添加 IPv4 防火墙过滤器

您在这里：网络 > 防火墙过滤器 > IPV4。

要添加 IPV4 防火墙过滤器，请执行以下操作：

根据表 1 和表 2 中提供的指南完成配置。
单击添加新 IPv4 过滤器部分中的可用添加。

将创建新的 IPv4 防火墙过滤器。
单击 “确定 ”保存更改。如果要放弃更改，请单击 “取消”。

表 1：添加 IPv4 防火墙过滤器页面上的字段
领域	行动
IPv4 过滤器摘要
操作列	选择一个选项。可用的选项包括：向上移动项目 - 找到该项目，然后单击同一行中的向上箭头。向下移动项目 - 找到该项目，然后单击同一行中的向下箭头。要删除项目 - 找到该项目并单击同一行中的 X 。
过滤器名称	显示筛选器的名称，展开时，列出附加到筛选器的术语。显示为每个术语设置的匹配条件和操作。允许您向筛选器添加更多术语或修改筛选器术语。可用的选项包括：要显示添加到过滤器的术语 - 单击过滤器名称旁边的加号。这还会显示为术语设置的匹配条件和操作。要编辑过滤器 - 单击过滤器名称。要编辑术语，请单击该术语的名称。
搜索
IPv4 过滤器名称	输入现有筛选器名称。可用的选项包括：查找特定过滤器 - 在过滤器名称框中输入过滤器的名称。要使用通用前缀或后缀列出所有过滤器 - 输入过滤器名称时使用通配符（）。例如， te 列出了名称以字符 te 开头的所有筛选器。
IPv4 术语名称	按术语名称输入现有术语。可用的选项包括：查找特定术语 - 在术语名称框中输入术语的名称。列出具有通用前缀或后缀的所有术语 - 键入术语名称时使用通配符（）。例如， ra 列出名称以字符 ra 开头的所有术语。
要显示的项目数	输入要在一页上显示的筛选器或术语的数量。选择要在一页上显示的项目数。
添加新的 IPv4 过滤器
过滤器名称	输入现有筛选器名称。可用的选项包括：查找特定过滤器 - 在过滤器名称框中输入过滤器的名称。要使用通用前缀或后缀列出所有过滤器 - 输入过滤器名称时使用通配符（）。例如， te 列出了名称以字符 te 开头的所有筛选器。
术语名称	按术语名称输入现有术语。可用的选项包括：查找特定术语 - 在术语名称框中输入术语的名称。列出具有通用前缀或后缀的所有术语 - 键入术语名称时使用通配符（）。例如， ra 列出名称以字符 ra 开头的所有术语。
位置	将新筛选器放置在以下位置之一：最终 IPv4 过滤器之后 - 所有过滤器的末尾。在 IPv4 过滤器之后 - 在指定过滤器之后。 IPv4 过滤器之前 - 指定过滤器之前。
添加	添加新的筛选器名称。打开此筛选器的术语摘要页面，允许您向此筛选器添加新术语。
添加新的 IPv4 术语
位置	将新术语定位在以下位置之一：最终 IPv4 过滤器之后 - 所有期限结束时。 IPv4 过滤器之后 - 在指定术语之后。在 IPv4 过滤器之前 - 在指定术语之前。
添加	打开“筛选术语”页，允许您定义匹配条件和此术语的操作。

表 2：IPv4 防火墙过滤器匹配标准上的字段
领域	行动
匹配源
源地址	输入要包含在匹配条件中或从匹配条件中排除的 IP 源地址。允许您从匹配条件中删除源 IP 地址。如果您有超过 25 个地址，此字段将显示一个链接，可让您轻松滚动页面、更改地址顺序以及搜索地址。可用的选项包括：添加 - 在匹配条件中包含地址。除外 - 要从匹配条件中排除地址，然后选择添加 -To 在匹配条件中包含地址。删除 - 从匹配条件中删除 IP 源地址。输入 IP 源地址和前缀长度，然后选择一个选项。
源前缀列表	输入已定义的源前缀列表，以包含在匹配条件中。允许您从匹配条件中删除前缀列表。选择一个选项：添加 - 要在匹配条件中包含预定义的源前缀列表，请输入前缀列表名称。除外 - 从匹配条件中排除前缀列表，然后选择添加 - 在匹配条件中包含前缀列表。删除 - 从匹配条件中移除前缀列表。
源端口	输入要包含在匹配条件中或从匹配条件中排除的源端口类型。允许您从匹配条件中删除源端口类型。注意：此匹配条件不检查端口上使用的协议类型。确保在同一术语中指定协议类型（TCP 或 UDP）匹配条件。可用的选项包括：添加 — 在匹配条件中包含端口。除外 - 从匹配条件中排除端口，然后选择添加 - 将端口包含在匹配条件中。删除 — 从匹配条件中删除端口。从端口名称列表中选择端口;输入端口名称、编号或范围，然后选择一个选项。
匹配目标
目标地址	输入要包含在匹配条件中或从匹配条件中排除的目标地址。允许您从匹配条件中删除目标 IP 地址。如果您有超过 25 个地址，此字段将显示一个链接，可让您轻松滚动页面、更改地址顺序以及搜索地址。可用的选项包括：添加 - 在匹配条件中包含地址。除外 - 从匹配条件中排除地址，然后选择添加 - 在匹配条件中包含地址。删除 - 从匹配条件中删除 IP 地址。输入 IP 目标地址和前缀长度，然后选择一个选项。
目标前缀列表	输入已定义的目标前缀列表，以包含在匹配条件中。允许您从匹配条件中删除前缀列表。选择一个选项：添加 - 要包含预定义的目标前缀列表，请输入前缀列表名称。除外 - 从匹配条件中排除前缀列表，然后选择添加 - 在匹配条件中包含前缀列表。删除 - 从匹配条件中移除前缀列表。
目标端口	输入要包含在匹配条件中或从匹配条件中排除的目标端口类型。允许您从匹配条件中删除目标端口类型。注意：此匹配条件不检查端口上使用的协议类型。确保在同一术语中指定协议类型（TCP 或 UDP）匹配条件。可用的选项包括：添加 — 在匹配条件中包含端口。除外 - 从匹配条件中排除端口，然后选择添加 - 将端口包含在匹配条件中。删除 — 从匹配条件中移除端口类型。从端口名称列表中选择端口;输入端口名称、编号或范围;，然后选择一个选项。
匹配源或目标
地址	输入要包含在源或目标的匹配条件中或从中排除的 IP 地址。允许您从匹配条件中删除 IP 地址。如果您有超过 25 个地址，此字段会显示一个链接，可让您轻松滚动页面、更改地址顺序以及搜索地址。注意：此地址匹配条件不能与同一术语中的源地址或目标地址匹配条件一起指定。可用的选项包括：添加 - 在匹配条件中包含地址。除外 - 从匹配条件中排除地址，然后选择添加 - 在匹配条件中包含地址。删除 - 从匹配条件中删除 IP 地址。输入 IP 目标地址和前缀长度，然后选择一个选项。
前缀列表	输入已定义的前缀列表，以包含在源或目标的匹配条件中。允许您从匹配条件中删除前缀列表。注意：此前缀列表匹配条件不能与同一术语中的源前缀列表或目标前缀列表匹配条件一起指定。选择一个选项：添加 - 要包含预定义的目标前缀列表，请输入前缀列表名称。删除 - 从匹配条件中移除前缀列表。
港口	输入要包含在源或目标匹配条件中或从中排除的端口类型。允许您从匹配条件中删除目标端口类型。注意：此匹配条件不检查端口上使用的协议类型。确保在同一术语中指定协议类型（TCP 或 UDP）匹配条件。此外，不能在同一术语中同时指定此端口匹配条件或目标端口匹配条件。可用的选项包括：添加 — 在匹配条件中包含端口。除外 - 从匹配条件中排除端口，然后选择添加 - 将端口包含在匹配条件中。删除 — 从匹配条件中移除端口类型。从端口名称列表中选择端口;输入端口名称、编号或范围;，然后选择一个选项。
匹配接口
接口	输入要包含在匹配条件中的接口。允许您从匹配条件中删除接口。可用的选项包括：添加 - 在匹配条件中包含接口。删除 — 从匹配条件中移除接口。从接口名称列表中选择一个名称，或输入接口名称并选择一个选项。
接口集	输入要包含在匹配条件中的已定义的接口集。允许您从匹配条件中删除接口集。可用的选项包括：添加 - 将组包含在匹配条件中。删除 - 从匹配条件中移除接口组。输入接口集名称并选择一个选项。
接口组	输入已定义的要包含在匹配条件中或从匹配条件中排除的接口组。允许您从匹配条件中删除接口组。可用的选项包括：添加 — 在匹配条件中包含端口。除外 - 从匹配条件中排除端口，然后选择添加 - 将端口包含在匹配条件中。删除— 从匹配条件中删除端口类型。输入组的名称并选择一个选项。
匹配数据包和网络
第一个片段	选中该复选框。匹配分段数据包的第一个分段。
是片段	选中该复选框。匹配分片数据包的尾随分片（除第一个分片外的所有分片）。
片段标志	输入要包含在匹配条件中的分段标志。输入定义标志的文本或数字字符串。
TCP 已建立	选中该复选框。匹配除连接的第一个数据包之外的所有传输控制协议数据包。注意：此匹配条件不会验证端口上是否使用了 TCP。确保在同一术语中将 TCP 指定为匹配条件。
TCP 初始	选中该复选框。匹配连接的第一个传输控制协议数据包。注意：此匹配条件不会验证端口上是否使用了 TCP。确保在同一术语中将 TCP 指定为匹配条件。
TCP 标志	输入要包含在匹配条件中的传输控制协议标志。注意：此匹配条件不会验证端口上是否使用了 TCP。确保在同一术语中将 TCP 指定为匹配条件。
协议	输入要包含在匹配条件中或从匹配条件中排除的 IPv4 协议类型。允许您从匹配条件中删除 IPv4 协议类型。可用的选项包括：添加 — 将协议包含在匹配条件中。例外 - 从匹配条件中排除协议，然后选择添加 - 将协议包含在匹配条件中。删除 - 从匹配条件中移除 IPv4 协议类型。从列表中选择协议名称，或输入协议名称或编号，然后选择一个选项。
ICMP 类型	从列表中选择数据包类型，或输入数据包类型名称或编号，然后选择一个选项。注意：此协议不会验证端口上是否使用了 ICMP。确保在同一术语中指定 ICMP 类型匹配条件。可用的选项包括：添加 — 在匹配条件中包含数据包类型。例外 — 从匹配条件中排除数据包类型，然后选择。添加 — 在匹配条件中包含数据包类型。删除 — 从匹配条件中移除 ICMP 数据包类型。
ICMP 代码	从列表中选择数据包代码，或以文本或数字形式输入数据包代码，然后选择一个选项。注意： ICMP 代码取决于 ICMP 类型。确保在同一术语中指定 ICMP 类型匹配条件。可用的选项包括：添加 — 在匹配条件中包含数据包类型。例外 — 要从匹配条件中排除数据包类型，然后选择添加 — 在匹配条件中包含数据包类型。删除 — 从匹配条件中移除 ICMP 数据包类型。
片段偏移	输入片段偏移数或范围，然后选择一个选项。可用的选项包括：添加（Add） - 在匹配条件中包含偏移。例外 - 从匹配条件中排除偏移，然后选择添加 - 在匹配条件中包含偏移。删除 - 从匹配条件中移除片段偏移值。
优先	输入要包含在匹配条件中或从匹配条件中排除的 IP 优先级。允许您从匹配条件中删除 IP 优先级条目。可用的选项包括：添加 - 在匹配条件中包含优先级。例外 - 要从匹配条件中排除优先级，然后选择添加 - 在匹配条件中包含优先级。删除 - 从匹配条件中删除 IP 优先级。
DSCP	从列表中选择 DSCP;或输入 DSCP 值作为关键字、从 0 到 7 的十进制整数或二进制字符串;，然后选择一个选项。可用的选项包括：添加 - 在匹配条件中包含 DSCP。除外 - 从匹配条件中排除 DSCP，然后选择添加 - 在匹配条件中包含 DSCP。删除 - 从匹配条件中删除 DSCP。
Ttl	通过输入 1 到 255 之间的数字来输入 IPv4 TTL 值，然后选择一个选项。注意：此选项SRX5600设备中不可用。可用的选项包括：添加 - 在匹配条件中包含 TTL。例外 - 从匹配条件中排除 TTL，然后选择添加 - 将 TTL 包含在匹配条件中。删除 - 从匹配条件中移除 IPv4 TTL 类型。
数据包长度	指定数据包长度，输入值或范围。选择一个选项。可用的选项包括：添加 — 在匹配条件中包含数据包长度。例外 — 要从匹配条件中排除数据包长度，然后选择添加 — 在匹配条件中包含数据包长度。删除 — 从匹配条件中删除数据包长度值。
转发类	通过从列表中选择转发类或输入转发类来指定转发类，然后选择一个选项。可用的选项包括：添加 - 在匹配条件中包含转发类。除外 - 要从匹配条件中排除转发类，然后选择添加 - 在匹配条件中包含转发类。删除 - 从匹配条件中删除转发类。
IP 选项	通过从列表中选择 IP 选项或输入标识选项的文本或数字字符串来输入选项，然后选择一个选项。可用的选项包括：添加 - 在匹配条件中包含 IP 选项。除外 - 从匹配条件中排除 IP 选项，然后选择添加 - 在匹配条件中包含 IP 选项。删除 - 从匹配条件中删除 IP 选项。
IPsec ESP SPI	通过输入二进制、十六进制或十进制 SPI 值或范围来输入 ESP SPI 值，然后选择一个选项。可用的选项包括：添加 - 在匹配条件中包含值。除外 - 从匹配条件中排除值，然后选择添加 - 将值包含在匹配条件中。删除 - 从匹配条件中删除 ESP SPI 值。
行动
什么	不选择任何内容。指定不执行任何操作。默认情况下，如果数据包满足术语的匹配条件，则接受该数据包，并且与防火墙过滤器中的任何条件不匹配的数据包将被丢弃。
接受	选择 “接受”。接受满足术语匹配条件的数据包。
丢弃	选择 “放弃”。丢弃满足术语匹配条件的数据包。命名数据包的丢弃收集器。
拒绝	选择“ 拒绝 ”，然后从原因列表中选择邮件类型。拒绝满足术语匹配条件的数据包，并返回拒绝消息。允许您指定表示数据包被拒绝原因的消息类型。注意：要记录和采样被拒绝的数据包，请同时指定日志和示例操作修饰符。
下学期	选择 “下一个学期”。评估过滤器中具有下一个术语的数据包，如果该数据包满足此术语中的匹配条件。此操作可确保即使数据包与术语的条件匹配，也使用下一个术语进行评估。如果未指定此操作，则过滤器在数据包与术语条件匹配后停止评估数据包并执行关联的操作。
路由实例	接受满足匹配条件的数据包，并将其转发到指定的路由实例。选择“路由实例”，然后在“路由实例”旁边的框中输入路由实例名称。
动作修改器
转发类	将数据包分类为特定转发类。从列表中选择转发类。
计数	计算通过此术语的数据包。允许您命名特定于此筛选器的计数器。这意味着，每次数据包传输使用此过滤器的任何接口时，它都会递增指定的计数器。选择“ 计数 ”并输入包含字母、数字或连字符的 24 个字符的字符串以指定计数器名称。
虚拟通道	输入标识虚拟通道的字符串。注意：此选项在设备的 SRX345 中不可用。
前缀操作	输入前缀操作。注意：此选项在 SRX4100 和 SRX345 设备中不可用。
日志	选择日志。在路由引擎中记录数据包标头信息。
Syslog	选择系统日志。在系统日志中记录数据包信息。
端口镜像	选择端口镜像。端口镜像数据包。注意：此选项在 SRX5600 和 SRX345 设备中不可用。
丢失优先级	设置数据包的丢失优先级。这是在发送数据包之前丢弃数据包的优先级，它会影响数据包的调度优先级。从列表中选择优先级范围。

添加 IPv4 防火墙过滤器

相关文档