7.11. 丰富规则的优先级

• 优先级低于 0：规则被重定向到带有 _pre 后缀的链中。
• 优先级高于 0：规则被重定向到带有 _post 后缀的链中。
• 优先级等于 0：根据操作，规则会被重定向到带有 _log、_deny 或 _allow 操作的链中。

流程

• 添加一个带有非常低优先级的丰富规则来记录未由其他规则匹配的所有流量：

  # firewall-cmd --add-rich-rule='rule priority=32767 log prefix="UNEXPECTED: " limit value="5/m"'

  Copy to Clipboard Toggle word wrap

  这个命令还将日志条目数量限制为每分钟 5 条。

验证

• 显示命令在上一步中创建的 nftables 规则：

  # nft list chain inet firewalld filter_IN_public_post
  table inet firewalld {
    chain filter_IN_public_post {
      log prefix "UNEXPECTED: " limit rate 5/minute
    }
  }

  Copy to Clipboard Toggle word wrap