43장. xdp-filter를 사용하여 고성능 트래픽 필터링을 통해 DDoS 공격을 방지

프로세스

1. xdp-filter 를 로드하여 enp1s0 과 같은 특정 인터페이스에서 들어오는 패킷을 처리합니다.

   # xdp-filter load enp1s0

   Copy to Clipboard Toggle word wrap

   기본적으로 xdp-filter 는 allow 정책을 사용하고 유틸리티는 모든 규칙과 일치하는 트래픽만 삭제합니다.

   선택적으로 tcp,ipv4 또는 ethernet 과 같은 특정 기능만 활성화하려면 -f 기능 옵션을 사용합니다. 대신 필요한 기능만 로드하면 패킷 처리 속도가 증가합니다. 여러 기능을 활성화하려면 쉼표로 구분합니다.

   명령이 오류와 함께 실패하면 네트워크 드라이버가 XDP 프로그램을 지원하지 않습니다.

2. 규칙을 추가하여 일치하는 패킷을 삭제합니다. 예를 들면 다음과 같습니다.

   • 들어오는 패킷을 포트 22 로 삭제하려면 다음을 입력합니다.

     # xdp-filter port 22

     Copy to Clipboard Toggle word wrap

     이 명령은 TCP 및 UDP 트래픽과 일치하는 규칙을 추가합니다. 특정 프로토콜만 일치시키려면 -p protocol 옵션을 사용합니다.

   • 192.0.2.1 에서 들어오는 패킷을 삭제하려면 다음을 입력합니다.

     # xdp-filter ip 192.0.2.1 -m src

     Copy to Clipboard Toggle word wrap

     xdp-filter 는 IP 범위를 지원하지 않습니다.

   • MAC 주소 00:53:00:AA:07:BE 에서 들어오는 패킷을 삭제하려면 다음을 입력합니다.

     # xdp-filter ether 00:53:00:AA:07:BE -m src

     Copy to Clipboard Toggle word wrap