防火墙过滤器匹配条件和操作（QFX10000交换机）
防火墙过滤器中的每个术语都由 匹配条件 和一个 操作组成。匹配条件是数据包必须包含才能被视为匹配的字段和值。您可以在匹配语句中定义单个或多个 匹配条件。您还可以不包含 match 语句，在这种情况下，术语将匹配所有数据包。
当数据包与过滤器匹配时，交换机将执行术语中指定的操作。此外，您还可以指定操作修饰符来对数据包进行计数、镜像、速率限制和分类。如果未为术语指定匹配条件，则交换机默认接受数据包。
本主题介绍可在交换机上的防火墙过滤器中定义的各种匹配条件、操作和操作修改器QFX10000。有关其他 QFX 交换机的类似信息，请参阅 防火墙过滤器匹配条件和操作（QFX 和 EX 系列交换机）。
表 1 描述配置防火墙过滤器时可以指定的匹配条件。某些数字范围和位字段匹配条件允许您指定文本同义词。若要查看匹配条件的所有同义词的列表，请在语句中的适当位置键入 。
?表 2 显示可以在术语中指定的操作。
表 3 显示可用于对数据包进行计数、镜像、速率限制和分类的操作修饰符。
匹配条件 |
Description |
方向和接口 |
|---|---|---|
|
IP 目标地址字段，即最终目标节点的地址。 |
入口 IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口和 IPv6 （inet6） 接口。 用于 EVPN/VXLAN 交换矩阵的入口 IRB 接口（如适用） |
|
数据包的目标介质访问控制 （MAC） 地址。 |
入口端口和 VLAN。 出口端口和 VLAN。 |
|
TCP 或 UDP 目标端口字段。通常，将此匹配项与 match 语句一起指定。 、 、 、 、 、 、 、 、 、 、 、 ， 、 、 ， 、 、 、 、 、 、 、 、 、 、 、 、 、 、 ， 、 、 、 、 、 、 、 、 、 ， ，， ， ， 、 、 、 、 、 、 、 、
|
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 用于 EVPN/VXLAN 交换矩阵的入口 IRB 接口（如适用） |
|
IP 目标前缀列表字段。您可以在前缀列表别名下定义 IP 地址前缀列表以供频繁使用。在 层次结构级别定义此列表。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 |
|
差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。 可以十六进制、二进制或十进制形式指定 DSCP。 代替数值，您可以指定以下文本同义词之一（字段值也会列出）：
|
入口端口、VLAN 和 IPv4 （inet） 接口。 出口端口、VLAN 和 IPv4 （inet） 接口。 |
|
数据包的以太网类型字段。EtherType 值指定在以太网帧中传输的协议。代替数值，您可以指定以下文本同义词之一（字段值也会列出）：
|
入口端口和 VLAN。 出口端口和 VLAN。 |
|
将数据包分类为以下默认转发类之一或用户定义的转发类：
|
出口 IPv4 （inet） 和 IPv6 （inet6） 接口。 |
|
IP 分段标志。代替数值，可以指定以下文本同义词之一（还会列出十六进制值）：
|
入口端口、VLAN 和 IPv4 （inet） 接口。 |
|
匹配指定的跃点限制或一组跃点限制。指定单个值或 0 到 255 之间的值范围。 |
入口和出口 IPv6 （inet6） 接口。 |
|
ICMP 代码字段。因为值的含义取决于关联的 ，所以必须为 指定 一个值和一个 的值 。
|
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口 |
|
ICMP 消息类型字段。通常，将此匹配项与 match 语句一起指定，以确定端口上使用的协议。 IPv4：， ， ， IPv6：， ， ， ， 另 请参阅。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 |
|
接收数据包的接口，包括逻辑单元。您可以将通配符 （） 作为接口名称或逻辑单元的一部分包含在内。 注：
发送数据包的接口不能用作匹配条件。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口和 IPv6 （inet6） 接口。 |
|
IPv4 地址，即数据包的最终目标节点地址。 |
入口端口、出口端口和 VLAN。 用于 EVPN/VXLAN 交换矩阵的入口 IRB 接口（如适用） |
|
如果在 IP 标头的选项字段中指定了任何内容，则指定 以创建匹配项。 |
入口端口、VLAN 和 IPv4 （inet） 接口。 |
|
IP 优先级字段。要代替数值字段值，您可以指定以下文本同义词之一（还会列出字段值）： （0xa0）、 （0x60）、 （0x80）、 （0x40）、 （0xc0）、 （0xe0）、 （0x20）或 （0x00）。 |
入口端口和 VLAN。 出口端口和 VLAN。 |
|
IP 协议字段。 |
入口端口和 VLAN。 出口端口和 VLAN。 用于 EVPN/VXLAN 交换矩阵的入口 IRB 接口（如适用） |
|
发送数据包的源节点的 IPv4 地址。 |
入口端口和 VLAN。 出口端口和 VLAN。 用于 EVPN/VXLAN 交换矩阵的入口 IRB 接口（如适用） |
|
数据包的 IP 版本。使用此条件可匹配到达第 2 层端口或 VLAN 接口的流量中的 IPv4 或 IPv6 标头字段。 |
入口端口和 VLAN。 出口端口和 VLAN。 |
|
如果在 IP 报头中启用了“更多片段”标志或片段偏移量不为零，则使用此条件会导致匹配。 |
入口端口、VLAN 和 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
匹配范围内 指定的 IEEE 802.1p VLAN 优先级位。 |
入口端口和 VLAN。 出口端口和 VLAN。 |
|
匹配普通 VLAN 的 ID 或外部（服务）VLAN 的 ID（对于 Q-in-Q VLAN）。要最有效地使用过滤器内存并最大化可能的过滤器数量，除了要匹配内部（客户）VLAN ID 时，还要 使用此条件。 |
入口端口和 VLAN。 出口端口和 VLAN。 用于 EVPN/VXLAN 交换矩阵的入口 IRB 接口（如适用） |
|
设置丢包优先级 （PLP）。 注：
不支持将动作修饰符与动作结合使用。 |
出口 IPv4 （inet） 和 IPv6 （inet6） 接口。 |
|
IPv4 或 IPv6 协议值。代替数值，可以指定以下文本同义词之一（还会列出数值）： ， ， ， ， |
入口 IPv6 （inet6） 接口。 出口 IPv6 （inet6） 接口。 |
|
数据包长度（以字节为单位）。必须输入一个介于 0 和 65535 之间的数字。 |
入口端口、VLAN、IPv4 （inet） 和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
IP 报头中服务类型 （ToS） 字节中的 IP 优先级位。（此字节也可用于 DiffServ DSCP。代替数值，可以指定以下文本同义词之一（还会列出数值）：
|
入口 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
IPv4 或 IPv6 协议值。代替数值，可以指定以下文本同义词之一（还会列出数值）： ， ， ， ， |
入口 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
IP 源地址字段，即发送数据包的节点的地址。 |
入口 IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口和 IPv6 （inet6） 接口。 用于 EVPN/VXLAN 交换矩阵的入口 IRB 接口（如适用） |
|
数据包的源媒体访问控制 （MAC） 地址。 |
入口端口和 VLAN。 出口端口和 VLAN。 |
|
TCP 或 UDP 源端口。通常，将此匹配项与 match 语句一起指定。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 用于 EVPN/VXLAN 交换矩阵的入口 IRB 接口（如适用） |
|
IP 源前缀列表。您可以在前缀列表别名下定义 IP 地址前缀列表以供频繁使用。在 层次结构级别定义此列表。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 |
|
匹配已建立的 TCP 连接的数据包。此条件匹配用于设置 TCP 连接的数据包以外的数据包，也就是说，三次握手数据包不匹配。 指定 时，交换机不会隐式验证协议是否为 TCP。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
一个或多个 TCP 标志：
|
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
匹配连接的第一个 TCP 数据包。当设置了 TCP 标志但未设置 TCP 标志时，将发生匹配。 指定 时，交换机不会隐式验证协议是否为 TCP。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
8 位字段，用于指定数据包的服务等级 （CoS） 优先级。信息流类字段用于指定 DiffServ 代码点 （DSCP） 值。此字段以前用作 IPv4 中的服务类型 （ToS） 字段，并且此字段的语义（例如 DSCP）与 IPv4 的语义相同。 您可以指定以下文本同义词之一（还会列出字段值）： ， ， ， ， |
入口 IPv6 （inet6） 接口。 出口 IPv6 （inet6） 接口。 |
|
IP 生存时间 （TTL） 字段（以十进制表示）。该值可以是 1-255。 |
入口 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 用于 EVPN/VXLAN 交换矩阵的入口 IRB 接口（如适用） |
|
匹配 Q-in-Q VLAN 中内部（客户）VLAN 的 ID。要最有效地使用过滤器内存并最大化可能的过滤器数量，请与 以 匹配外部（服务）VLAN ID。 |
入口端口和 VLAN。 出口端口和 VLAN。 |
使用语句定义数据包与语句中的所有条件匹配时应执行的操作。显示了可以在术语中指定的操作。 thenfrom表 2 （如果未包含 语句，系统将接受与过滤器匹配的数据包。then
操作 |
Description |
|---|---|
|
接受数据包。这是与术语匹配的数据包的默认操作。 |
|
以静默方式丢弃数据包，而不发送互联网控制消息协议 （ICMP） 消息。 |
|
丢弃数据包并发送“目标无法访问”ICMPv4 消息（类型 3）。要记录被拒绝的数据包，请配置 操作修改器。 您可以指定以下消息类型之一： 如果指定 ，则当数据包是 TCP 数据包时，系统将发送 TCP 重置;否则不发送任何内容。 如果未指定消息类型，那么将发送 ICMP 通知“目标无法访问”，并附带默认消息“已管理性过滤的通信”。 注：
仅在入口接口上支持此操作 。 |
|
将匹配的数据包转发到虚拟路由实例。（唯一支持的实例类型是 .）数据包可以转发到默认实例。 |
|
将匹配的数据包转发到特定 VLAN。 注：
仅在入口接口上支持此操作 。 注：
OCX 系列交换机不支持此操作。 |
您还可以指定 中 列出的操作修饰符，以对数据包进行计数、镜像、速率限制和分类。表 3
动作修改器 |
Description |
|---|---|
|
计算与术语匹配的数据包数。 |
|
将数据包分类为以下默认转发类之一或用户定义的转发类：
注：
要配置转发类，还必须配置丢失优先级。 |
|
在路由引擎中记录数据包的标头信息。要查看此信息，请输入 操作模式命令。 注：
操作修饰符仅在入口接口上受支持。 |
|
设置丢包优先级 （PLP）。 注：
操作修饰符仅在入口接口上受支持。 注：
不支持将动作修饰符与动作结合使用。 |
|
将数据包发送到监管器（以便应用速率限制）。 您可以为入口和出口端口、VLAN、IPv4 （inet） 和 IPv6 （inet6） 防火墙过滤器指定监管器。 注：
不支持将动作修饰符与动作结合使用。 |
|
（ELS 平台）将流量（复制数据包）镜像到在层次结构级别的端口镜像实例 中配置的输出接口。 您可以为入口和出口端口、VLAN、IPv4 （inet） 和 IPv6 （inet6） 防火墙过滤器指定端口镜像。 |
|
（ELS 平台）将流量镜像到在层次结构级别配置 的端口镜像实例。 您可以为入口和出口端口、VLAN、IPv4 （inet） 和 IPv6 （inet6） 防火墙过滤器指定端口镜像。 注：
|
|
记录此数据包的警报。 注：
操作修饰符仅在入口接口上受支持。 |
|
将数据包发送到三色监管器（用于应用速率限制）。 您可以为入口和出口端口、VLAN、IPv4 （inet） 和 IPv6 （inet6） 过滤器指定三色监管器。 注：
不支持将动作修饰符与动作结合使用。 |