16、网络流量过滤系统详解

网络流量过滤系统详解

1. 网络流量过滤基础

在网络流量过滤中，有一个特定示例， clean-traffic 网络流量过滤器会使用 IP 地址参数 10.0.0.1 进行实例化，并且强制规定从该接口发出的流量始终使用 10.0.0.1 作为源 IP 地址，这也是该过滤器的目的之一。

过滤规则是组织在过滤链中的。这些链可以被看作是具有树状结构，其中数据包过滤规则作为各个链（分支）中的条目。数据包从根链开始进行过滤评估，然后可以继续在其他链中进行评估，也可以从这些链返回到根链，或者被遍历的链中的某个过滤规则丢弃或接受。

libvirt 的网络过滤系统会自动为每个用户选择启用流量过滤的虚拟机网络接口创建单独的根链。用户可以编写过滤规则，这些规则可以直接在根链中实例化，也可以创建特定协议的过滤链，以便更高效地评估特定协议的规则。存在以下几种链：
- root
- mac（从 0.9.8 版本开始）
- stp（生成树协议，从 0.9.8 版本开始）
- vlan（802.1Q，从 0.9.8 版本开始）
- arp, rarp
- ipv4
- ipv6

从 0.9.8 版本开始，可以仅使用协议名称作为链名称的前缀来创建多个评估 mac 、 stp 、 vlan 、 arp 、 rarp 、 ipv4 和 ipv6 </