配置防火墙和数据包过滤器

1. 流量只流入一个区域。
2. 流量只流出一个区域。
3. 一个区域定义一个信任级别。
4. 默认允许区域内流量（在同一区域内）。
5. 默认拒绝区域内流量（从区域到区域）。

流程

1. 显示当前的默认区：

   # firewall-cmd --get-default-zone

2. 设置新的默认区：

   # firewall-cmd --set-default-zone <zone_name>

   注意

   按照此流程，设置是一个永久设置，即使没有 --permanent 选项。

流程

1. 创建一个新区：

   # firewall-cmd --permanent --new-zone=zone-name

2. 使新区域可用：

   # firewall-cmd --reload

   命令将最新的更改应用到防火墙配置，而不中断已在运行的网络服务。

流程

1. 列出活跃区以及分配给它们的接口：

   # firewall-cmd --get-active-zones

2. 为不同的区分配接口：

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones

2. 将源 IP 添加到持久性模式的信任区中：

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 列出所需区的允许源：

   # firewall-cmd --zone=zone-name --list-sources

2. 从区永久删除源：

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 将区分配给 NetworkManager 连接配置文件：

   # nmcli connection modify profile connection.zone zone_name

2. 激活连接：

   # nmcli connection up profile

流程

1. 列出特定区的信息以查看默认目标：

   # firewall-cmd --zone=zone-name --list-all

2. 在区中设置一个新目标：

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

流程

1. 列出可用的防火墙区域：

   # firewall-cmd --get-zones

   firewall-cmd --get-zones 命令显示系统上所有可用的区，但不显示特定区的详情。要查看所有区域的详情，请使用 firewall-cmd --list-all-zones 命令。

2. 选择您要用于此配置的区域。

3. 修改所选区域的防火墙设置。例如，要允许 SSH 服务并删除 ftp 服务：

   # firewall-cmd --add-service=ssh --zone=<your_chosen_zone>
   # firewall-cmd --remove-service=ftp --zone=<same_chosen_zone>

4. 向防火墙区域分配一个网络接口：

   1. 列出可用的网络接口：

      # firewall-cmd --get-active-zones

      区域的活动是由网络接口或匹配其配置的源地址范围的存在来确定的。默认区域对于未分类的流量是处于活跃状态的，但如果没有流量匹配其规则，则不总是处于活跃状态。

   2. 向所选区分配一个网络接口：

      # firewall-cmd --zone=<your_chosen_zone> --change-interface=<interface_name> --permanent

      向区域分配一个网络接口更适合于将一致的防火墙设置应用到特定接口（物理的或虚拟的）上的所有流量。

      当与 --permanent 选项一起使用时，firewall-cmd 命令通常涉及更新 NetworkManager 连接配置文件，以使对防火墙配置的更改永久。firewalld 和 NetworkManager 之间的这种集成确保一致的网络和防火墙设置。

验证

1. 显示您选择的区域的更新设置：

   # firewall-cmd --zone=<your_chosen_zone> --list-all

   命令输出显示所有区域设置，包括分配的服务、网络接口和网络连接（源）。

流程

1. 创建一个有有意义名称的 IP 集：

   # firewall-cmd --permanent --new-ipset=allowlist --type=hash:ip

   名为 allowlist 的新 IP 集包含您希望防火墙允许的 IP 地址。

2. 向 IP 集添加动态更新：

   # firewall-cmd --permanent --ipset=allowlist --add-entry=198.51.100.10

   此配置使用新添加的 IP 地址更新防火墙允许传输网络流量的allowlist IP 集。

3. 创建一个引用之前创建的 IP 集的防火墙规则：

   # firewall-cmd --permanent --zone=public --add-source=ipset:allowlist

   没有此规则，IP 集不会对网络流量有任何影响。默认防火墙策略将占先。

4. 重新载入防火墙配置以应用更改：

   # firewall-cmd --reload

验证

1. 列出所有 IP 集：

   # firewall-cmd --get-ipsets
   allowlist

2. 列出活跃的规则：

   # firewall-cmd --list-all
   public (active)
     target: default
     icmp-block-inversion: no
     interfaces: enp0s1
     sources: ipset:allowlist
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     ...

   命令行输出的 sources 部分提供了对哪些流量源（主机名、接口、IP 集、子网等）被允许或拒绝访问特定防火墙区域的见解。在这种情况下，包含在 allowlist IP 集中的 IP 地址被允许通过防火墙，为 public 区域传输流量。

3. 探索 IP 集的内容：

   # cat /etc/firewalld/ipsets/allowlist.xml
   <?xml version="1.0" encoding="utf-8"?>
   <ipset type="hash:ip">
     <entry>198.51.100.10</entry>
   </ipset>

流程

1. 登录到 RHEL 10 web 控制台。
2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 在 Firewall 部分，点 Add new zone。

5. 在 Add zone 对话框中，从信任级别选项选择一个区。

   Web 控制台显示 firewalld 服务中预定义的所有区域。

6. 在接口部分，选择一个应用所选区的接口或接口。

7. 在 Allowed Addresses 部分中，您可以选择是否应用该区：

   • 整个子网

   • 或者以以下格式表示的 IP 地址范围：

     • 192.168.1.0
     • 192.168.1.0/24
     • 192.168.1.0/24, 192.168.1.0

8. 点 Add zone 按钮。

   

流程

1. 登录到 RHEL 10 web 控制台。
2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 点您要删除的区的 Options 图标。

   

5. 点击 Delete。

流程

1. 检查 firewalld 中的服务是否还没有被允许：

   # firewall-cmd --list-services
   ssh dhcpv6-client

   命令列出在默认区域中启用的服务。

2. 列出 firewalld 中所有预定义的服务：

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...

   命令显示默认区域的可用服务的列表。

3. 将服务添加到 firewalld 允许的服务的列表中：

   # firewall-cmd --add-service=<service_name>

   命令将指定的服务添加到默认区域中。

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   命令将这些运行时更改应用到防火墙的永久配置中。默认情况下，它将这些更改应用到默认区域的配置中。

流程

1. 登录到 RHEL 10 web 控制台。
2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 在 Firewall 部分，选择要添加该服务的区，然后点击 Add Services。

   

5. 在 Add Services 对话框中，找到您要在防火墙中启用的服务。

6. 根据您的场景启用服务：

   

7. 点 Add Services。

流程

1. 登录到 RHEL 10 web 控制台。
2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 在 Firewall 部分，选择要配置自定义端口的区域，并点 Add Services。

   

5. 在 Add services 对话框中，点 Custom Ports 单选按钮。

6. 在 TCP 和 UDP 字段中，根据示例添加端口。您可以使用以下格式添加端口：

   • 端口号，如 22
   • 端口号范围，如 5900-5910
   • 别名，比如 nfs, rsync
   注意

   您可以在每个字段中添加多个值。值必须用逗号分开，且没有空格，例如： 8080、8081、http

7. 在 TCP 文件、UDP 文件或两者中添加端口号后，在 Name 字段中验证服务名称。

   Name 字段显示保留此端口的服务名称。如果您确定这个端口可用，且不需要在该端口上通信，则可以重写名称。

8. 在 Name 字段中，为服务添加一个名称，包括定义的端口。

9. 点 添加端口 按钮。

   

流程

1. 创建一个新的防火墙策略：

   # firewall-cmd --permanent --new-policy podmanToAny

2. 阻止从 Podman 到其它区域的所有流量，并只允许 Podman 上必要的服务：

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

3. 创建一个新的 Podman 区域：

   # firewall-cmd --permanent --new-zone=podman

4. 为策略定义 ingress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

5. 为所有其他区域定义 egress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   将 egress 区域设置为 ANY 意味着您可以从 Podman 过滤到其他区域。如果要过滤到主机，请将 egress 区域设置为 HOST。

6. 重启 firewalld 服务：

   # systemctl restart firewalld

流程

1. 要检查是否启用了 IP 伪装（例如，对于 external 区），以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --query-masquerade

   如果已启用，命令将会打印 yes，且退出状态为 0。否则，将打印 no ，且退出状态为 1。如果省略了 zone，则将使用默认区。

2. 要启用 IP 伪装，请以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --add-masquerade

3. 要使此设置持久，请将 --permanent 选项传给命令。

4. 要禁用 IP 伪装，请以 root 身份输入以下命令：

   # firewall-cmd --zone=external --remove-masquerade

   要使此设置永久生效，请将 --permanent 选项传给命令。

流程

1. 转发传入的 HTTP 流量：

   # firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toaddr=198.51.100.10:toport=8080 --permanent

   之前的命令使用以下设置定义 DNAT 规则：

   • --zone=public - 您为其配置 DNAT 规则的防火墙区域。您可以将其调整到您需要的任何区域。
   • --add-forward-port - 指示您正在添加端口转发规则的选项。
   • port=80 - 外部目标端口。
   • proto=tcp - 表示您转发 TCP 流量的协议。
   • toaddr=198.51.100.10 - 目标 IP 地址。
   • toport=8080 - 内部服务器的目标端口。
   • --permanent - 使 DNAT 规则在重启后保持不变的选项。

2. 重新载入防火墙配置以应用更改：

   # firewall-cmd --reload

流程

1. 创建 NAT 重定向规则：

   # firewall-cmd --zone=public --add-forward-port=port=<standard_port>:proto=tcp:toport=<non_standard_port> --permanent

   之前的命令使用以下设置定义 NAT 重定向规则：

   • --zone=public - 您为其配置规则的防火墙区域。您可以将其调整到您需要的任何区域。
   • --add-forward-port=port=<non_standard_port> - 指示您正在使用最初接收传入流量的源端口添加端口转发（重定向）规则。
   • proto=tcp - 表示您重定向 TCP 流量的协议。
   • toport=<standard_port> - 目标端口，在源端口上收到传入流量后，应将其重定向到的端口。
   • --permanent - 使规则在重启后保持不变的选项。

2. 重新载入防火墙配置以应用更改：

   # firewall-cmd --reload

流程

1. 在内核中启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

2. 确保您要在其间启用区域内转发的接口只分配到 internal 区域：

   # firewall-cmd --get-active-zones

3. 如果接口当前被分配给了不是 internal 的区，请重新分配它：

   # firewall-cmd --zone=internal --change-interface=interface_name --permanent

4. 将 enp1s0 和 wlp0s20 接口添加到 internal 区：

   # firewall-cmd --zone=internal --add-interface=enp1s0 --add-interface=wlp0s20

5. 启用区域内部转发：

   # firewall-cmd --zone=internal --add-forward

1. 登录到与您启用了区域转发的主机的 enp1s0 接口位于同一网络的主机。

2. 使用 ncat 启动 echo 服务来测试连接：

   # ncat -e /usr/bin/cat -l 12345

3. 登录到与 wlp0s20 接口在同一网络的主机。

4. 连接到在与 enp1s0 在同一网络的主机上运行的 echo 服务器：

   # ncat <other_host> 12345

5. 输入一些内容并按 Enter。验证文本是否被发送回来。

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Reset firewalld example
     hosts: managed-node-01.example.com
     tasks:
       - name: Reset firewalld
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - previous: replaced

   示例 playbook 中指定的设置包括如下：

   previous: replaced

   删除所有现有的用户定义的设置，并将 firewalld 设置重置为默认值。如果将 previous:replaced 参数与其他设置相结合，则 firewall 角色会在应用新设置前删除所有现有设置。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.firewall/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Forward incoming traffic on port 8080 to 443
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - forward_port: 8080/tcp;443;
               state: enabled
               runtime: true
               permanent: true

   示例 playbook 中指定的设置包括如下：

   forward_port: 8080/tcp;443

   使用 TCP 协议进入到本地端口 8080 的流量被转发到端口 443。

   runtime: true

   启用运行时配置中的更改。默认值被设置为 true。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.firewall/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Creating a DMZ with access to HTTPS port and masquerading for hosts in DMZ
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - zone: dmz
               interface: enp1s0
               service: https
               state: enabled
               runtime: true
               permanent: true

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.firewall/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个带有 inet 地址系列的名为 nftables_svc 的表，以便表可以处理 IPv4 和 IPv6 数据包：

   # nft add table inet nftables_svc

2. 将处理传入网络流量的、名为 INPUT 的基本链添加到 inet nftables_svc 表中：

   # nft add chain inet nftables_svc INPUT { type filter hook input priority filter \; policy accept \; }

   为了避免 shell 将分号解释为命令的结尾，请使用 \ 字符转义分号。

3. 向 INPUT 链添加规则。例如，允许端口 22 和 443 上的传入 TCP 流量，并作为 INPUT 链的最后一条规则，拒绝其他传入的流量，并伴有互联网控制消息协议(ICMP)端口无法访问的消息：

   # nft add rule inet nftables_svc INPUT tcp dport 22 accept
   # nft add rule inet nftables_svc INPUT tcp dport 443 accept
   # nft add rule inet nftables_svc INPUT reject with icmpx type port-unreachable

   如果您输入 nft add rule 命令，则nft 会将按与运行命令相同的顺序将规则添加到链。

4. 显示包括句柄的当前规则集：

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

5. 在句柄为 3 的现有规则前面插入一条规则。例如，要插入一个允许端口 636 上 TCP 流量的规则，请输入：

   # nft insert rule inet nftables_svc INPUT handle 3 tcp dport 636 accept

6. 在句柄为 3 的现有规则后面附加一条规则。例如，要插入一个允许端口 80 上 TCP 流量的规则，请输入：

   # nft add rule inet nftables_svc INPUT handle 3 tcp dport 80 accept

7. 再次显示带有 handle 的规则集。验证是否后添加的规则已添加到指定位置：

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       reject # handle 4
     }
   }

8. 删除 handle 为 6 的规则：

   # nft delete rule inet nftables_svc INPUT handle 6

   要删除规则，您必须指定 handle。

9. 显示规则集，并验证删除的规则是否不再存在：

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

10. 从 INPUT 链中删除所有剩余的规则：

    # nft flush chain inet nftables_svc INPUT

11. 显示规则集，并验证 INPUT 链是否为空：

    # nft list table inet nftables_svc
    table inet nftables_svc {
      chain INPUT {
        type filter hook input priority filter; policy accept
      }
    }

12. 删除 INPUT 链：

    # nft delete chain inet nftables_svc INPUT

    您还可以使用此命令删除仍然包含规则的链。

13. 显示规则集，并验证 INPUT 链是否已被删除：

    # nft list table inet nftables_svc
    table inet nftables_svc {
    }

14. 删除 nftables_svc 表：

    # nft delete table inet nftables_svc

    您还可以使用此命令删除仍然包含链的表。

    注意

    要删除整个规则集，请使用 nft flush ruleset 命令，而不是在单独的命令中手动删除所有规则、链和表。

流程

1. 创建一个表：

   # nft add table nat

2. 将 postrouting 链添加到表中：

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

3. 向 postrouting 链中添加一条规则，来匹配 ens3 接口上传出的数据包：

   # nft add rule nat postrouting oifname "ens3" masquerade

流程

1. 创建一个表：

   # nft add table nat

2. 将 postrouting 链添加到表中：

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

3. 向 postrouting 链中添加一条规则，该规则将使用 192.0.2.1 替换通过ens3 的传出数据包的源 IP ：

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

流程

1. 创建一个表：

   # nft add table nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

3. 向 prerouting 链中添加一条规则，该规则将路由器的 ens3 接口上端口 80 和 443 的传入流量重定向到 IP 地址为 192.0.2.1 的 web 服务器：

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 根据您的环境，添加 SNAT 或伪装规则，将从 Web 服务器返回的数据包的源地址改为发送者：

   1. 如果 ens3 接口使用动态 IP 地址，请添加一条伪装规则：

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. 如果 ens3 接口使用静态 IP 地址，请添加一条 SNAT 规则。例如，如果 ens3 使用 198.51.100.1 IP 地址：

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

5. 启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

流程

1. 创建一个表：

   # nft add table nat

2. 向表中添加 prerouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

3. 向 prerouting 链中添加一条规则，其将端口 22 上的传入流量重定向到端口 2222 ：

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

流程

1. 编辑 /etc/sysconfig/nftables.conf 文件。

   • 如果您使用 nftables 软件包的安装修改了在 /etc/nftables/ 中创建的 *.nft 脚本，请取消对这些脚本的 include 语句的注释。

   • 如果您编写了新脚本，请添加 include 语句以包含这些脚本。例如，要在 nftables 服务启动时加载 /etc/nftables/example.nft 脚本，请添加：

     include "/etc/nftables/example.nft"

2. 可选：启动 nftables 服务来加载防火墙规则，而无需重启系统：

   # systemctl start nftables

3. 启用 nftables 服务。

   # systemctl enable nftables

流程

1. 例如，要向 example_table 中的 example_chain 添加一条规则，其允许传入流量到端口 22、80 和 443 ：

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

2. 可选： 在 example_table 中显示所有链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

流程

1. 创建一个空集。以下示例为 IPv4 地址创建了一个集合：

   • 要创建可存储多个独立 IPv4 地址的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • 要创建可存储 IPv4 地址范围的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   重要

   要防止 shell 将分号解释为命令结尾，您必须使用反斜杠转义分号。

2. 可选：创建使用集合的规则。例如，以下命令向 example_table 中的 example_chain 中添加一条规则，该规则将丢弃 example_set 中来自 IPv4 地址的所有数据包。

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   由于 example_set 仍为空，所以该规则目前不起作用。

3. 向 example_set 中添加 IPv4 地址：

   • 如果您创建存储单个 IPv4 地址的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   • 如果您创建存储 IPv4 范围的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     当您指定 IP 地址范围时，您可以使用无类别域间路由(CIDR)表示法，如上例中的 192.0.2.0/24。

流程

1. 创建一个空集。以下示例为 IPv4 地址创建了一个集合：

   • 要创建可存储多个独立 IPv4 地址的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • 要创建可存储 IPv4 地址范围的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

     重要

     要防止 shell 将分号解释为命令结尾，您必须使用反斜杠转义分号。

2. 创建一条规则，将传入数据包的源 IPv4 地址添加到 example_set 集中：

   # nft add rule inet example_table example_chain set add ip saddr @example_set

   命令在 example_chain 规则链和 example_table 中创建了一个新规则，来将数据包的源 IPv4 地址动态添加到 example_set 中。

流程

1. 创建新表：

   # nft add table inet example_table

2. 在 example_table 中创建 tcp_packets 链：

   # nft add chain inet example_table tcp_packets

3. 向统计此链中流量的 tcp_packets 中添加一条规则：

   # nft add rule inet example_table tcp_packets counter

4. 在 example_table 中创建 udp_packets 链

   # nft add chain inet example_table udp_packets

5. 向统计此链中流量的 udp_packets 中添加一条规则：

   # nft add rule inet example_table udp_packets counter

6. 为传入的流量创建一个链。例如，要在过滤传入的流量的 example_table 中创建一个名为 incoming_traffic 的链：

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. 添加一条带有到 incoming_traffic 匿名映射的规则 ：

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   匿名映射区分数据包，并根据它们的协议将它们发送到不同的计数链。

8. 要列出流量计数器，请显示 example_table ：

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }

   tcp_packets 和 udp_packets 链中的计数器显示两者接收的数据包和字节数。

流程

1. 创建表。例如，要创建一个处理 IPv4 数据包的、名为 example_table 的表：

   # nft add table ip example_table

2. 创建链。例如，要在 example_table 中创建一个名为 example_chain 的链：

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   重要

   要防止 shell 将分号解释为命令结尾，您必须使用反斜杠转义分号。

3. 创建一个空的映射。例如，要为 IPv4 地址创建映射：

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. 创建使用该映射的规则。例如，以下命令向 example_table 中的 example_chain 添加了一条规则，该规则将操作应用到在 example_map 中定义的 IPv4 地址：

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. 向 example_map 添加 IPv4 地址和相应的操作：

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   这个示例定义了 IPv4 地址到操作的映射。与以上创建的规则相结合，防火墙接受来自 192.0.2.1 的数据包，丢弃来自 192.0.2.2 的数据包。

6. 可选：通过添加另一个 IP 地址和 action 语句来增强映射：

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. 可选：从映射中删除条目：

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. 可选：显示规则集：

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }

流程

1. 使用以下内容创建 /etc/rsyslog.d/nftables.conf 文件：

   :msg, startswith, "nft drop" -/var/log/nftables.log
   & stop

   使用这个配置，rsyslog 服务会将丢弃的数据包记录到 /var/log/nftables.log 文件，而不是 /var/log/messages。

2. 重启 rsyslog 服务：

   # systemctl restart rsyslog

3. 使用以下内容创建 /etc/logrotate.d/nftables 文件，以便在大小超过 10 MB 时轮转 /var/log/nftables.log ：

   /var/log/nftables.log {
     size +10M
     maxage 30
     sharedscripts
     postrotate
       /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
     endscript
   }

   maxage 30 设置定义了 logrotate 在下一次轮转操作过程中删除超过 30 天的轮转日志。

流程

1. 使用以下内容创建 /etc/nftables/firewall.nft 脚本：

   # Remove all rules
   flush ruleset
   
   
   # Table for both IPv4 and IPv6 rules
   table inet nftables_svc {
   
     # Define variables for the interface name
     define INET_DEV = enp1s0
     define LAN_DEV  = enp7s0
     define DMZ_DEV  = enp8s0
   
   
     # Set with the IPv4 addresses of admin PCs
     set admin_pc_ipv4 {
       type ipv4_addr
       elements = { 10.0.0.100, 10.0.0.200 }
     }
   
   
     # Chain for incoming trafic. Default policy: drop
     chain INPUT {
       type filter hook input priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept incoming traffic on loopback interface
       iifname lo accept
   
       # Allow request from LAN and DMZ to local DNS server
       iifname { $LAN_DEV, $DMZ_DEV } meta l4proto { tcp, udp } th dport 53 accept
   
       # Allow admins PCs to access the router using SSH
       iifname $LAN_DEV ip saddr @admin_pc_ipv4 tcp dport 22 accept
   
       # Last action: Log blocked packets
       # (packets that were not accepted in previous rules in this chain)
       log prefix "nft drop IN : "
     }
   
   
     # Chain for outgoing traffic. Default policy: drop
     chain OUTPUT {
       type filter hook output priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept outgoing traffic on loopback interface
       oifname lo accept
   
       # Allow local DNS server to recursively resolve queries
       oifname $INET_DEV meta l4proto { tcp, udp } th dport 53 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop OUT: "
     }
   
   
     # Chain for forwarding traffic. Default policy: drop
     chain FORWARD {
       type filter hook forward priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # IPv4 access from LAN and internet to the HTTPS server in the DMZ
       iifname { $LAN_DEV, $INET_DEV } oifname $DMZ_DEV ip daddr 198.51.100.5 tcp dport 443 accept
   
       # IPv6 access from internet to the HTTPS server in the DMZ
       iifname $INET_DEV oifname $DMZ_DEV ip6 daddr 2001:db8:b::5 tcp dport 443 accept
   
       # Access from LAN and DMZ to HTTPS servers on the internet
       iifname { $LAN_DEV, $DMZ_DEV } oifname $INET_DEV tcp dport 443 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop FWD: "
     }
   
   
     # Postrouting chain to handle SNAT
     chain postrouting {
       type nat hook postrouting priority srcnat; policy accept;
   
       # SNAT for IPv4 traffic from LAN to internet
       iifname $LAN_DEV oifname $INET_DEV snat ip to 203.0.113.1
     }
   }

2. 在 /etc/sysconfig/nftables.conf 文件中包括 /etc/nftables/firewall.nft 脚本：

   include "/etc/nftables/firewall.nft"

3. 启用 IPv4 转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

4. 启用并启动 nftables 服务：

   # systemctl enable --now nftables

验证

1. 可选：验证 nftables 规则集：

   # nft list ruleset
   ...

2. 尝试执行防火墙阻止的访问。例如，尝试使用 SSH 从 DMZ 访问路由器：

   # ssh router.example.com
   ssh: connect to host router.example.com port 22: Network is unreachable

3. 根据您的日志记录设置，搜索：

   • 阻塞的数据包的 systemd 日志：

     # journalctl -k -g "nft drop"
     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

   • 阻塞的数据包的 /var/log/nftables.log 文件：

     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

流程

1. 创建带有 inet 地址系列的 filter 表：

   # nft add table inet filter

2. 将 input 链添加到 inet filter 表中：

   # nft add chain inet filter input { type filter hook input priority 0 \; }

3. 为 IPv4 地址创建动态集合：

   # nft add set inet filter limit-ssh { type ipv4_addr\; flags dynamic \;}

4. 在 input 链中添加一条规则，该规则只允许从 IPv4 地址到 SSH 端口(22)的两个同时的传入连接，并拒绝来自同一 IP 的所有进一步的连接：

   # nft add rule inet filter input tcp dport ssh ct state new add @limit-ssh { ip saddr ct count over 2 } counter reject

验证

1. 建立从同一 IP 地址到主机的两个以上的同时的 SSH 连接。如果已经建立了两个连接，则 nftables 会拒绝到 SSH 端口的连接。

2. 显示 limit-ssh 动态集：

   # nft list set inet filter limit-ssh
   table inet filter {
     set limit-ssh {
       type ipv4_addr
       size 65535
       flags dynamic
       elements = { 192.0.2.1 ct count over 2 , 192.0.2.2 ct count over 2 }
     }
   }

   elements 条目显示当前与该规则匹配的地址。在本例中，elements 列出了与 SSH 端口有活动连接的 IP 地址。请注意，输出不会显示活跃连接的数量，或者连接是否被拒绝。

流程

1. 创建具有 ip 地址系列的 filter 表：

   # nft add table ip filter

2. 向 filter 表中添加 input 链：

   # nft add chain ip filter input { type filter hook input priority 0 \; }

3. 在 filter 表中添加一个名为 denylist 的集合：

   # nft add set ip filter denylist { type ipv4_addr \; flags dynamic, timeout \; timeout 5m \; }

   这个命令为 IPv4 地址创建动态设置。timeout 5m 参数定义 nftables 在五分钟后自动删除条目，以防止集合被过时的条目填满。

4. 添加一条规则，该规则将在一分钟内试图建立十多个新 TCP 连接的主机源 IP 地址添加到 denylist 集中：

   # nft add rule ip filter input ip protocol tcp ct state new, untracked add @denylist { ip saddr limit rate over 10/minute } drop

流程

1. 向链中添加一条带有 counter 参数的新规则。以下示例添加一个带有计数器的规则，它允许端口 22 上的 TCP 流量，并计算与这个规则匹配的数据包和网络数据的数量：

   # nft add rule inet example_table example_chain tcp dport 22 counter accept

2. 显示计数器值：

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

流程

1. 在链中显示规则及其句柄：

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. 通过使用 counter 参数替换规则来添加计数器。以下示例替换了上一步中显示的规则并添加计数器：

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 counter accept

3. 显示计数器值：

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

流程

1. 在链中显示规则及其句柄：

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. 通过使用 meta nftrace set 1 参数替换规则来添加追踪功能。以下示例替换了上一步中显示的规则并启用追踪：

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 meta nftrace set 1 accept

3. 使用 nft monitor 命令来显示追踪。以下示例过滤了命令的输出，来只显示包含 inet example_table example_chain 的条目：

   # nft monitor | grep "inet example_table example_chain"
   trace id 3c5eb15e inet example_table example_chain packet: iif "enp1s0" ether saddr 52:54:00:17:ff:e4 ether daddr 52:54:00:72:2f:6e ip saddr 192.0.2.1 ip daddr 192.0.2.2 ip dscp cs0 ip ecn not-ect ip ttl 64 ip id 49710 ip protocol tcp ip length 60 tcp sport 56728 tcp dport ssh tcp flags == syn tcp window 64240
   trace id 3c5eb15e inet example_table example_chain rule tcp dport ssh nftrace set 1 accept (verdict accept)
   ...

   警告

   根据启用了追踪的规则数量以及匹配流量的数量，nft monitor 命令可以显示很多输出。使用 grep 或其他工具来过滤输出。

流程

1. 将 iptables 和 ip6tables 规则写入一个文件：

   # iptables-save >/root/iptables.dump
   # ip6tables-save >/root/ip6tables.dump

2. 将转储文件转换为 nftables 指令：

   # iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft
   # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft

3. 检查，如果需要，手动更新生成的 nftables 规则。

4. 要启用 nftables 服务来加载生成的文件，请在 /etc/sysconfig/nftables.conf 文件中添加以下内容：

   include "/etc/nftables/ruleset-migrated-from-iptables.nft"
   include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"

5. 停止并禁用 iptables 服务：

   # systemctl disable --now iptables

   如果您使用自定义脚本加载 iptables 规则，请确保脚本不再自动启动并重新引导以刷新所有表。

6. 启用并启动 nftables 服务：

   # systemctl enable --now nftables

先决条件

1. 创建一个新区：

   # firewall-cmd --permanent --new-zone=example-zone

2. 为具有 --set-priority 的 example-zone 区域设置一个通用区域优先级值：

   # firewall-cmd --permanent --zone example-zone --set-priority -10

   通过设置较低的值来确保较高的优先级。这确保为这个区域中两个流量类型配置的所有操作都将优先于其他区域中的操作。

3. 将永久配置应用到运行时：

   # firewall-cmd --reload

流程

1. 创建一个新区：

   # firewall-cmd --permanent --new-zone=example-zone

2. 为具有 --set-ingress-priority 的 example-zone 区域中的 ingress 流量设置区域优先级值：

   # firewall-cmd --permanent --zone example-zone --set-ingress-priority -10

3. 为具有 --set-egress-priority 的 example-zone 中的 egress 流量设置区域优先级值：

   # firewall-cmd --permanent --zone example-zone --set-egress-priority 100

4. 将永久配置应用到运行时：

   # firewall-cmd --reload

流程

1. 输入以下命令来启动对内核 accept 队列的追踪：

   # /usr/share/bcc/tools/tcpaccept
   PID   COMM      IP RADDR         RPORT  LADDR    LPORT
   843   sshd      4  192.0.2.17    50598  192.0.2.1  22
   1107  ns-slapd  4  198.51.100.6  38772  192.0.2.1  389
   1107  ns-slapd  4  203.0.113.85  38774  192.0.2.1  389
   ...

   每次内核接受一个连接时，tcpaccept 都会显示连接的详情。

   详情请查看您系统上的 tcpaccept (8) 手册页和 /usr/share/bcc/tools/doc/tcpaccept_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 输入以下命令启动显示所有传出连接的追踪过程：

   # /usr/share/bcc/tools/tcpconnect
   PID    COMM         IP SADDR      DADDR          DPORT
   31346  curl         4  192.0.2.1  198.51.100.16  80
   31348  telnet       4  192.0.2.1  203.0.113.231  23
   31361  isc-worker00 4  192.0.2.1  192.0.2.254    53
   ...

   每次内核处理一个出去的连接时，tcpconnect 都会显示连接的详情。

   详情请查看您系统上的 tcpconnect (8) 手册页和 /usr/share/bcc/tools/doc/tcpconnect_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 开始测量出站连接的延迟：

   # /usr/share/bcc/tools/tcpconnlat
   PID    COMM         IP SADDR      DADDR          DPORT LAT(ms)
   32151  isc-worker00 4  192.0.2.1  192.0.2.254    53    0.60
   32155  ssh          4  192.0.2.1  203.0.113.190  22    26.34
   32319  curl         4  192.0.2.1  198.51.100.59  443   188.96
   ...

   每次内核处理一个出去的连接时，tcpconnlat 都会在内核接收响应数据包后显示连接的详细信息。

   详情请查看您系统上的 tcpconnlat (8) 手册页和 /usr/share/bcc/tools/doc/tcpconnlat_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 输入以下命令来显示丢弃 TCP 数据包和片段详情：

   # /usr/share/bcc/tools/tcpdrop
   TIME     PID    IP SADDR:SPORT       > DADDR:DPORT   STATE (FLAGS)
   13:28:39 32253  4  192.0.2.85:51616  > 192.0.2.1:22  CLOSE_WAIT (FIN|ACK)
   	b'tcp_drop+0x1'
   	b'tcp_data_queue+0x2b9'
   	...
   
   13:28:39 1      4  192.0.2.85:51616  > 192.0.2.1:22   CLOSE (ACK)
   	b'tcp_drop+0x1'
   	b'tcp_rcv_state_process+0xe2'
   	...

   每次内核丢弃 TCP 数据包和段时，tcpdrop 都会显示连接的详情，包括导致软件包丢弃的内核堆栈追踪。

   详情请查看您系统上的 tcpdrop (8) 手册页和 /usr/share/bcc/tools/doc/tcpdrop_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 输入以下命令来开始追踪到本地端口 22 的连接：

   # /usr/share/bcc/tools/tcplife -L 22
   PID   COMM    LADDR      LPORT RADDR       RPORT TX_KB  RX_KB      MS
   19392 sshd    192.0.2.1  22    192.0.2.17  43892    53     52 6681.95
   19431 sshd    192.0.2.1  22    192.0.2.245 43902    81 249381 7585.09
   19487 sshd    192.0.2.1  22    192.0.2.121 43970  6998     7 16740.35
   ...

   每次关闭连接时，tcplife 都会显示连接的详情。

   详情请查看您系统上的 tcplife (8) 手册页和 /usr/share/bcc/tools/doc/tcplife_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 使用以下命令来显示 TCP 重新传输详情：

   # /usr/share/bcc/tools/tcpretrans
   TIME     PID  IP LADDR:LPORT   T> RADDR:RPORT         STATE
   00:23:02 0    4  192.0.2.1:22  R> 198.51.100.0:26788  ESTABLISHED
   00:23:02 0    4  192.0.2.1:22  R> 198.51.100.0:26788  ESTABLISHED
   00:45:43 0    4  192.0.2.1:22  R> 198.51.100.0:17634  ESTABLISHED
   ...

   每次内核调用 TCP 重新传输函数时，tcpretrans 都会显示连接的详情。

   详情请查看您系统上的 tcpretrans (8) 手册页和 /usr/share/bcc/tools/doc/tcpretrans_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 使用以下命令开始追踪 TCP 状态变化：

   # /usr/share/bcc/tools/tcpstates
   SKADDR           C-PID C-COMM     LADDR     LPORT RADDR       RPORT OLDSTATE    -> NEWSTATE    MS
   ffff9cd377b3af80 0     swapper/1  0.0.0.0   22    0.0.0.0     0     LISTEN      -> SYN_RECV    0.000
   ffff9cd377b3af80 0     swapper/1  192.0.2.1 22    192.0.2.45  53152 SYN_RECV    -> ESTABLISHED 0.067
   ffff9cd377b3af80 818   sssd_nss   192.0.2.1 22    192.0.2.45  53152 ESTABLISHED -> CLOSE_WAIT  65636.773
   ffff9cd377b3af80 1432  sshd       192.0.2.1 22    192.0.2.45  53152 CLOSE_WAIT  -> LAST_ACK    24.409
   ffff9cd377b3af80 1267  pulseaudio 192.0.2.1 22    192.0.2.45  53152 LAST_ACK    -> CLOSE       0.376
   ...

   每次连接改变其状态时，tcpstates 都会显示一个新行，其中包含更新的连接详情。

   如果多个连接同时改变了其状态，请使用第一列中的套接字地址(SKADDR)来确定哪些条目属于同一个连接。

   详情请查看您系统上的 tcpstates (8) 手册页和 /usr/share/bcc/tools/doc/tcpstates_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 开始监控发送到 192.0.2.0/24、198.51.100.0/24 和其他子网的流量数：

   # /usr/share/bcc/tools/tcpsubnet 192.0.2.0/24,198.51.100.0/24,0.0.0.0/0
   Tracing... Output every 1 secs. Hit Ctrl-C to end
   [02/21/20 10:04:50]
   192.0.2.0/24           856
   198.51.100.0/24       7467
   [02/21/20 10:04:51]
   192.0.2.0/24          1200
   198.51.100.0/24       8763
   0.0.0.0/0              673
   ...

   这个命令以字节为单位显示指定子网每秒一次的流量。

   详情请查看您系统上的 tcpsubnet (8) 手册页和 /usr/share/bcc/tools/doc/tcpsubnet.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 要监控发送和接收的流量，请输入：

   # /usr/share/bcc/tools/tcptop
   13:46:29 loadavg: 0.10 0.03 0.01 1/215 3875
   
   PID    COMM         LADDR           RADDR              RX_KB   TX_KB
   3853   3853         192.0.2.1:22    192.0.2.165:41838  32     102626
   1285   sshd         192.0.2.1:22    192.0.2.45:39240   0           0
   ...

   命令的输出只包括活跃的 TCP 连接。如果本地或者远程系统关闭了连接，则该连接在输出中不再可见。

   详情请查看您系统上的 tcptop (8) 手册页和 /usr/share/bcc/tools/doc/tcptop.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 使用以下命令启动追踪过程：

   # /usr/share/bcc/tools/tcptracer
   Tracing TCP established connections. Ctrl-C to end.
   T  PID    COMM        IP SADDR        DADDR       SPORT  DPORT
   A  1088   ns-slapd    4  192.0.2.153  192.0.2.1   0      65535
   A  845    sshd        4  192.0.2.1    192.0.2.67  22     42302
   X  4502   sshd        4  192.0.2.1    192.0.2.67  22     42302
   ...

   每当内核连接、接受或关闭连接时，tcptracer 都会显示连接的详情。

   详情请查看您系统上的 tcptracer (8) 手册页和 /usr/share/bcc/tools/doc/tcptracer_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 输入以下命令启动显示所有监听 TCP 尝试的追踪过程：

   # /usr/share/bcc/tools/solisten
   PID    COMM           PROTO         BACKLOG     PORT     ADDR
   3643   nc             TCPv4         1           4242     0.0.0.0
   3659   nc             TCPv6         1           4242     2001:db8:1::1
   4221   redis-server   TCPv6         128         6379     ::
   4221   redis-server   TCPv4         128         6379     0.0.0.0
   ....

   详情请查看您系统上的 solisten (9) 手册页和 /usr/share/bcc/tools/doc/solisten_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 输入以下命令启动追踪 soft irq 事件时间：

   # /usr/share/bcc/tools/softirqs
   Tracing soft irq event time... Hit Ctrl-C to end.
   ^C
   SOFTIRQ          TOTAL_usecs
   tasklet                  166
   block                   9152
   net_rx                 12829
   rcu                    53140
   sched                 182360
   timer                 306256

   详情请查看您系统上的 softirqs (8) 和 mpstat (1) 手册页以及 /usr/share/bcc/tools/doc/softirqs_example.txt 文件。

2. 按 Ctrl+C 停止追踪过程。

流程

1. 显示 2 秒时间间隔的字节大小范围内的数据包数：

   # /usr/share/bcc/tools/netqtop -n enp1s0 -i 2
   
   Fri Jan 31 18:08:55 2023
   TX
    QueueID	avg_size   [0, 64)	[64, 512)  [512, 2K)  [2K, 16K)  [16K, 64K)
    0      	0      	0      	0      	0      	0      	0
    Total  	0      	0      	0      	0      	0      	0
   
   RX
    QueueID	avg_size   [0, 64)	[64, 512)  [512, 2K)  [2K, 16K)  [16K, 64K)
    0      	38.0   	1      	0      	0      	0      	0
    Total  	38.0   	1      	0      	0      	0      	0
   -----------------------------------------------------------------------------
   Fri Jan 31 18:08:57 2023
   TX
    QueueID	avg_size   [0, 64)	[64, 512)  [512, 2K)  [2K, 16K)  [16K, 64K)
    0      	0      	0      	0      	0      	0      	0
    Total  	0      	0      	0      	0      	0      	0
   
   RX
    QueueID	avg_size   [0, 64)	[64, 512)  [512, 2K)  [2K, 16K)  [16K, 64K)
    0      	38.0   	1      	0      	0      	0      	0
    Total  	38.0   	1      	0      	0      	0      	0
   -----------------------------------------------------------------------------

   详情请查看您系统上的 netqtop (8) 手册页和 /usr/share/bcc/tools/doc/netqtop_example.txt 文件。

2. 按 Ctrl+C 来停止 netqtop。

流程

1. 加载 xdp-filter 来处理特定接口上传入的数据包，如 enp1s0 ：

   # xdp-filter load enp1s0

   默认情况下，xdp-filter 使用 allow 策略，并且工具只丢弃与任何规则匹配的流量。

   （可选）使用 -f <feature> 选项只启用特定的功能，如 tcp、ipv4 或 ethernet。仅加载所需的功能而不是全部功能，可以提高数据包处理的速度。要启用多个功能，使用逗号分隔它们。

   如果该命令出错，则网络驱动程序不支持 XDP 程序。

2. 添加规则来丢弃与它们匹配的数据包。例如：

   • 要将传入数据包放到端口 22，请输入：

     # xdp-filter port 22

     这个命令添加一个匹配 TCP 和 UDP 流量的规则。要只匹配特定的协议，请使用 -p protocol 选项。

   • 要丢弃来自 192.0.2.1 的传入数据包，请输入：

     # xdp-filter ip 192.0.2.1 -m src

     请注意，xdp-filter 不支持 IP 范围。

   • 要丢弃来自 MAC 地址 00:53:00:AA:07:BE 的传入数据包，请输入：

     # xdp-filter ether 00:53:00:AA:07:BE -m src

流程

1. 加载 xdp-filter 来处理特定接口上的数据包，如 enp1s0 ：

   # xdp-filter load enp1s0 -p deny

   （可选）使用 -f <feature> 选项只启用特定的功能，如 tcp、ipv4 或 ethernet。仅加载所需的功能而不是全部功能，可以提高数据包处理的速度。要启用多个功能，使用逗号分隔它们。

   如果该命令出错，则网络驱动程序不支持 XDP 程序。

2. 添加规则以允许匹配它们的数据包。例如：

   • 要允许数据包发送端口 22 ，请输入：

     # xdp-filter port 22

     这个命令添加一个匹配 TCP 和 UDP 流量的规则。要只匹配特定的协议，请将 -p protocol 选项传给命令。

   • 要允许数据包发送到 192.0.2.1 ，请输入：

     # xdp-filter ip 192.0.2.1

     请注意，xdp-filter 不支持 IP 范围。

   • 要允许数据包发送到 MAC 地址 00:53:00:AA:07:BE ，请输入：

     # xdp-filter ether 00:53:00:AA:07:BE

   重要

   xdp-filter 工具不支持有状态数据包检查。这要求您不使用 -m mode 选项设置模式，或者您添加显式规则来允许机器接收传入流量来作为对传出流量的答复。