Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

5.12. 使用 firewalld设置和控制 IP 集

要查看 firewalld 支持的 IP 设置类型列表,以 root 用户身份输入以下命令。
~]# firewall-cmd --get-ipset-types
hash:ip hash:ip,mark hash:ip,port hash:ip,port,ip hash:ip,port,net hash:mac hash:net hash:net,iface hash:net,net hash:net,port hash:net,port,net

5.12.1. 使用命令行客户端配置 IP 设置选项

可以在 firewalld 区域中使用 IP 集作为源,也可以用作富规则的来源。在 Red Hat Enterprise Linux 7 中,首选的方法是在直接规则中使用通过 firewalld 创建的 IP 集。
要列出永久环境中 firewalld 已知的 IP 集,以 root 用户身份运行以下命令:
~]# firewall-cmd --permanent --get-ipsets
要添加新 IP 集,以 root 用户身份使用永久环境运行以下命令:
~]# firewall-cmd --permanent --new-ipset=test --type=hash:net
success
上一命令为 IPv4 创建了名称 testhash:net 类型的新 IP 设置。要创建用于 IPv6 的 IP 集,请添加 --option=family=inet6 选项。要使新设置在运行时环境中有效,请重新加载 firewalld。使用以下命令以 root 用户身份列出新 IP 设置:
~]# firewall-cmd --permanent --get-ipsets
test
要获取有关 IP 集的更多信息,以 root 用户身份运行以下命令:
~]# firewall-cmd --permanent --info-ipset=test
test
type: hash:net
options:
entries:
请注意,IP 集目前没有任何条目。要在 test IP 集中添加一个条目,以 root 用户身份运行以下命令:
~]# firewall-cmd --permanent --ipset=test --add-entry=192.168.0.1
success
以上命令将 IP 地址 192.168.0.1 添加到 IP 集合中。要获取 IP 集合中当前条目列表,以 root 用户身份运行以下命令:
~]# firewall-cmd --permanent --ipset=test --get-entries
192.168.0.1
生成包含 IP 地址列表的文件,例如:
~]# cat > iplist.txt <<EOL
192.168.0.2
192.168.0.3
192.168.1.0/24
192.168.2.254
EOL
包含 IP 集合 IP 地址列表的文件应该每行包含一个条目。以 hash、分号或空行开头的行将被忽略。
要添加 iplist.txt 文件中的地址,以 root 用户身份运行以下命令:
~]# firewall-cmd --permanent --ipset=test --add-entries-from-file=iplist.txt
success
要查看 IP 集合的扩展条目列表,以 root 用户身份运行以下命令:
~]# firewall-cmd --permanent --ipset=test --get-entries
192.168.0.1
192.168.0.2
192.168.0.3
192.168.1.0/24
192.168.2.254
要从 IP 集合中删除地址并检查更新的条目列表,以 root 用户身份运行以下命令:
~]# firewall-cmd --permanent --ipset=test --remove-entries-from-file=iplist.txt
success
~]# firewall-cmd --permanent --ipset=test --get-entries 192.168.0.1
您可以将 IP 集合作为一个源添加到区,以便处理所有来自 IP 集合中列出的任意地址的网络流量。例如,要将 test IP 集作为源添加到 drop 区域,以丢弃来自测试 IP 集合中列出的所有条目的所有数据包,以 root 用户身份运行以下命令
~]# firewall-cmd --permanent --zone=drop --add-source=ipset:test
success
源中的 ipset: 前缀显示 firewalld 表明源是 IP 集,而不是 IP 地址或地址范围。
只有 IP 集的创建和删除仅限于永久环境,所有其他 IP 设置选项也可以在运行时环境中使用,而无需 --permanent 选项。