。

• 您必须为防火墙过滤器中的每个术语指定唯一的名称。术语名称可包含字母、数字和连字符 （-），最长可包含 64 个字符。要让名称中包含空格，请用引号 （“ ”） 将整个名称括起来。

• 在防火墙过滤器配置中指定术语的顺序非常重要。将按配置顺序评估防火墙过滤器术语。默认情况下，新术语始终添加到现有过滤器的末尾。您可以使用 insert 配置模式命令对防火墙过滤器的条款进行重新排列。

简单的过滤器不支持 该 next term 操作。

简单的过滤器匹配条件

简单的过滤器条款仅支持标准无状态防火墙过滤器支持的 IPv4 匹配条件的一个子集。

与标准无状态防火墙过滤器不同，以下限制适用于简单过滤器：

• 在具有增强型排队 DPC 的 MX 系列路由器和 EX 系列交换机上，简单的过滤器不支持forwarding- class匹配条件。

• 对于每个过滤器术语，简单过滤器仅支持一 source-address 个和一个 destination-address 前缀。如果配置多个前缀，只会使用最后一个前缀。

• 简单过滤器不支持 单个术语中多个源地址和目标地址。如果配置多个地址，则只会使用最后一个地址。

• 简单的过滤器不支持 否定的 protocol-except 匹配条件，如匹配条件或 exception 关键字。

• 简单的过滤器仅支持一系列 source-port 值，并且 destination-port 仅支持匹配条件。例如，您可以配置 source-port 400-500 或 destination-port 600-700。

• 简单的过滤器不支持不 连续的掩码值。

表 1 列出了简单的过滤器匹配条件。

简单的过滤器终止操作

简单过滤器不支持显式 配置的终止操作，例如 accept、 reject和 discard。在简单过滤器中配置的术语始终接受数据包。

简单的过滤器不支持 该 next 操作。

简单的过滤器非确定操作

简单的过滤器仅支持以下非确定操作：

• forwarding-class (forwarding-class | assured-forwarding |best-effort | expedited-forwarding | network-control)

  注：

  在具有增强型队列 DPC 的 MX 系列路由器和 EX 系列交换机上，不支持将转发类作为 from 匹配条件。

• loss-priority (high | low | medium-high | medium-low)

简单过滤器不支持对数据包执行其他功能的操作（例如递增计数器、记录有关数据包标头的信息、对数据包数据进行采样，或使用系统日志功能向远程主机发送信息）。