cf.colo.name String
处理此流量的数据中心。
示例值：sfo06
cf.colo.region String
处理此流量的数据中心所属区域。
示例值：WNAM
icmp String
作为字节列表的原始 ICMP 数据包。在缺少其他结构化字段时，应将其与 bit_slice 函数配合使用。
icmp.type Number
ICMP 类型 ↗。仅适用于 ICMP 数据包。
示例值：8
icmp.code Number
ICMP 代码 ↗。仅适用于 ICMP 数据包。
示例值：2
ip String
作为字节列表的原始 IP 数据包。在缺少其他结构化字段时，应将其与 bit_slice 函数配合使用。
ip.dst IP address
IP 数据包中指定的目标地址。
示例值：192.0.2.2
ip.dst.country String
表示与服务器 IP 地址关联的 2 字母国家/地区代码，采用 ISO 3166-1 Alpha 2 ↗ 格式。
示例值：GB
有关 ISO 3166-1 Alpha 2 格式的更多信息，请参阅维基百科上的 ISO 3166-1 Alpha 2 ↗。
ip.src.country String
表示与客户端 IP 地址关联的 2 字母国家/地区代码，采用 ISO 3166-1 Alpha 2 ↗ 格式。
示例值：GB
有关 ISO 3166-1 Alpha 2 格式的更多信息，请参阅维基百科上的 ISO 3166-1 Alpha 2 ↗。
对于 Cloudflare Network Firewall，ip.geoip.country 字段（已弃用）将匹配源地址或目标地址。ip.geoip.country 字段仍可用于新规则和现有规则，但您应改用 ip.src.country 和/或 ip.dst.country 字段。
ip.hdr_len Number
IPv4 标头的长度（以字节为单位）。
示例值：5
ip.len Number
数据包的长度（包括标头）。
示例值：60
ip.opt.type Number
IP 选项字段 ↗的第一个字节（如果设置了选项字段）。
示例值：25
ip.proto String
数据包的传输层（如果可以确定）。
示例值：icmp，tcp
ip.src IP address
IP 数据包的源地址。
ip.src.country String
表示与客户端 IP 地址关联的 2 字母国家/地区代码，采用 ISO 3166-1 Alpha 2 ↗ 格式。
示例值：GB
有关 ISO 3166-1 Alpha 2 格式的更多信息，请参阅维基百科上的 ISO 3166-1 Alpha 2 ↗。
ip.ttl Number
IP 数据包的生存时间（TTL）。
示例值：54
sip Boolean
确定数据包是否是有效的 L7 协议 SIP ↗。需要 UDP 数据包才能运行。
使用如下所示的保护子句来确保数据包为 UDP (wirefilter)：
ip.proto == "udp"
tcp String
作为字节列表的原始 TCP 数据包。在缺少其他结构化字段时，应将其与 bit_slice 函数配合使用。
tcp.flags Number
TCP 标志字节的数值。
tcp.flags.ack Boolean
TCP 确认（ACK）标志。
tcp.flags.cwr Boolean
TCP 拥塞窗口减小（CWR）标志。
tcp.flags.ecn Boolean
TCP ECN-Echo 标志。
tcp.flags.fin Boolean
表示这是来自发送方的最后一个数据包的 TCP 标志（FIN）。
tcp.flags.push Boolean
TCP 推送（PUSH）标志。
tcp.flags.reset Boolean
TCP 重置（RESET）标志。
tcp.flags.syn Boolean
TCP 同步（SYN）标志。
tcp.flags.urg Boolean
TCP 紧急（URGENT）标志。
tcp.srcport Number
IP 数据包的源端口号。仅适用于 TCP 数据包。
tcp.dstport Number
IP 数据包的目标端口号。仅适用于 TCP 数据包。
udp String
作为字节列表的原始 UDP 数据包。在缺少其他结构化字段时，应将其与 bit_slice 函数配合使用。
udp.dstport Number
IP 数据包的目标端口号。仅适用于 UDP 数据包。
udp.srcport Number
IP 数据包的源端口号。仅适用于 UDP 数据包。
GeoIP 是 MaxMind, Inc. 的注册商标。