在本页

ACX 系列路由器上的防火墙过滤器匹配条件和操作概述
网桥系列防火墙过滤器（ACX 系列路由器）的匹配条件
CCC 防火墙系列过滤器（ACX 系列路由器）的匹配条件
IPv4 流量（ACX 系列路由器）的匹配条件
IPv6 流量匹配条件（ACX 系列路由器）
MPLS 流量的匹配条件（ACX 系列路由器）
非终止操作（ACX 系列路由器）
终止操作（ACX 系列路由器）

防火墙过滤器匹配条件和操作（ACX 系列路由器）

在 ACX 系列通用城域网路由器上，您可以配置防火墙过滤器以过滤数据包并对与过滤器匹配的数据包执行操作。为过滤数据包而指定的匹配条件特定于要过滤的流量类型。

在 Junos OS 19.1R1 版的 ACX6360-OR 路由器上，具有 IPv6 匹配条件的防火墙过滤器在层次结构级别上不受支持 firewall family inet6 filter name 。

注：

在 ACX 系列路由器上，现有流量过滤器（出口过滤器）只能应用于防火墙过滤器的接口特定实例。

在 ACX 系列路由器上，当您修改应用的防火墙过滤器上的前缀或术语时，会看到 TCAM 错误。要修改防火墙过滤器中的前缀或术语，您需要删除现有防火墙过滤器，然后应用修改后的过滤器。

注：

在 ACX 系列路由器上，您无法在 IRB 接口上的出口方向应用防火墙过滤器。

ACX 系列路由器上的防火墙过滤器匹配条件和操作概述

表 1 介绍了可以为其配置标准无状态防火墙过滤器的流量类型。

表 1： ACX 系列路由器按协议家族划分的标准防火墙过滤器匹配条件
流量类型	指定匹配条件的层次结构级别
与协议无关	`[edit firewall family any filter filter-name term term-name]` ACX 系列路由器上不支持此流量类型的匹配条件。
IPv4	`[edit firewall family inet filter filter-name term term-name` 有关匹配条件的完整列表，请参阅 IPv4 流量（ACX 系列路由器）的匹配条件。
MPLS	`[edit firewall family mpls filter filter-name term term-name]` 有关匹配条件的完整列表，请参阅 MPLS 流量（ACX 系列路由器）的匹配条件。
第 2 层 CCC	`[edit firewall family ccc filter filter-name term term-name]` ACX 系列路由器上不支持此流量类型的匹配条件。
桥	`[edit firewall family bridge filter filter-name term term-name]` `[edit firewall family ethernet-switching filter filter-name term term-name]` （仅适用于 ACX5048 和 ACX5096 路由器。）

在ACX5448路由器上，可以根据外部 tcam 的可用性扩展以下入口系列过滤器：

家庭 ethernet-switching
家庭 ccc
家庭 inet
家庭 inet6
家庭 mpls
家庭 vpls

then在标准无状态防火墙过滤器术语的语句下，您可以指定要对与术语匹配的数据包执行的操作。

表 2 总结了可以在标准无状态防火墙过滤器术语中指定的操作类型。

表 2： ACX 系列路由器的标准防火墙过滤器操作类别
操作类型	Description	评论
终止	停止对特定数据包的防火墙过滤器的所有评估。路由器执行指定的操作，并且不会使用其他术语来检查数据包。在标准防火墙过滤器中只能指定一个终止操作。但是，您可以在单个术语中指定一个或多个非终止操作的终止操作。例如，在术语中，可以使用和 `syslog`进行`count`指定`accept`。	请参阅终止操作（ACX 系列路由器）。
非终止	对数据包执行其他功能（例如，指控计数器、记录有关数据包标头的信息、对数据包数据进行采样或使用系统日志功能向远程主机发送信息），但任何其他术语都用于检查数据包。	请参阅非终止操作（ACX 系列路由器）。

网桥系列防火墙过滤器（ACX 系列路由器）的匹配条件

ACX 系列路由器上的网桥系列防火墙过滤器

可以在 ACX 系列路由器上的 IFL 系列级别配置网桥系列防火墙过滤器。网桥系列过滤器用于根据支持的第 2 层/第 3 层字段匹配 L2 网桥流并执行防火墙操作。ACX 系列路由器上的网桥防火墙过滤器支持的最大术语数为 124。

注：

在 ACX5448 和 ACX7000 系列路由器上，您只需在第 2 层交换数据包上应用第 2 层防火墙过滤器，即使桥接域已将 IRB 连接到桥接域也是如此。如果数据包是第 3 层转发的，则必须在 IRB 上应用第 3 层过滤器。

注：

在 ACX 系列路由器上，您无法在 IRB 接口上的出口方向应用防火墙过滤器。

表 3 显示网桥族过滤器支持的匹配条件。

表 3： ACX 系列路由器的网桥系列防火墙过滤器匹配条件
匹配条件	Description
应用组	设置要从中继承配置数据的组
应用组除外	设置哪些组不会广播配置数据
目的地 MAC 地址	设置目标 MAC 地址
目标端口	匹配 TCP/UDP 目标端口
`destination-prefix-list`	匹配命名列表中的 IP 目标前缀。
DSCP	匹配差异服务（DiffServ）代码点
醚型	匹配以太网类型
ICMP 代码	匹配 ICMP 消息代码
ICMP 类型	匹配 ICMP 消息类型
接口组	匹配接口组
IP 目标地址	匹配 IP 目标地址
IP 优先级	匹配 IP 优先级值
IP 协议	匹配 IP 协议类型
IP 源地址	匹配 IP 源地址
学习 VLAN-1P 优先级	匹配获知的 802.1p VLAN 优先级
learn-vlan-dei	匹配用户 VLAN ID DEI 位
学习 VLAN ID	匹配获知的 VLAN ID
源-MAC-地址	设置源 MAC 地址
`source-prefix-list`	匹配命名列表中的 IP 源前缀。
源端口	匹配 TCP/UDP 源端口
用户 VLAN-1P 优先级	匹配用户 802.1p VLAN 优先级
用户 VLAN ID	匹配用户 VLAN ID
VLAN-醚型	匹配 VLAN 以太网类型

表 4 显示支持的操作字段。

表 4： ACX 系列路由器的网桥系列防火墙过滤器操作字段
操作字段	Description
接受	接受数据包
count	对指定计数器中的数据包进行计数
discard	丢弃数据包
转发类	将数据包分类为转发类
丢失优先级	数据包的丢失优先级
日志	将数据包标头信息记录在数据包转发引擎内的缓冲区中。您可以通过在命令行界面（CLI）上发出 show firewall log 命令来访问此信息。
策略程序	用于对流量进行速率限制的监管器的名称
syslog	将数据包记录到系统日志文件中。
三色监管器	使用三联监管器对数据包进行监管

注：

网桥系列防火墙过滤器可用作第 2 层接口上的输出过滤器。当第 2 层接口位于配置了该语句的 vlan-id 网桥域上时，ACX 系列路由器可以使用网桥系列防火墙过滤器中指定的用户 VLAN-id 匹配来匹配数据包的外部 VLAN。

CCC 防火墙系列过滤器（ACX 系列路由器）的匹配条件

CCC 系列防火墙过滤器的匹配条件

在 ACX 系列路由器上，您可以配置具有电路交叉连接（CCC）流量（系列 ccc）匹配条件的标准防火墙过滤器。

表 5 描述了可以在层次结构级别配置的 [edit firewall family ccc filter filter-name term term-name] 匹配条件。

表 5： ACX 系列路由器的 CCC 系列防火墙过滤器匹配条件
田	Description
`destination-mac-address`	目标 MAC 地址
`destination-port`	匹配 TCP/UDP 目标端口
`dscp`	匹配差异服务（DiffServ）代码点
`icmp-code`	匹配 ICMP 消息代码
`icmp-type`	匹配 ICMP 消息类型
`ip-destination-address`	匹配目标 IP 地址
`ip-precedence`	匹配 IP 优先级值
`ip-protocol`	匹配 IP 协议类型
`ip-source-address`	匹配源 IP 地址
`learn-vlan-1p-priority`	匹配获知的 802.1p VLAN 优先级
`source-mac-address`	源 MAC 地址
`source-port`	匹配 TCP/UDP 源端口
`user-vlan-1p-priority`	匹配用户 802.1p VLAN 优先级

IPv4 流量（ACX 系列路由器）的匹配条件

在 ACX 系列路由器上，您可以配置具有 IP 版本 4 （IPv4）流量匹配条件的标准无状态防火墙过滤器（family inet）。表 6 介绍了可在层次结构级别配置 [edit firewall family inet filter filter-name term term-name from] 的匹配条件。

表 6： ACX 系列路由器上 IPv4 流量的防火墙过滤器匹配条件
匹配条件	Description
`destination-address address`	匹配 IPv4 目标地址字段。注：在 ACX 系列路由器上，只能指定一个目标地址。不支持 IPv4 目标地址列表。
`destination-port number`	匹配 UDP 或 TCP 目标端口字段。如果配置此匹配条件，我们建议您也在同一术语中配置 `protocol udp` or `protocol tcp` match 语句，以指定端口上使用的协议。要代替数值，可以指定以下文本同义词之一（还会列出端口号）：`afs`（1483）， `bgp` （179）， `biff` （512）， `bootpc` （68）， `bootps` （67）， `cmd` （514）， `cvspserver` （2401）， `dhcp` （67）， `domain` （53）， `eklogin` （2105）， `ekshell` （2106）， `exec` （512）， `finger` （79）， `ftp` （21）， `ftp-data` （20）， `http` （80）， `https` （443）， `ident` （113）， `imap` （143）， `kerberos-sec` （88）， `klogin` （543）， `kpasswd` （761）， `krb-prop` （754）， `krbupdate` （760）， `kshell` （544）， `ldap` （389）， `ldp` （646）， `login` （513）， `mobileip-agent` （434）， `mobilip-mn` （435）， `msdp` （639）， `netbios-dgm` （138）， `netbios-ns` （137）， `netbios-ssn` （139）， `nfsd` （2049）， `nntp` （119）， `ntalk` （518），`ntp` （123）， `pop3` （110）， `pptp` （1723）， `printer` （515）， `radacct` （1813）， `radius` （1812）， `rip` （520）， `rkinit` （2108）， `smtp` （25）， `snmp` （161）， `snmptrap` （162）， `snpp` （444）， `socks` （1080）， `ssh` （22）， `sunrpc` （111）， `syslog` （514）， `tacacs` （49），（65）， `talk` （517）， `telnet` （23）， `tftp` （69）， `timedtacacs-ds` （525）， `who` （513）或 `xdmcp` （177）。
`destination-prefix-list`	匹配命名列表中的 IP 目标前缀。
`dscp number`	匹配差异服务代码点（DSCP）。DiffServ 协议在 IP 报头中使用服务类型（ToS）字节。此字节中最重要的 6 位构成 DSCP。有关更多信息，请参阅了解行为聚合分类器如何确定可信流量的优先级。可以指定 0 到 63 之间的数值。要以十六进制形式指定值，请包含 0x 作为前缀。要以二进制形式指定值，请包含 b 作为前缀。代替数值，您可以指定以下文本同义词之一（字段值也会列出）： RFC 3246 加速转发 PHB（每跳行为）定义了一个代码点：`ef`(46). RFC 2597（保证转发 PHB 组）定义了 4 个类，每个类中有 3 个丢弃优先级，总共 12 个代码点： `af11`（10）、 `af12` （12）、 `af13` （14） `af21`（18）、 `af22` （20）、 `af23` （22） `af31`（26）、 `af32` （28）、 `af33` （30） `af41`（34）、 `af42` （36）、 `af43` （38）
`fragment-flags number`	（仅限入口）匹配 IP 报头中的三位 IP 分段标志字段。要代替数值字段值，您可以指定以下关键字之一（还会列出字段值）：`dont-fragment`（0x4）、 `more-fragments` （0x2）或 `reserved` （0x8）。
`icmp-code number`	匹配 ICMP 消息代码字段。如果配置此匹配条件，我们建议您也在同一术语中配置 `protocol icmp` 匹配条件。如果配置此匹配条件，则还必须在同一术语中配置 `icmp-type message-type` 匹配条件。ICMP 消息代码提供比 ICMP 消息类型更具体的信息，但 ICMP 消息代码的含义取决于关联的 ICMP 消息类型。要代替数值，您可以指定以下文本同义词之一（还会列出字段值）。关键字按与其关联的 ICMP 类型分组：参数问题：`ip-header-bad`（0）、 `required-option-missing` （1）重定向：`redirect-for-host`（1）、 `redirect-for-network` （0）、 `redirect-for-tos-and-host` （3）、 `redirect-for-tos-and-net` （2）超过时间：`ttl-eq-zero-during-reassembly`（1）、 `ttl-eq-zero-during-transit` （0）遥不可及：`communication-prohibited-by-filtering`（13）， `destination-host-prohibited` （10）， `destination-host-unknown` （7）， `destination-network-prohibited` （9）， `destination-network-unknown` （6）， `fragmentation-needed` （4）， `host-precedence-violation` （14）， `host-unreachable` （1）， `host-unreachable-for-TOS` （12）， `network-unreachable` （0）， `network-unreachable-for-TOS` （11）， `port-unreachable` （3）， `precedence-cutoff-in-effect` （15）， `protocol-unreachable` （2）， `source-host-isolated` （8）， `source-route-failed` （5）
`icmp-type number`	匹配 ICMP 消息类型字段。如果配置此匹配条件，我们建议您也在同一术语中配置 `protocol icmp` 匹配条件。代替数值，您可以指定以下文本同义词之一（字段值也会列出）：`echo-reply`（0）、 `echo-request` （8）、 `info-reply` （16）、 `info-request` （15）、 `mask-request` （17）、 `mask-reply` （18）、 `parameter-problem` （12）、 `redirect` （5）、 `router-advertisement` （9）、 `router-solicit` （10）、 `source-quench` （4）、 `time-exceeded` （11）、 `timestamp` （13）、 `timestamp-reply` （14）或 `unreachable`（3）。
`ip-options values`	将 8 位 IP 选项字段（如果存在）与指定值匹配。 ACX 系列路由器仅 `ip-options_any` 支持匹配条件，这可确保将数据包发送到数据包转发引擎进行处理。注：在 ACX 系列路由器上，只能指定一个 IP 选项值。不支持配置多个值。
`precedence ip-precedence-field`	匹配 IP 优先级字段。要代替数值字段值，您可以指定以下文本同义词之一（还会列出字段值）：`critical-ecp`（0xa0）、 `flash` （0x60）、 `flash-override` （0x80）、 `immediate` （0x40）、 `internet-control` （0xc0）、 `net-control` （0xe0）、 `priority` （0x20）或 `routine`（0x00）。可以十六进制、二进制或十进制形式指定优先级。
`protocol number`	匹配 IP 协议类型字段。代替数值，您可以指定以下文本同义词之一（字段值也会列出）：`dstopts`（60）、 `egp` （8）、 `esp` （50）、 `fragment` （44）、 `gre` （47）、 `hop-by-hop` （0）、 `icmp` （1）、 `icmp6` （58）、（58）、 `igmpicmpv6` （2）、 `ipip` （4）、 `ipv6` （41）、 `no-next-headerospf` （89）、 `pim` （103）、 `routingrsvp` 、（46）、 `sctp` （132）、 `tcp` （6）、 `udp` （17）或 `vrrp` （112）。
`source-address address`	匹配发送数据包的源节点的 IPv4 地址。
`source-port number`	匹配 UDP 或 TCP 源端口字段。如果为 IPv4 流量配置此匹配条件，我们建议您还在同一术语中配置 `protocol udp` or `protocol tcp` match 语句，以指定端口上使用的协议。要代替数值，您可以指定与匹配条件一起 `destination-port number` 列出的文本同义词之一。
`source-prefix-list`	匹配命名列表中的 IP 源前缀。
`tcp-flags value`	匹配 TCP 报头的 8 位 TCP 标志字段中的一个或多个低阶 6 位。若要指定单个位字段，可以指定以下文本同义词或十六进制值： `fin`（0x01） `syn`（0x02） `rst`（0x04） `push`（0x08） `ack`（0x10） `urgent`（0x20）在 TCP 会话中，SYN 标志仅在发送的初始数据包中设置，而 ACK 标志在初始数据包之后发送的所有数据包中设置。您可以使用位字段逻辑运算符将多个标志串在一起。有关组合位字段匹配条件，请参阅 `tcp-initial` 匹配条件。如果配置此匹配条件，我们建议您也在同一术语中配置 `protocol tcp` match 语句，以指定端口上使用 TCP 协议。
`tcp-initial`	匹配 TCP 连接的初始数据包。这是的 `tcp-flags "(!ack & syn)"`别名。此条件不会隐式检查协议是否为 TCP。如果配置此匹配条件，我们建议您也在同一术语中配置 `protocol tcp` 匹配条件。
`ttl number`	匹配 IPv4 生存时间编号。指定 TTL 值或 TTL 值范围。对于 `number`，可以指定一个或多个介于 2 到 255 之间的值。

IPv6 流量匹配条件（ACX 系列路由器）

您可以使用互联网协议版本 6 （IPv6）流量匹配条件配置防火墙过滤器（family inet6）。表 7 介绍了可在层次结构级别配置 [edit firewall family inet6 filter filter-name term term-name from] 的匹配条件。

表 7： IPv6 流量的防火墙过滤器匹配条件
匹配条件	Description
`destination-address address`	匹配 IPv6 目标地址字段。
`destination-port number`	匹配 UDP 或 TCP 目标端口字段。不能在同一术语中同时 `port` 指定和 `destination-port` 匹配条件。如果配置此匹配条件，我们建议您也在同一术语中配置 `next-header udp` 或 `next-header tcp` 匹配条件，以指定端口上使用的协议。要代替数值，可以指定以下文本同义词之一（还会列出端口号）：`afs`（1483）， `bgp` （179）， `biff` （512）， `bootpc` （68）， `bootps` （67）， `cmd` （514）， `cvspserver` （2401）， `dhcp` （67）， `domain` （53）， `eklogin` （2105）， `ekshell` （2106）， `exec` （512）， `finger` （79）， `ftp` （21）， `ftp-data` （20）， `http` （80）， `https` （443）， `ident` （113）， `imap` （143）， `kerberos-sec` （88）， `klogin` （543）， `kpasswd` （761）， `krb-prop` （754）， `krbupdate` （760）， `kshell` （544）， `ldap` （389）， `ldp` （646）， `login` （513）， `mobileip-agent` （434）， `mobilip-mn` （435）， `msdp` （639）， `netbios-dgm` （138）， `netbios-ns` （137）， `netbios-ssn` （139）， `nfsd` （2049）， `nntp` （119）， `ntalk` （518），`ntp` （123）， `pop3` （110）， `pptp` （1723）， `printer` （515）， `radacct` （1813）， `radius` （1812）， `rip` （520）， `rkinit` （2108）， `smtp` （25）， `snmp` （161）， `snmptrap` （162）， `snpp` （444）， `socks` （1080）， `ssh` （22）， `sunrpc` （111）， `syslog` （514）， `tacacs` （49），（65）， `talk` （517）， `telnet` （23）， `tftp` （69）， `timedtacacs-ds` （525）， `who` （513）或 `xdmcp` （177）。
`destination-prefix-list`	匹配命名列表中的 IP 目标前缀。
`extension-headers header-type`	通过标识“下一个标头”值来匹配数据包中包含的扩展标头类型。在数据包的第一个片段中，过滤器在任何扩展标头类型中搜索匹配项。当找到具有分片标头的数据包（后续分片）时，过滤器仅搜索下一个扩展标头类型的匹配项，因为其他扩展标头的位置不可预测。代替数值，您可以指定以下文本同义词之一（字段值也会列出）：`ah` （51）、 `destination` （60）、 `esp` （50）、 `fragment` （44）、 `hop-by-hop` （0）、 `mobility` （135）或 `routing` （43）。要匹配扩展标头选项的任何值，请使用文本同义词 `any`。注：只能匹配 IPv6 数据包的第一个扩展标头。将匹配超出一个 IPv6 扩展报头的 L4 报头。
`hop-limit hop-limit`	将跃点限制与指定的跃点限制或一组跃点限制相匹配。对于 `hop-limit`，请指定单个值或 0 到 255 之间的值范围。
`icmp-code message-code`	匹配 ICMP 消息代码字段。如果配置此匹配条件，我们建议您在同一术语中也配置 `next-header icmp` 或 `next-header icmp6` 匹配条件。如果配置此匹配条件，则还必须在同一术语中配置 `icmp-type message-type` 匹配条件。ICMP 消息代码提供比 ICMP 消息类型更具体的信息，但 ICMP 消息代码的含义取决于关联的 ICMP 消息类型。要代替数值，您可以指定以下文本同义词之一（还会列出字段值）。关键字按与其关联的 ICMP 类型分组：参数问题：`ip6-header-bad`（0）、 `unrecognized-next-header` （1）、 `unrecognized-option` （2）超过时间：`ttl-eq-zero-during-reassembly`（1）、 `ttl-eq-zero-during-transit` （0）无法到达目的地：`administratively-prohibited`（1）、 `address-unreachable` （3）、 `no-route-to-destination` （0）、 `port-unreachable` （4）
`icmp-type message-type`	匹配 ICMP 消息类型字段。如果配置此匹配条件，我们建议您在同一术语中也配置 `next-header icmp` 或 `next-header icmp6` 匹配条件。代替数值，您可以指定以下文本同义词之一（字段值也会列出）：`certificate-path-advertisement`（149）， `certificate-path-solicitation` （148）， `destination-unreachable` （1）， `echo-reply` （129）， `echo-request` （128）， `home-agent-address-discovery-reply` （145）， `home-agent-address-discovery-request` （144）， `inverse-neighbor-discovery-advertisement` （142），（141）， `membership-queryinverse-neighbor-discovery-solicitation` （130）， `membership-report` （131）， `membership-termination` （132）， `mobile-prefix-advertisement-reply` （147）， `mobile-prefix-solicitation` （146），（136）， `neighbor-solicitneighbor-advertisement` （135）， `node-information-reply` （140）， `node-information-request` （139）， `packet-too-big` （2）， `parameter-problem` （4）， `private-experimentation-100` （100），（101）， `private-experimentation-200private-experimentation-101` （200）， `private-experimentation-201` （201）， `redirect` （137）， `router-advertisement` （134）， `router-renumbering` （138）， `router-solicit` （133）或 `time-exceeded` （3）。对于 `private-experimentation-201` （201），您还可以在方括号内指定值范围。
`next-header header-type`	匹配数据包中的第一个 8 位“下一个标头”字段。Junos OS 版本 13.3R6 及更高版本中提供了对防火墙匹配条件的支持 `next-header` 。对于 IPv6，我们建议您 `payload-protocol` 在配置具有匹配条件的防火墙过滤器时使用术语而不是 `next-header` 术语。尽管可以使用其中任何一个， `payload-protocol` 但提供了更可靠的匹配条件，因为它使用实际的有效负载协议来查找匹配项，而 `next-header` 只是获取 IPv6 标头之后第一个标头中显示的任何内容，这可能是也可能不是实际协议。此外，如果与 IPv6 一起使用，则会 `next-header` 绕过加速过滤器块查找过程，改用标准过滤器。代替数值，您可以指定以下文本同义词之一（字段值也会列出）：`ah`（51）、 `dstops` （60）、 `egp` （8）、 `esp` （50）、 `fragment` （44）、 `gre` （47）、 `hop-by-hop` （0）、 `icmp` （1）、 `icmp6` （58）、（58）、 `igmpicmpv6` （2）、 `ipip` （4）、 `ipv6` （41）、 `mobility` （135）、 `no-next-header` （59）、（89）、 `pimospf` （103）、（43）、 `rsvprouting` （46）、 `sctp` （132）、 `tcp` （6）、 `udp` （17）或`vrrp`（112）。注： `next-header icmp6` 和 `next-header icmpv6` 匹配条件执行相同的功能。 `next-header icmp6` 是首选选项。 `next-header icmpv6` 隐藏在 Junos OS CLI 中。
`source-address address`	匹配发送数据包的源节点的 IPv6 地址。
`source-port number`	匹配 UDP 或 TCP 源端口字段。不能在同一术语中指定 `port` 和 `source-port` 匹配条件。如果配置此匹配条件，我们建议您也在同一术语中配置 `next-header udp` 或 `next-header tcp` 匹配条件，以指定端口上使用的协议。要代替数值，您可以指定与匹配条件一起 `destination-port number` 列出的文本同义词之一。
`source-prefix-list`	匹配命名列表中的 IP 源前缀。
`tcp-flags flags`	匹配 TCP 报头的 8 位 TCP 标志字段中的一个或多个低阶 6 位。若要指定单个位字段，可以指定以下文本同义词或十六进制值： `fin`（0x01） `syn`（0x02） `rst`（0x04） `push`（0x08） `ack`（0x10） `urgent`（0x20）在 TCP 会话中，SYN 标志仅在发送的初始数据包中设置，而 ACK 标志在初始数据包之后发送的所有数据包中设置。您可以使用位字段逻辑运算符将多个标志串在一起。有关组合位字段匹配条件，请参阅 `tcp-established` 和 `tcp-initial` 匹配条件。如果配置此匹配条件，建议您在同一术语中配置 `next-header tcp` 匹配条件，以指定端口上使用TCP协议。
`tcp-initial`	匹配 TCP 连接的初始数据包。这是的文本 `tcp-flags "(!ack & syn)"`同义词。此条件不会隐式检查协议是否为 TCP。如果配置此匹配条件，我们建议您也在同一术语中配置 `next-header tcp` 匹配条件。
`traffic-class number`	匹配指定数据包的服务等级（CoS）优先级的 8 位字段。此字段以前用作 IPv4 中的服务类型（ToS）字段。您可以指定到 `0` 的 `63`数值。若要以十六进制形式指定值，请包含 `0x` 为前缀。若要以二进制形式指定值，请包含 `b` 为前缀。代替数值，您可以指定以下文本同义词之一（字段值也会列出）： RFC 3246 加速转发 PHB（每跳行为）定义了一个代码点：`ef`(46). RFC 2597（保证转发 PHB 组）定义了 4 个类，每个类中有 3 个丢弃优先级，总共 12 个代码点： `af11`（10）、 `af12` （12）、 `af13` （14） `af21`（18）、 `af22` （20）、 `af23` （22） `af31`（26）、 `af32` （28）、 `af33` （30） `af41`（34）、 `af42` （36）、 `af43` （38）

注：

如果在匹配条件（、 addressdestination-address或source-address匹配条件）中指定 IPv6 地址，请使用 RFC 4291 IP 版本 6 寻址体系结构中所述的文本表示语法。有关 IPv6 地址的详细信息，请参阅 IPv6 概述和支持的 IPv6 标准。

以下是防火墙系列 inet6 配置的示例：

MPLS 流量的匹配条件（ACX 系列路由器）

在 ACX 系列路由器上，您可以配置具有 MPLS 流量匹配条件的标准无状态防火墙过滤器（family mpls）。

注：

input-list filter-names除管理接口和内部以太网接口（fxp 或 em0）、环路接口（lo0）和 USB 调制解调器接口（umd）外，所有接口都支持协议系列防火墙mpls过滤器的 and output-list filter-names 语句。

表 8 描述了可以在层次结构级别配置的 [edit firewall family mpls filter filter-name term term-name from] 匹配条件。

表 8： ACX 系列路由器上 MPLS 流量的标准防火墙过滤器匹配条件
匹配条件	Description
`exp number`	MPLS 标头中的实验（EXP）位号或位号范围。对于 `number`，可以以十进制、二进制或十六进制格式指定一个或多个从 0 到 7 的值。

非终止操作（ACX 系列路由器）

标准无状态防火墙过滤器支持每个协议系列的不同非终止操作集。

注：

ACX 系列路由器不支持该 next term 操作。

ACX 系列路由器支持家族 inet 和家族 bridge入口和出口方向上的日志和系统日志操作。

ACX5448，ACX710 和 ACX7100 系列路由器log不支持出口方向的、 forwarding-classsyslogreject、和。loss-priority 在入口和出口方向，路由器仅支持接口特定的语义。

表 9 描述可以为标准防火墙过滤器术语配置的非终止操作。

表 9： ACX 系列路由器上标准防火墙过滤器的非终止操作
非终止操作	Description	协议族
`count counter-name`	对命名计数器中的数据包进行计数。	`family any` `family inet` `family mpls` `family ccc` `family bridge` `family vpls`
`forwarding-class class-name`	根据指定的转发类对数据包进行分类： `assured-forwarding` `best-effort` `expedited-forwarding` `network-control` 注：此操作仅在入口上受支持。	`family inet` `family inet6` `family mpls` `family ccc` `family bridge` `family vpls`
`log`	将数据包标头信息记录在数据包转发引擎内的缓冲区中。您可以通过在命令行界面（CLI）发出命令来 `show firewall log` 访问此信息。注：入口和出口支持此操作。家族 inet6 不支持对出口执行操作。	`family inet` `family inet6` `family bridge`
`loss-priority (high \| medium-high \| low)`	设置丢包优先级（PLP）级别。您也不能为同一防火墙过滤器术语配置 `three-color-policer` 非终止操作。这两个非终止操作是互斥的。您必须在`[edit class-of-service]`层次结构级别包含该`tri-color`语句，才能使用指定的四个级别中的任何一个提交 PLP 配置。如果未启用该 `tri-color` 语句，则只能配置和 `highlow` 级别。这适用于所有协议家族。有关该 `tri-color` 语句的信息，请参阅配置和应用 Tricolor 标记监管器。有关使用行为聚合（BA）分类器设置传入数据包的 PLP 级别的信息，请参阅了解转发类如何将类分配给输出队列。注：此操作仅在入口上受支持。	`family any` `family inet` `family inet6` `family mpls` `family ccc` `family bridge` `family vpls`
`policer policer-name`	用于对流量进行速率限制的监管器的名称。	`family any` `family inet` `family inet6` `family mpls` `family ccc` `family bridge` `family vpls`
`port-mirror`	根据指定的系列对数据包进行端口镜像。注：此操作仅在入口上受支持。 ACX5048 和 ACX5096 路由器不支持 port-mirror。	`family inet`
`syslog`	将数据包记录到系统日志文件中。注：入口和出口支持此操作。家族 inet6 不支持对出口执行操作。	`family inet` `family inet6` `family bridge`
`three-color-policer (single-rate \| two-rate) policer-name`	使用指定的单速率或双速率三色监管器对数据包进行监管。您也不能为同一防火墙过滤器术语配置 `loss-priority` 操作。这两个操作是互斥的。	`family any` `family inet` `family inet6` `family mpls` `family ccc` `family bridge` `family vpls`
traffic-class	设置流量类代码点注：此操作仅在入口上受支持。	`family inet6`

终止操作（ACX 系列路由器）

标准无状态防火墙过滤器支持每个协议系列的不同终止操作集。

注：

ACX 系列路由器不支持该 next term 操作。

表 10 描述可以在标准防火墙过滤器术语中指定的终止操作。

表 10： ACX 系列路由器上标准防火墙过滤器的终止操作
终止操作	Description	协议
`accept`	接受数据包。	`family any` `family inet` `family mpls` `family ccc`
`discard`	以静默方式丢弃数据包，而不发送互联网控制消息协议（ICMP）消息。丢弃的数据包可用于日志记录和采样。	`family any` `family inet` `family mpls` `family ccc`
`reject message-type`	拒绝数据包并返回 ICMPv4 或 ICMPv6 消息：如果未指定消息类型，则缺省情况下返回一条 `destination-unreachable` 消息。如果指定为消息类型，`tcp-reset`则`tcp-reset`仅当数据包是 TCP 数据包时才返回。否则， `administratively-prohibited` 将返回值为 13 的消息。如果指定了任何其他消息类型，则返回该消息。注：如果配置 or `samplesyslog` 操作，则可以对被拒绝的数据包进行采样或记录。此操作仅在入口上受支持。该 `message-type` 选项可以具有以下值之一：`address-unreachable`、 `administratively-prohibited`、 `bad-host-tos`、 `protocol-unreachablenetwork-prohibitednetwork-unknownprecedence-cutoffport-unreachableprecedence-violationno-routesource-host-isolatedsource-route-failedbeyond-scopehost-prohibitedtcp-resetfragmentation-neededhost-unknownhost-unreachablenetwork-unreachablebad-network-tos`	`family inet`
`routing-instance routing-instance-name`	将数据包定向到指定的路由实例。	`family inet`