表达式格式
Berkeley Packet Filter(BPF)语法:
- 原语
- 操作符 原语
- 原语1 操作符 原语2
原语
每个原语包含一个或者多个限定词,然后跟着一个ID名字或者数字。
限定词:
type:指出名字或者数字代表的意义,如:host, net, port
Dir:指明传输方向,src, dst
Proto:限定要匹配的协议,ether, ip(ipv4), ip6, tcp, udp, http, tcp
操作符
与:&&
或:||
非:!
示例
- dst host 192.168.0.12 && tcp port 80
- host 2001:1224:1638::138
- ether host 00-1a-a0-52-e2-a0
- port 8080
- !port 8080
- icmp
- !ip6
- http port 8081