3.2. xdp-filter 규칙과 일치하는 항목을 제외한 모든 네트워크 패킷 삭제

절차

1. xdp-filter 를 로드하여 enp1s0 과 같은 특정 인터페이스에서 패킷을 처리하십시오.

   # xdp-filter load enp1s0 -p deny

   선택적으로 -f 기능 옵션을 사용하여 tcp,ipv4 또는 ethernet 과 같은 특정 기능만 활성화합니다. 필요한 기능만 로드하면 패킷 처리 속도가 향상됩니다. 여러 기능을 활성화하려면 쉼표로 구분합니다.

   오류와 함께 명령이 실패하면 네트워크 드라이버는 XDP 프로그램을 지원하지 않습니다.

2. 일치하는 패킷을 허용하는 규칙을 추가합니다. 예를 들면 다음과 같습니다.

   • 22 번의 패킷을 허용하려면 다음을 입력합니다.

     # xdp-filter port 22

     이 명령은 TCP 및 UDP 트래픽과 일치하는 규칙을 추가합니다. 특정 프로토콜만 일치시키려면 -p protocol 옵션을 명령에 전달합니다.

   • 192.0.2.1 패킷을 허용하려면 다음을 입력합니다.

     # xdp-filter ip 192.0.2.1

     xdp-filter 는 IP 범위를 지원하지 않습니다.

   • MAC 주소로 패킷을 허용하려면 00:53:00:07:BE 를 입력합니다.

     # xdp-filter ether 00:53:00:AA:07:BE

   중요

   xdp-filter 유틸리티는 상태 저장 패킷 검사를 지원하지 않습니다. 이를 위해서는 -m mode 옵션을 사용하여 모드를 설정하지 않거나 시스템이 나가는 트래픽에 응답하는 들어오는 트래픽을 허용하는 명시적 규칙을 추가해야 합니다.