Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

17.14.11.4. 预先存在的网络过滤器

以下是使用 libvirt 自动安装的示例网络过滤器：

表 17.15. ICMPv6 协议类型

协议名称 描述
allow-arp 可接受到客户机虚拟机的所有传入和出站地址解析协议(ARP)流量。
no-arp-spoofing,no-arp-mac-spoofing , 和 no-arp-ip-spoofing 这些过滤器可防止客户机虚拟机欺骗 ARP 流量。另外，它们仅允许 ARP 请求和回复消息，并强制这些数据包包含：
  • no-arp-spoofing - 客户机的 MAC 和 IP 地址
  • no-arp-mac-spoofing - 客户端的 MAC 地址
  • no-arp-ip-spoofing - 客户端的 IP 地址
low-dhcp 允许客户机虚拟机通过 DHCP 请求 IP 地址（来自任何 DHCP 服务器）。
low-dhcp-server 允许客户机虚拟机从指定的 DHCP 服务器请求 IP 地址。DHCP 服务器的十进制 IP 地址必须在对此过滤器的引用中提供。变量的名称必须是 DHCPSERVER。
low-ipv4 接受虚拟机的所有传入和传出 IPv4 流量。
low-incoming-ipv4 仅接受虚拟机的传入 IPv4 流量。此过滤器是 clean-traffic 过滤器的一部分。
no-ip-spoofing 防止客户机虚拟机发送源 IP 地址与数据包内不同的 IP 地址的 IP 数据包。此过滤器是 clean-traffic 过滤器的一部分。
no-ip-multicast 防止客户机虚拟机发送 IP 多播数据包。
no-mac-broadcast 防止将 IPv4 传出流量到指定的 MAC 地址。此过滤器是 clean-traffic 过滤器的一部分。
no-other-l2-traffic 防止除由网络使用的其他过滤器指定的流量之外的所有第 2 层网络流量。此过滤器是 clean-traffic 过滤器的一部分。
no-other-rarp-traffic,qemu-announce-self,qemu-announce-self-rarp 这些过滤器允许 QEMU 自助式地址解析协议(RARP)数据包，但阻止所有其他 RARP 流量。它们也包含在 clean-traffic 过滤器中。
clean-traffic 防止 MAC、IP 和 ARP 欺骗。此过滤器将其他几个过滤器作为构建块引用。
这些过滤器只是构建块，需要与其他过滤器结合使用来提供有用的网络流量过滤。上方列表中最常用的一个是 clean-traffic 过滤器。例如，此过滤器本身可以与 no-ip-multicast 过滤器相结合，以防止虚拟机在数据包欺骗之上发送 IP 多播流量。