第3章 DDoS 攻撃を防ぐために、高パフォーマンストラフィックのフィルタリングで xdp-filter を使用

手順

1. xdp-filter を読み込み、enp1s0 などの特定のインターフェイスの着信パケットを処理します。

   # xdp-filter load enp1s0

   Copy to Clipboard Toggle word wrap

   デフォルトでは、xdp-filter は allow ポリシーを使用し、ユーティリティーはすべてのルールに一致するトラフィックのみを破棄します。

   オプションで、-f feature オプションを使用して、tcp、ipv4、ethernet などの特定の機能のみを有効にします。すべての機能をロードするのではなく、必要な機能のみをロードすることで、パケット処理の速度が向上します。複数の機能を有効にするには、コンマで区切ります。

   コマンドがエラーで失敗した場合、ネットワークドライバーは XDP プログラムをサポートしません。

2. ルールを追加して、それに一致するパケットをドロップします。以下に例を示します。

   • 受信パケットをポート 22 に破棄するには、次のコマンドを実行します。

     # xdp-filter port 22

     Copy to Clipboard Toggle word wrap

     このコマンドは、TCP および UDP トラフィックに一致するルールを追加します。特定のプロトコルのみと一致する場合は、-p protocol オプションを使用します。

   • 192.0.2.1 から着信パケットを破棄するには、次のコマンドを実行します。

     # xdp-filter ip 192.0.2.1 -m src

     Copy to Clipboard Toggle word wrap

     xdp-filter は IP 範囲に対応していないことに注意してください。

   • MAC アドレス 00:53:00:AA:07:BE から着信パケットを破棄するには、次のコマンドを実行します。

     # xdp-filter ether 00:53:00:AA:07:BE -m src

     Copy to Clipboard Toggle word wrap