了解防火墙过滤器如何测试协议
检查 防火墙过滤器中的匹配条件时,交换机仅测试您指定的字段。它不会隐式测试您未显式配置的任何字段。例如,如果指定匹配条件 ,则没有隐含的测试来确定协议是否为 TCP。source-port ssh
在这种情况下,交换机会将假定 IP 报头后面的 2 字节字段中值为(十进制)的任何数据包视为匹配项。22
要确保术语在 TCP 数据包上匹配,还需要指定 匹配条件。ip-protocol tcp
对于以下匹配条件,应在同一术语中明确指定协议匹配条件:
— 指定协议或协议 。
destination-port
tcp
udp
— 指定协议 和 。
icmp-code
icmp
icmp-type
— 指定协议或协议 。
icmp-type
icmp
icmp6
— 指定协议或协议 。
source-port
tcp
udp
— 指定协议 。
tcp-flags
tcp