配置简单过滤器的准则
用于配置简单过滤器的语句层次结构
要配置简单过滤器,请在层级添加语句simple-filter simple-filter-name
[edit firewall family inet]
。
[edit] firewall { familyinet
{simple-filter
simple-filter-name { term term-name { from { match-conditions; } then { actions; } } } } }
本主题将单独介绍该 simple-filter simple-filter-name
语句下支持的单个语句,并在配置和应用简单过滤器的示例中进行了说明。
简单过滤器协议家族
您可以配置简单的过滤器,以仅过滤 IPv4 流量 (family inet
)。简单的过滤器不支持其他协议家族。
简单过滤器名称
在语句下 family inet
,您可以包括 simple-filter simple-filter-name
用于创建简单过滤器并命名简单过滤器的语句。过滤器名称可以包含字母、数字和连字符 (-),最长为 64 个字符。要让名称中包含空格,请用引号 (“ ”) 将整个名称括起来。
简单的过滤条款
该语句下 simple-filter simple-filter-name
,您可以包括 term term-name
要创建和命名过滤术语的语句。
您必须在 防火墙过滤器中至少配置一个术语。
您必须为防火墙过滤器中的每个术语指定唯一的名称。术语名称可包含字母、数字和连字符 (-),最长可包含 64 个字符。要让名称中包含空格,请用引号 (“ ”) 将整个名称括起来。
在防火墙过滤器配置中指定术语的顺序非常重要。将按配置顺序评估防火墙过滤器术语。默认情况下,新术语始终添加到现有过滤器的末尾。您可以使用
insert
配置模式命令对防火墙过滤器的条款进行重新排列。
简单的过滤器不支持 该 next term
操作。
简单的过滤器匹配条件
简单的过滤器条款仅支持标准无状态防火墙过滤器支持的 IPv4 匹配条件的一个子集。
与标准无状态防火墙过滤器不同,以下限制适用于简单过滤器:
在具有增强型排队 DPC 的 MX 系列路由器和 EX 系列交换机上,简单的过滤器不支持
forwarding- class
匹配条件。对于每个过滤器术语,简单过滤器仅支持一
source-address
个和一个destination-address
前缀。如果配置多个前缀,只会使用最后一个前缀。简单过滤器不支持 单个术语中多个源地址和目标地址。如果配置多个地址,则只会使用最后一个地址。
简单的过滤器不支持 否定的
protocol-except
匹配条件,如匹配条件或exception
关键字。简单的过滤器仅支持一系列
source-port
值,并且destination-port
仅支持匹配条件。例如,您可以配置source-port 400-500
或destination-port 600-700
。简单的过滤器不支持不 连续的掩码值。
表 1 列出了简单的过滤器匹配条件。
匹配条件 |
说明 |
---|---|
|
匹配 IP 目标地址。 |
|
TCP 或 UDP 目标端口字段。 如果配置此匹配条件,则建议同时配置 您可以代替数值指定以下文本别名之一(同时列出了端口号): |
|
匹配数据包的转发等级。 指定 有关转发类和路由器内部输出队列的信息,请参阅 了解转发类如何将类分配给输出队列。 |
|
IP 协议字段。您可以指定以下文本别名之一(同时列出了字段值),以取代数值: |
|
匹配 IP 源地址。 |
|
匹配 UDP 或 TCP 源端口字段。 如果配置此匹配条件,则建议同时配置 您可以指定所列 |
简单的过滤器终止操作
简单过滤器不支持显式 配置的终止操作,例如 accept
、 reject
和 discard
。在简单过滤器中配置的术语始终接受数据包。
简单的过滤器不支持 该 next
操作。
简单的过滤器非确定操作
简单的过滤器仅支持以下非确定操作:
forwarding-class (forwarding-class | assured-forwarding |best-effort | expedited-forwarding | network-control)
注:在具有增强型队列 DPC 的 MX 系列路由器和 EX 系列交换机上,不支持将转发类作为
from
匹配条件。loss-priority (high | low | medium-high | medium-low)
简单过滤器不支持对数据包执行其他功能的操作(例如递增计数器、记录有关数据包标头的信息、对数据包数据进行采样,或使用系统日志功能向远程主机发送信息)。