43.2. xdp-filter ルールに一致するネットワークパケット以外のネットワークパケットをすべて削除

手順

1. xdp-filter を読み込み、enp1s0 などの特定のインターフェイスのパケットを処理します。

   # xdp-filter load enp1s0 -p deny

   Copy to Clipboard Toggle word wrap

   オプションで、-f feature オプションを使用して、tcp、ipv4、ethernet などの特定の機能のみを有効にします。すべての機能をロードするのではなく、必要な機能のみをロードすることで、パケット処理の速度が向上します。複数の機能を有効にするには、コンマで区切ります。

   コマンドがエラーで失敗した場合、ネットワークドライバーは XDP プログラムをサポートしません。

2. ルールを追加して、一致するパケットを許可します。以下に例を示します。

   • パケットのポート 22 を許可するには、以下のコマンドを実行します。

     # xdp-filter port 22

     Copy to Clipboard Toggle word wrap

     このコマンドは、TCP および UDP トラフィックに一致するルールを追加します。特定のプロトコルのみと一致するように、-p protocol オプションをコマンドに渡します。

   • パケットの 192.0.2.1 を許可するには、次のコマンドを実行します。

     # xdp-filter ip 192.0.2.1

     Copy to Clipboard Toggle word wrap

     xdp-filter は IP 範囲に対応していないことに注意してください。

   • MAC アドレス 00:53:00:AA:07:BE へのパケットを許可するには、次のコマンドを実行します。

     # xdp-filter ether 00:53:00:AA:07:BE

     Copy to Clipboard Toggle word wrap
   重要

   xdp-filter ユーティリティーは、ステートフルパケットの検査に対応していません。これには、-m mode オプションでモードを設定せず、マシンが送信トラフィックに応答して受信トラフィックを許可する明示的なルールを追加する必要があります。