cf.colo.name String
处理该流量的数据中心名称。
示例值：sfo06
cf.colo.region String
处理该流量的数据中心所在的区域。
示例值：WNAM
icmp String
作为字节列表的原始 ICMP 数据包。在缺少其他结构化字段时，应与 bit_slice 函数结合使用。
icmp.type Number
ICMP 类型 (ICMP type) ↗。仅适用于 ICMP 数据包。
示例值：8
icmp.code Number
ICMP 代码 (ICMP code) ↗。仅适用于 ICMP 数据包。
示例值：2
ip String
作为字节列表的原始 IP 数据包。在缺少其他结构化字段时，应与 bit_slice 函数结合使用。
ip.dst IP address
IP 数据包中指定的目标地址。
示例值：192.0.2.2
ip.dst.country String
代表与服务器 IP 地址关联的、符合 ISO 3166-1 Alpha 2 ↗ 格式的两位国家/地区代码。
示例值：GB
欲了解有关 ISO 3166-1 Alpha 2 格式的更多信息，请参阅维基百科上的 ISO 3166-1 Alpha 2 ↗。
ip.src.country String
代表与客户端 IP 地址关联的、符合 ISO 3166-1 Alpha 2 ↗ 格式的两位国家/地区代码。
示例值：GB
欲了解有关 ISO 3166-1 Alpha 2 格式的更多信息，请参阅维基百科上的 ISO 3166-1 Alpha 2 ↗。
对于 Cloudflare Network Firewall，（已弃用的）ip.geoip.country 字段将匹配源或目标地址。该 ip.geoip.country 字段对于新规则和现有规则仍可用，但您应该改用 ip.src.country 选项和/或 ip.dst.country 字段。
ip.hdr_len Number
IPv4 标头的长度（以字节为单位）。
示例值：5
ip.len Number
包括标头在内的数据包长度。
示例值：60
ip.opt.type Number
如果设置了 IP 选项字段，代表 IP 选项字段 ↗ 的第一个字节。
示例值：25
ip.proto String
数据包的传输层协议（如果可以确定）。
示例值：icmp, tcp
ip.src IP address
IP 数据包的源地址。
ip.ttl Number
IP 数据包的生存时间 (TTL)。
示例值：54
sip Boolean
确定数据包是否是有效的第 7 层 (L7) 协议 SIP ↗。需要 UDP 数据包才能运行。
使用如下所示的保护性子句 (guard clause) 以确保数据包是 UDP：
ip.proto == "udp"
ip.src.asnum Number
与源 IP 地址关联的自治系统 (AS) 号。
示例值：13335
ip.dst.asnum Number
与目标 IP 地址关联的自治系统 (AS) 号。
示例值：15169
tcp String
作为字节列表的原始 TCP 数据包。在缺少其他结构化字段时，应与 bit_slice 函数结合使用。
tcp.flags Number
TCP 标志字节的数值。
tcp.flags.ack Boolean
TCP 确认 (ACK) 标志。
tcp.flags.cwr Boolean
TCP 拥塞窗口减小 (CWR) 标志。
tcp.flags.ecn Boolean
TCP ECN-Echo 标志。
tcp.flags.fin Boolean
表示这是发送方的最后一个数据包的 TCP 结束 (FIN) 标志。
tcp.flags.push Boolean
TCP 推送 (PSH) 标志。
tcp.flags.reset Boolean
TCP 重置 (RST) 标志。
tcp.flags.syn Boolean
TCP 同步 (SYN) 标志。
tcp.flags.urg Boolean
TCP 紧急 (URG) 标志。
tcp.srcport Number
IP 数据包的源端口号。仅适用于 TCP 数据包。
tcp.dstport Number
IP 数据包的目标端口号。仅适用于 TCP 数据包。
udp String
作为字节列表的原始 UDP 数据包。在缺少其他结构化字段时，应与 bit_slice 函数结合使用。
udp.dstport Number
IP 数据包的目标端口号。仅适用于 UDP 数据包。
udp.srcport Number
IP 数据包的源端口号。仅适用于 UDP 数据包。
GeoIP 是 MaxMind, Inc. 的注册商标。