防火墙过滤器匹配条件和操作（QFX 和 EX 系列交换机）
防火墙过滤器匹配条件和操作（EX4400、EX4600、EX4650、QFX5100、QFX5110、QFX5120、QFX5200、QFX5210、QFX5700）
防火墙过滤器中的每个术语都由 匹配条件 和一个 操作组成。匹配条件是数据包必须包含才能被视为匹配的字段和值。您可以在匹配语句中定义单个或多个 匹配条件。您还可以不包含 match 语句，在这种情况下，术语将匹配所有数据包。
当数据包与过滤器匹配时，交换机将执行术语中指定的操作。此外，您还可以指定操作修饰符来对数据包进行计数、镜像、速率限制和分类。如果未为术语指定匹配条件，则交换机默认接受数据包。
表 2 描述配置防火墙过滤器时可以指定的匹配条件。某些数字范围和位字段匹配条件允许您指定文本同义词。若要查看匹配条件的所有同义词的列表，请在语句中的适当位置键入 。
?表 3 显示可以在术语中指定的操作。
表 4 显示可用于对数据包进行计数、镜像、速率限制和分类的操作修饰符。
对于特定交换机上的匹配条件，以下限制适用：
|
（QFX5100、QFX5110、QFX5200）在 IPv6 接口上使用基于过滤器的转发时，（入口方向）仅支持以下匹配条件：、 、 、 和 。 |
|
（QFX5110）在层次结构下启用该选项时，仅支持 、 和操作。 |
| （QFX5100， QFX5110， QFX5120， QFX5130-32CD， QFX5220， QFX5700）在 EVPN-VXLAN 环境中，仅支持以下匹配条件：、 、 、 、 和 。 |
| （QFX5100、QFX5110、QFX5200）您无法在 EVPN-VXLAN IRB 接口上的出口方向应用防火墙过滤器。 |
| （QFX5700）您无法在环路接口上的出口方向应用防火墙过滤器。 |
| （QFX5100、QFX5110）如果使用防火墙过滤器在 EVPN-VXLAN 环境中实施 MAC 过滤，请参阅 EVPN-VXLAN 环境中的 MAC 过滤、风暴控制和端口镜像支持 ，了解支持的匹配条件。MAC Filtering, Storm Control, and Port Mirroring Support in an EVPN-VXLAN Environment |
| （QFX5100、QFX5110）对于应用于 VXLAN 的每个防火墙过滤器，您可以指定过滤第 2 层 （以太网） 数据包，也可以指定过滤 IRB 接口。 |
|
在不支持第 2 层功能的交换机上，请仅使用对 IPv4 和 IPv6 接口有效的匹配条件。 |
|
（QFX5120，EX4650）从 Junos 版本 21.4R1 开始，QFX5120 和 EX4650 上的 EVPN-VXLAN 环境支持以下匹配条件：，和 。 |
| 从 Junos OS 21.4R1 版开始，层次结构级别下 支持源端口范围优化和目标端口范围优化条件。 |
|
从 Junos 版本 22.4R1 开始，在受支持的 EX4100、EX4400、EX4650 和 QFX5120 系列交换机上的 EVPN-VXLAN 环境中的 GBP 标记支持以下匹配条件：、 、 、 + 组合和 。 |
|
从 Junos 版本 23.2R1 开始，EX4100 系列、EX4400 系列、EX4650 系列、QFX5120-32C 和 QFX5120-48Y 交换机的策略实施支持新的 IPV4 和 IPv6 L4 匹配。 |
| 从 Junos OS 23.4R1 及更高版本开始，在受支持的 EX4100、EX4400、EX4650 和 QFX5120 系列交换机上的 EVPN-VXLAN 环境中支持 | 和匹配条件。 |
匹配条件 |
Description |
方向和接口 |
|---|---|---|
|
ARP 请求数据包或 ARP 回复数据包。 |
出口和入口接口。 |
|
IP 目标地址字段，即最终目标节点的地址。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口和 IPv6 （inet6） 接口。 |
|
数据包的目标介质访问控制 （MAC） 地址。 |
入口端口、VLAN 和 IPv4 （inet） 接口。 出口端口和 VLAN。 |
|
TCP 或 UDP 目标端口字段。通常，将此匹配项与 match 语句一起指定。 、 、 、 、 、 、 、 、 、 、 、 ， 、 、 ， 、 、 、 、 、 、 、 、 、 、 、 、 、 、 ， 、 、 、 、 、 、 、 、 、 ， ，， ， ， 、 、 、 、 、 、 、 、
|
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
匹配一系列 TCP 或 UDP 端口范围，同时更有效地使用可用内存。使用此条件可以配置比配置单个目标端口更多的防火墙过滤器。（不支持基于过滤器的转发。 |
入口端口、VLAN、IPv4 （inet） 接口。 |
|
IP 目标前缀列表字段。您可以在前缀列表别名下定义 IP 地址前缀列表以供频繁使用。在 层次结构级别定义此列表。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口和 IPv6 （inet6） 接口。 |
|
差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。 可以十六进制、二进制或十进制形式指定 DSCP。 代替数值，您可以指定以下文本同义词之一（字段值也会列出）：
|
入口端口、VLAN 和 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
数据包的以太网类型字段。EtherType 值指定在以太网帧中传输的协议。代替数值，您可以指定以下文本同义词之一（字段值也会列出）：
|
入口端口和 VLAN。 出口端口和 VLAN。 |
|
包括此选项可将出口 VLAN 防火墙过滤器术语的数量从 1024 增加到 2048。 |
出口 VLAN IPv4 （inet） 接口和 IPv6 （inet6） 接口。 |
|
在 MPLS EXP 位上进行匹配。 |
入口 MPLS 接口。 出口 MPLS 接口。 |
|
IP 分段标志。代替数值，可以指定以下文本同义词之一（还会列出十六进制值）：
|
入口端口和 VLAN。 |
|
|
匹配目标标记，以便与 VXLAN 上的微分段配合使用，如下所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段。 |
不适用 |
|
|
匹配源标记，以便与 VXLAN 上的微分段配合使用，如下所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段。 |
不适用 |
|
ICMP 代码字段。因为值的含义取决于关联的 ，所以必须为 指定 一个值和一个 的值 。
|
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
匹配指定的跃点限制或一组跃点限制。指定单个值或 0 到 255 之间的值范围。 |
入口和出口 IPv6 （inet6） 接口。 注：
QFX3500交换机、QFX3600交换机、QFX5100交换机、QFX5120交换机、QFX5110交换机、QFX5200交换机和QFX5210交换机上的出口方向不受支持。 |
|
|
匹配 IPv4 或 IPv6 源地址或目标地址，以便与 VXLAN 上的微分段配合使用，如下所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
入口和出口（系统范围）。 |
ip-version ipv4 destination-port DST_PORT |
匹配 TCP/UDP 目标端口，以便与 GBP 策略过滤器 L4 匹配配合使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv4 source-port SRC_PORT |
匹配 TCP/UDP 源端口，以便与 GBP 策略过滤器 L4 匹配一起使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv4 ip-protocol PROTOCOL |
匹配 IP 协议类型，以便与 GBP 策略过滤器 L4 匹配配合使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv4 is-fragment |
如果数据包是分片，则匹配，以便与 GBP 策略过滤器 L4 匹配一起使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv4 fragment-flag FLAGS |
匹配片段标志（符号或十六进制格式），以便与 GBP 策略过滤器 L4 匹配一起使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv4 ttlValue |
IP 生存时间 （TTL） 字段（以十进制表示）。该值可以是 1-255。用于 GBP 策略过滤器 L4 匹配项，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv4 tcp-flagsFLAGS |
匹配一个或多个 TCP 标志（符号或十六进制格式），以便与 GBP 策略 L4 匹配一起使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv4 tcp-initial |
匹配连接的第一个 TCP 数据包。用于 GBP 策略 L4 匹配项，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv4 tcp-established |
匹配已建立的 TCP 连接的数据包，以便与 GBP 策略 L4 匹配配合使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv6 source-port SRC_PORT |
匹配 TCP/UDP 源端口，以便与 GBP 策略 L4 匹配配合使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv6 destination-port DST_PORT |
匹配 TCP/UDP 目标端口，以便与 GBP 策略过滤器 L4 匹配，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv6 next-header PROTOCOL |
匹配下一个报头协议类型，以便与 GBP 策略 L4 匹配配合使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv6 tcp-flagsFLAGS |
匹配 TCP 标志，以便与 GBP 策略 L4 匹配一起使用，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv6 tcp-initial |
匹配已建立的 TCP 连接的初始数据包，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
ip-version ipv6 tcp-established |
匹配已建立的 TCP 连接的数据包，如中所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段 |
仅限入口。 |
|
ICMP 消息类型字段。通常，将此匹配项与 match 语句一起指定，以确定端口上使用的协议。 IPv4：， ， ， IPv6：， ， ， ， 另 请参阅。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
接收数据包的接口，包括逻辑单元。您可以将通配符 （） 作为接口名称或逻辑单元的一部分包含在内。 注：
发送数据包的接口不能用作匹配条件。 匹配筛选器中同一术语下的接口列表。用于 VXLAN 上的微分段，如下所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口和 IPv6 （inet6） 接口。 |
|
IPv4 地址，即数据包的最终目标节点地址。 |
入口端口和 VLAN。 |
|
IPv6 地址，即数据包的最终目标节点地址。 |
入口端口和 VLAN。（您不能同时将具有此匹配标准的过滤器应用于包含该端口的第 2 层端口和 VLAN。） |
|
如果在 IP 标头的选项字段中指定了任何内容，则指定 以创建匹配项。 |
入口端口、VLAN 和 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
IP 优先级字段。要代替数值字段值，您可以指定以下文本同义词之一（还会列出字段值）： （0xa0）、 （0x60）、 （0x80）、 （0x40）、 （0xc0）、 （0xe0）、 （0x20）或 （0x00）。 |
入口端口、VLAN 和 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
IP 协议字段。 |
入口端口、VLAN 和 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
发送数据包的源节点的 IPv4 地址。 |
入口端口和 VLAN。 |
|
发送数据包的源节点的 IPv6 地址。 |
入口端口和 VLAN。（您不能同时将具有此匹配标准的过滤器应用于包含该端口的第 2 层端口和 VLAN。） |
|
数据包的 IP 版本。使用此条件可匹配到达第 2 层端口或 VLAN 接口的流量中的 IPv4 或 IPv6 标头字段。 |
入口端口和 VLAN。 |
|
如果在 IP 报头中启用了“更多片段”标志或片段偏移量不为零，则使用此条件会导致匹配。 |
入口端口、VLAN 和 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
在逻辑链路控制 （LLC） 层上匹配非子网访问协议 （SNAP） 以太网封装类型的数据包。 |
入口端口和 VLAN。 出口端口和 VLAN。 |
|
在 MPLS 标签位上进行匹配。 |
入口 MPLS 接口。 出口 MPLS 接口。 |
|
匹配普通 VLAN 的 ID 或外部（服务）VLAN 的 ID（对于 Q-in-Q VLAN）。可接受的值为 1-4095。 注：
在 QFX3600、QFX5100、QFX5110、QFX5120、QFX5200、QFX5210、QFX5220、EX4600、 EX4650、EX4400、EX4100 和 EX4300-MP 交换机上不受支持。使用匹配条件匹配外部 VLAN ID。 |
入口端口和 VLAN。 出口端口和 VLAN。 |
|
|
匹配源媒体访问控制 （MAC） 地址，以便与 VXLAN 上的微分段配合使用，如下所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段。 |
入口和出口（系统范围） 。 |
|
IPv4 或 IPv6 协议值。代替数值，可以指定以下文本同义词之一（还会列出数值）： ， ， ， ， |
入口端口、VLAN 和 IPv6 （inet6） 接口。 出口 IPv6 （inet6） 接口。 |
|
数据包长度（以字节为单位）。必须输入一个介于 0 和 65535 之间的值。 |
入口端口、VLAN、IPv4 （inet） 和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
IPv4 或 IPv6 协议值。代替数值，可以指定以下文本同义词之一（还会列出数值）： ， ， ， ， 注：
QFX3500、QFX3600、QFX5100、QFX5110、QFX5200 QFX5210 交换机不支持。 |
入口端口、VLAN 和 IPv6 （inet6） 接口。 出口 IPv6 （inet6） 接口。 |
|
|
端口限定符将在数据包转发引擎中安装两个条目。一个使用源端口，另一个使用目标端口。 |
入口端口、VLAN、IPv4 （inet） 和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
IP 报头中服务类型 （ToS） 字节中的 IP 优先级位。（此字节也可用于 DiffServ DSCP。代替数值，可以指定以下文本同义词之一（还会列出数值）：
|
入口端口、VLAN 和 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
IPv4 或 IPv6 协议值。代替数值，可以指定以下文本同义词之一（还会列出数值）： ， ， ， ， |
入口端口、VLAN 和 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
匹配在代理移动 IPv4 （PMIPv4） 接入技术类型扩展的 8 位技术类型字段中指定的无线接入技术 （RAT） 类型。技术类型指定移动设备连接到接入网络的访问技术。指定单个值、一个值范围或一组值。可以将技术类型指定为 0 到 255 之间的数值或系统关键字。
|
出口和入口 IPv4 （inet） 接口。 |
|
对数据包流量进行采样。仅当已启用流量采样时，才应用此选项。 |
出口和入口 IPv4 （inet） 接口。 |
|
IP 源地址字段，即发送数据包的节点的地址。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
数据包的源媒体访问控制 （MAC） 地址。 |
入口端口和 VLAN。 出口端口和 VLAN。 |
|
TCP 或 UDP 源端口。通常，将此匹配项与 match 语句一起指定。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
匹配一系列 TCP 或 UDP 端口范围，同时更有效地使用可用内存。使用此条件可以配置比配置单个源端口更多的防火墙过滤器。（不支持基于过滤器的转发。 |
入口端口、VLAN、IPv4 （inet） 接口。 |
|
IP 源前缀列表。您可以在前缀列表别名下定义 IP 地址前缀列表以供频繁使用。在 层次结构级别定义此列表。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
匹配已建立的 TCP 三次握手连接（SYN、SYN-ACK、ACK）的数据包。唯一不匹配的数据包是握手的第一个数据包，因为只设置了 SYN 位。对于此数据包，必须指定 为匹配条件。 指定 时，交换机不会隐式验证协议是否为 TCP。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
一个或多个 TCP 标志：
|
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
匹配连接的第一个 TCP 数据包。当设置了 TCP 标志但未设置 TCP 标志时，将发生匹配。 指定 时，交换机不会隐式验证协议是否为 TCP。 |
入口端口、VLAN、IPv4 （inet） 接口和 IPv6 （inet6） 接口。 出口 IPv4 （inet） 接口。 |
|
8 位字段，用于指定数据包的服务等级 （CoS） 优先级。信息流类字段用于指定 DiffServ 代码点 （DSCP） 值。此字段以前用作 IPv4 中的服务类型 （ToS） 字段，并且此字段的语义（例如 DSCP）与 IPv4 的语义相同。 您可以指定以下文本同义词之一（还会列出字段值）： ， ， ， ， |
入口端口、VLAN 和 IPv6 （inet6） 接口。 出口 IPv6 （inet6） 接口。 |
|
IP 生存时间 （TTL） 字段（以十进制表示）。该值可以是 1-255。 |
入口 IPv4 （inet） 接口。 出口 IPv4 （inet） 接口。 |
|
匹配范围内 指定的 802.1p VLAN 优先级。 |
入口和出口端口及 VLAN。 |
|
匹配 Q-in-Q VLAN 的内部（客户）VLAN 的 ID。可接受的值为 1-4095。 注：
对于 QFX3600、QFX5100、QFX5110、QFX5120、QFX5200、QFX5210、EX4600、 EX4650、EX4400、EX4100 和 EX4300-MP 交换机，用于 匹配外部 VLAN 的 ID。 对于 QFX5220 系列交换机以及 MX 和 ACX 系列路由器，用于 匹配外部 VLAN 的 ID 和 内部 VLAN 的 ID。 |
入口和出口端口及 VLAN。 |
|
|
匹配 VLAN 标识符（ VLAN 组的第一个和最后一个 VLAN ID 号）或 （编号列表）， 以便与 VXLAN 上的微分段配合使用，如下所述：vlan-rangevlan list示例：在 VXLAN 中使用基于组策略的微观和宏观分段。 注：
EX4100 交换机不支持。 |
入口和出口（系统范围） |
使用 语句定义当数据包与语句中的所有 条件匹配时应执行的操作。 显示可以在术语中指定的操作。thenfrom表 3 （如果未包含 语句，系统将接受与过滤器匹配的数据包。then
操作 |
Description |
|---|---|
|
接受数据包。这是与术语匹配的数据包的默认操作。 |
|
以静默方式丢弃数据包，而不发送互联网控制消息协议 （ICMP） 消息。 |
|
丢弃数据包并发送“目标无法访问”ICMPv4 消息（类型 3）。要记录被拒绝的数据包，请配置 操作修改器。 您可以指定以下消息类型之一： 如果指定 ，则当数据包是 TCP 数据包时，系统将发送 TCP 重置;否则不发送任何内容。 如果未指定消息类型，那么将发送 ICMP 通知“目标无法访问”，并附带默认消息“已管理性过滤的通信”。 注：
仅在入口接口上支持此操作 。 |
|
将匹配的数据包转发到虚拟路由实例。 |
|
将匹配的数据包转发到特定 VLAN。 注：
仅在入口接口上支持此操作 。 注：
OCX 系列交换机不支持此操作。 |
您还可以指定 中 列出的操作修饰符，以对数据包进行计数、镜像、速率限制和分类。表 4
动作修改器 |
Description |
|---|---|
|
（非 ELS 平台）将流量（复制数据包）镜像到在层次结构级别配置 的分析器。 您只能为入口端口、VLAN 和 IPv4 （inet） 防火墙过滤器指定端口镜像。 |
|
计算与术语匹配的数据包数。 |
|
解封装 GRE 数据包或将解封装的 GRE 数据包转发到指定的路由实例 |
|
差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。 可以十六进制、二进制或十进制形式指定 DSCP。 代替数值，您可以指定以下文本同义词之一（字段值也会列出）：
|
|
将数据包分类为以下默认转发类之一或用户定义的转发类：
注：
要配置转发类，还必须配置丢失优先级。 |
|
（仅限 QFX5120 和 EX4650） |
设置基于组的策略源标记 （0..65535） 以用于 VXLAN 上的微分段，如下所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段。 |
|
（EX4100、EX4400、EX4650 和 QFX5120） |
设置基于组的策略源标记 （1..65535），以便与 VXLAN 上的微分段一起使用，如下所述：示例：在 VXLAN 中使用基于组策略的微观和宏观分段。 注： 适用于 Junos OS 22.4R1 及更高版本。
|
|
将流量切换到指定接口，而不对其执行查找。仅当在入口应用过滤器时，此操作才有效。 |
|
在路由引擎中记录数据包的标头信息。要查看此信息，请输入 操作模式命令。 注：
操作修饰符仅在入口接口上受支持。 |
|
设置丢包优先级 （PLP）。 注：
操作修饰符仅在入口接口上受支持。 注：
不支持将动作修饰符与动作结合使用。 |
|
将数据包发送到监管器（以便应用速率限制）。 您可以为入口端口、VLAN、IPv4 （inet）、IPv6 （inet6） 和 MPLS 过滤器指定监管器。 注：
不支持将动作修饰符与动作结合使用。 |
|
（ELS 平台）将流量（复制数据包）镜像到在层次结构级别的端口镜像实例 中配置的输出接口。 您只能为入口端口、VLAN 和 IPv4 （inet） 防火墙过滤器指定端口镜像。 |
|
（ELS 平台）将流量镜像到在层次结构级别配置 的端口镜像实例。 您只能为入口端口、VLAN 和 IPv4 （inet） 防火墙过滤器指定端口镜像。 注：
OCX 系列交换机不支持此操作修饰符。 |
|
记录此数据包的警报。 注：
操作修饰符仅在入口接口上受支持。 |
|
将数据包发送到三色监管器（用于应用速率限制）。 您可以为入口和出口端口、VLAN、IPv4 （inet）、IPv6 （inet6） 和 MPLS 过滤器指定三色监管器。 注：
不支持将动作修饰符与动作结合使用。 |
另请参阅
防火墙过滤器匹配条件和操作（QFX5220和 QFX5130-32CD）
本主题介绍 QFX5220-CD、QFX5220-128C 和 QFX5130-32CD 交换机支持的 防火墙过滤器匹配条件、操作和操作修改器。
防火墙过滤器中的每个术语都由 匹配条件 和一个 操作组成。匹配条件是数据包必须包含才能被视为匹配的字段和值。您可以在匹配语句中定义单个或多个 匹配条件。您还可以不包含 match 语句，在这种情况下，术语将匹配所有数据包。
当数据包与过滤器匹配时，交换机将执行术语中指定的操作。如果未应用匹配条件，交换机默认接受数据包。
-
显示了 IPv4 （） 和 IPv6 （） 接口的匹配条件。表 5
inetinet6它还包含端口和 VLAN 的匹配条件 （）。ethernet-switching -
表 6 显示可以在术语中指定的操作和操作修饰符。
对于匹配条件，某些数值范围和位字段匹配条件允许您指定文本同义词。若要查看匹配条件的所有同义词的列表，请在语句中的适当位置键入 。?
|
匹配条件 |
Description |
方向和接口 |
|---|---|---|
|
|
ARP 请求数据包或 ARP 回复数据包。 |
入口和出口端口及 VLAN |
|
|
IP 目标地址字段，即最终目标节点的地址。 |
入口和出口 IPv4 和 IPv6 接口 入口端口和 VLAN |
|
|
数据包的目标 MAC 地址。 |
入口和出口端口及 VLAN |
|
|
TCP 或 UDP 目标端口字段。您必须使用 IPv4 流量的匹配语句或 IPv6 流量的匹配语句指定此匹配。 对于以下已知端口和端口号，可以指定文本同义词。 、 、 、 、 、 、 、 、 、 、 、 ， 、 、 ， 、 、 、 、 、 、 、 、 、 、 、 、 、 、 ， 、 、 、 、 、 、 、 、 、 ， ，， ， ， 、 、 、 、 、 、 、 、
|
入口和出口 IPv4 接口 入口 IPv6 接口。 入口端口和 VLAN |
|
|
匹配 TCP 或 UDP 端口范围的范围，同时更有效地使用可用内存。使用此条件可以配置比配置单个目标端口更多的防火墙过滤器。（不支持基于筛选器的转发。 |
入口 IPv4 接口 |
|
|
IP 目标前缀列表字段。您可以在前缀列表别名下定义 IP 地址前缀列表以供频繁使用。在 层次结构级别定义此列表。 |
入口和出口 IPv4 和 IPv6 接口 入口端口和 VLAN。 |
|
|
差异服务代码点 （DSCP）。DiffServ 协议在 IP 报头中使用服务类型 （ToS） 字节。此字节中最重要的 6 位构成 DSCP。 可以十六进制、二进制或十进制形式指定 DSCP。 要代替数值，您可以指定列出的以下文本同义词和字段之一。
|
入口和出口 IPv4 接口 入口端口和 VLAN |
|
|
数据包的以太网类型字段。EtherType 值指定在以太网帧中传输的协议。要代替数值，可以指定以下文本同义词之一。还会列出字段值。
|
入口和出口端口及 VLAN |
| 第一个片段 |
如果数据包是分段数据包的第一个分段，则匹配。如果数据包是分段数据包的尾随片段，请避免匹配数据包。分片数据包的第一个分片的分片偏移值为 0。 此匹配条件是位字段匹配条件片段偏移 0 匹配条件的别名。 要匹配第一个片段和尾随片段，可以使用两个指定不同匹配条件的术语：和 。 |
入口 IPv4 接口 |
|
|
ICMP 代码字段。因为值的含义取决于关联的 ，所以必须为 指定 一个值和一个 的值 。
|
入口和出口 IPv4 接口 入口 IPv6 接口 入口端口和 VLAN |
|
|
ICMP 消息类型字段。必须指定此匹配项以及 match 语句。 代替数值，您可以指定以下文本同义词之一（字段值也会列出）： IPv4：， ， ， IPv6：， ， ， ， 另 请参阅。 |
入口和出口 IPv4 接口 入口 IPv6 接口 入口端口和 VLAN |
|
|
接收数据包的接口，包括逻辑单元。您可以将通配符 （） 作为接口名称或逻辑单元的一部分包含在内。 注：
发送数据包的接口不能用作匹配条件。 |
入口端口和 VLAN |
|
|
IPv4 地址，即数据包的最终目标节点地址。 |
入口端口和 VLAN |
|
|
如果在 IP 标头的选项字段中指定了任何内容，则指定 以创建匹配项。 |
入口 IPv4 接口 |
|
|
IP 协议字段。 |
入口端口和 VLAN |
|
|
IP 优先级字段。要代替数值字段值，您可以指定以下文本同义词之一（还会列出字段值）： （0xa0）、 （0x60）、 （0x80）、 （0x40）、 （0xc0）、 （0xe0）、 （0x20）或 （0x00）。 |
入口端口和 VLAN |
|
|
发送数据包的源节点的 IPv4 地址。 |
入口端口和 VLAN |
|
|
数据包的 IP 版本。使用此条件可匹配到达第 2 层端口或 VLAN 接口的流量中的 IPv4 或 IPv6 标头字段。 |
入口端口和 VLAN |
is-fragment |
如果在 IP 报头中启用了“更多片段”标志或片段偏移量不为零，则使用此条件会导致匹配。 |
入口和出口 IPv4 接口 （QFX5220） 入口 IPv4 接口 （QFX5130） |
learn-vlan-id number |
用于 MAC 学习的 VLAN 标识符。 |
入口和出口端口及 VLAN （QFX5220） 入口端口和 VLAN （QFX5130） |
learn-vlan-1p-priority value |
匹配提供商 VLAN 标记（具有 802.1Q VLAN 标记的单标记帧中的唯一标记或具有 802.1Q VLAN 标记的双标记帧中的外部标记）中的 IEEE 802.1p 获知的 VLAN 优先级位。指定 0 到 7 之间的一个或多个值。 |
入口端口和 VLAN |
|
|
IPv4 或 IPv6 协议值。代替数值，可以指定以下文本同义词之一（还会列出数值）： ， ， ， ， |
入口和出口 IPv6 接口 |
|
|
数据包长度（以字节为单位）。必须输入一个介于 0 和 65535 之间的值。 |
入口 IPv4 和 IPv6 接口 |
|
|
IP 报头中服务类型 （ToS） 字节中的 IP 优先级位。（此字节也可用于 DiffServ DSCP。代替数值，可以指定以下文本同义词之一（还会列出数值）：
|
入口和出口 IPv4 接口 |
|
|
IP 协议值。代替数值，可以指定以下文本同义词之一（还会列出数值）： ， ， ， ， |
入口和出口 IPv4 接口。 入口 IPv4 接口和 VLAN |
|
|
IP 源地址字段，即发送数据包的节点的地址。 |
入口和出口 IPv4 接口 入口 IPv6 接口 入口端口和 VLAN |
|
|
数据包的源媒体访问控制 （MAC） 地址。 |
入口和出口 IPv4 接口和 VLAN |
|
|
TCP 或 UDP 源端口。您必须将此匹配与 IPv4 流量的匹配语句或 IPv6 流量的匹配语句一起指定。 您可以指定 下 列出的文本同义词之一，以代替数值字段。 |
入口和出口 IPv4 接口 入口 IPv6 接口 入口端口和 VLAN |
|
|
匹配一系列 TCP 或 UDP 端口范围，同时更有效地使用可用内存。使用此条件可以配置比配置单个源端口更多的防火墙过滤器。（不支持基于筛选器的转发。 |
入口 IPv4 接口 |
|
|
IP 源前缀列表。您可以在前缀列表别名下定义 IP 地址前缀列表以供频繁使用。在 层次结构级别定义此列表。 |
入口和出口 IPv4 接口 入口 IPv6 接口 入口端口和 VLAN |
tcp-established |
匹配已建立的 TCP 会话的 TCP 数据包（连接的第一个数据包以外的数据包）。这是 的别名 此匹配条件不会隐式检查协议是否为 TCP。要检查这一点，请指定 匹配条件。 |
入口和出口 IPv4 接口 （QFX5220） 入口和出口 IPv4 接口 （QFX5130） 入口 IPv6 接口 （QFX5130） |
|
|
TCP 标志（仅支持一个值）：
|
入口和出口 IPv4 接口 入口 IPv6 接口 入口端口和 VLAN |
tcp-initial |
匹配连接的第一个 TCP 数据包。当设置了 TCP 标志但未设置 TCP 标志时，将发生匹配。 指定 时，交换机不会隐式验证协议是否为 TCP。 |
入口和出口 IPv4 接口 （QFX5220） 入口和出口 IPv4 接口、入口 IPv6 接口 （QFX5130） |
|
|
8 位字段，用于指定数据包的服务等级 （CoS） 优先级。信息流类字段用于指定 DiffServ 代码点 （DSCP） 值。此字段以前用作 IPv4 中的服务类型 （ToS） 字段，并且此字段的语义（例如 DSCP）与 IPv4 的语义相同。 您可以指定以下文本同义词之一（还会列出字段值）： ， ， ， ， |
入口和出口 IPv6 接口 |
|
|
IP 生存时间 （TTL） 字段（以十进制表示）。该值可以是 1-255。 |
入口和出口 IPv4 接口 |
|
|
匹配 Q-in-Q VLAN 的内部（客户）VLAN 的 ID。可接受的值为 1-4095。 |
入口端口和 VLAN （QFX5130） |
|
|
匹配范围内 指定的 802.1p VLAN 优先级。 |
入口端口和 VLAN （QFX5130） |
使用语句定义数据包与语句中的所有条件匹配时应执行的操作。显示了可以在术语中指定的操作。 thenfrom表 6 （如果未包含 语句，系统将接受与过滤器匹配的数据包。then
对于出口 IPv4 接口、IPv6 接口和出口端口，只能应用接受、丢弃和计数操作。对于出口 VLAN，只能应用接受操作。
|
操作 |
Description |
|---|---|
|
|
接受数据包。这是与术语匹配的数据包的默认操作。 |
|
|
指定不从中继承配置数据的组。可以指定多个组名。 |
|
|
计算与术语匹配的数据包数。 |
|
|
以静默方式丢弃数据包，而不发送互联网控制消息协议 （ICMP） 消息。 |
|
|
将数据包分类为以下默认转发类之一或用户定义的转发类：
注：
要配置转发类，还必须配置丢失优先级。 |
|
|
在路由引擎中记录数据包的标头信息。要查看此信息，请输入 操作模式命令。 |
|
|
设置丢包优先级 （PLP）。 注：
操作修饰符仅在入口 IPv4 接口上受支持。 注：
不支持将动作修饰符与动作结合使用。 |
|
|
将数据包发送到监管器（以便应用速率限制）。 注：
不支持将动作修饰符与动作结合使用。 |
|
|
将流量（复制数据包）镜像到在层次结构级别的端口镜像实例 中配置的输出接口。 |
|
|
将流量镜像到在层次结构级别配置 的端口镜像实例。 您只能为入口端口、VLAN 和 IPv4 （inet） 防火墙过滤器指定端口镜像。 |
|
|
丢弃数据包并发送“目标无法访问”ICMPv4 消息（类型 3）。要记录被拒绝的数据包，请配置 操作修改器。 您可以指定以下消息类型之一： 如果未指定消息类型，那么将发送 ICMP 通知“目标无法访问”，并附带默认消息“已管理性过滤的通信”。 注：
仅在入口 IPv4 接口上支持此操作。 |
|
|
将数据包发送到三色监管器（用于应用速率限制）。 注：
不支持将动作修饰符与动作结合使用。 注：
不支持和监管器。 |
|
|
将匹配的数据包转发到特定 VLAN。 注：
仅在入口端口和 VLAN 上支持此操作。 QFX5130交换机不支持此操作。 |