ipset和iptables笔记

前言

虽然redhat系中firewall非常简单易用，但是在acl量大情况下，iptables配合ipset使用仍然是更方便的工具
需要安装ipset和iptables-services（可用systemctl控制和/etc/sysconfig/iptables修改配置）

yum install -y ipset
yum install -y iptables-services

1 ipset

1.1 操作集合

1.1.1 创建

最简命令

ipset create blacklist hash:net

net对应网段，ip对应地址，元素以hash表形式存储
如果需要添加注释，则创建时必须允许

ipset create blacklist2 hash:net comment 

1.1.2 删除

ipset destroy blacklist 

1.1.3 重命名

ipset rename blacklist blacklist-1 

1.2 元素操作

1.2.1 添加

ipset add blacklist 192.168.1.1

1.2.2 查找

ipset test blacklist 192.168.1.1

1.2.3 删除

ipset del blacklist 192.168.1.1

1.2.4 清空

ipset flush blacklist

1.2.5 添加注释

ipset add blacklist 192.168.1.1 comment "注释"

2 iptables

在/etcsysconfig/iptables修改策略
限定源地址

iptables -I INPUT -m set --match-set blacklist src  -j DROP

修改后重启服务使配置生效，ipset添加元素无需重启iptables

systemctl restart iptables