了解如何使用标准防火墙过滤器
使用标准防火墙过滤器影响本地数据包
在路由器上，您可以在接口上配置一个物理环路接口 lo0 和一个或多个地址。环路接口是路由引擎的接口，后者运行并监控所有控制协议。环路接口仅携带本地数据包。应用于环路接口的标准防火墙过滤器会影响发往路由引擎或从传输的本地数据包。
注意：
创建附加环路接口时，请务必对其应用过滤器，以便保护路由引擎。建议在将过滤器应用于环路接口时，包含 apply-groups 语句。这样做可以确保过滤器在每个环路接口上自动继承，包括 lo0 和其他环路接口。
可信来源
标准无状态 防火墙过滤器 的典型用途是保护路由引擎进程和资源免受恶意或不受信任数据包的侵害。要保护路由引擎拥有的进程和资源，可以使用标准无状态防火墙过滤器，指定允许哪些协议和服务或应用到达路由引擎。将这种类型的过滤器应用于环路接口可确保本地数据包来自可信来源，并保护在路由引擎上运行的进程免受外部攻击。
防洪
您可以创建标准无状态防火墙过滤器，以限制发往路由引擎的特定 TCP 和 ICMP 流量。没有此类保护的路由器容易受到 TCP 和 ICMP 泛洪攻击，也称为拒绝服务 （DoS） 攻击。例如：
-
发起连接请求的 SYN 数据包的 TCP 泛洪攻击会使设备不堪重负，直到其无法再处理合法连接请求，从而导致拒绝服务。
-
ICMP 泛洪会因过多的回显请求（ping 请求）而使设备过载，以至于设备耗尽所有资源进行响应，无法再处理有效的网络流量，进而导致拒绝服务。
对路由引擎应用适当的防火墙过滤器可防止这些类型的攻击。
使用标准防火墙过滤器影响数据包
应用于路由器传输接口的标准防火墙过滤器仅评估从源转发到目标时将路由器从一个接口直接传输到另一个接口的用户数据包。要保护整个网络免受特定接口上的未经授权的访问和其他威胁，您可以应用防火墙过滤器 路由器 传输接口 。