3.2. Suppression de tous les paquets réseau à l'exception de ceux qui correspondent à une règle xdp-filter

Procédure

1. Load xdp-filter pour traiter les paquets sur une certaine interface, telle que enp1s0:

   # xdp-filter load enp1s0 -p deny

   Vous pouvez également utiliser l'option -f feature pour n'activer que certaines fonctionnalités, telles que tcp, ipv4, ou ethernet. Le fait de ne charger que les fonctionnalités requises au lieu de toutes augmente la vitesse de traitement des paquets. Pour activer plusieurs fonctionnalités, séparez-les par une virgule.

   Si la commande échoue avec une erreur, cela signifie que le pilote de réseau ne prend pas en charge les programmes XDP.

2. Ajoutez des règles pour autoriser les paquets qui correspondent à ces règles. Par exemple :

   • Pour autoriser les paquets vers le port 22, entrez :

     # xdp-filter port 22

     Cette commande ajoute une règle qui correspond au trafic TCP et UDP. Pour ne faire correspondre qu'un protocole particulier, ajoutez l'option -p protocol à la commande.

   • Pour autoriser les paquets à 192.0.2.1, entrez :

     # xdp-filter ip 192.0.2.1

     Notez que xdp-filter ne prend pas en charge les plages d'adresses IP.

   • Pour autoriser les paquets à l'adresse MAC 00:53:00:AA:07:BE, entrez :

     # xdp-filter ether 00:53:00:AA:07:BE

   Important

   L'utilitaire xdp-filter ne prend pas en charge l'inspection des paquets avec état. Cela implique que vous ne définissiez pas de mode à l'aide de l'option -m mode ou que vous ajoutiez des règles explicites pour autoriser le trafic entrant que la machine reçoit en réponse au trafic sortant.