3.2. 丢弃所有与 xdp-filter 规则匹配的网络数据包

流程

1. 加载 xdp-filter 来处理特定接口上的数据包，如 enp1s0 ：

   # xdp-filter load enp1s0 -p deny

   （可选）使用 -f feature 选项仅启用特定功能，如 tcp、ipv4 或 ethernet。仅加载所需的功能而不是全部功能，从而提高数据包处理的速度。要启用多个功能，使用逗号分隔它们。

   如果该命令出错，则网络驱动程序不支持 XDP 程序。

2. 添加规则以允许匹配它们的数据包。例如：

   • 要允许数据包发送端口 22 ，请输入：

     # xdp-filter port 22

     这个命令添加一个匹配 TCP 和 UDP 流量的规则。要只匹配特定的协议，请将 -p protocol 选项传给命令。

   • 要允许数据包发送到 192.0.2.1 ，请输入：

     # xdp-filter ip 192.0.2.1

     请注意，xdp-filter 不支持 IP 范围。

   • 要允许数据包发送到 MAC 地址 00:53:00:AA:07:BE ，请输入：

     # xdp-filter ether 00:53:00:AA:07:BE

   重要

   xdp-filter 工具不支持有状态数据包检查。这要求您不使用 -m mode 选项设置模式，或者您添加显式规则来允许机器接收传入流量来作为对传出流量的答复。