Red Hat Training

A Red Hat training course is available for RHEL 8

9.14. 丰富规则的优先级

默认情况下，富规则是根据其规则操作进行组织的。例如，deny 规则优先于 allow 规则。富规则中的 priority 参数可让管理员对富规则及其执行顺序进行精细的控制。在使用 priority 参数时，规则首先按优先级值排序。当更多规则 具有相同的优先级 时，其顺序由规则操作决定，如果操作也相同，则顺序可能未定义。

9.14.1. priority 参数如何将规则组织为不同的链

您可以将富规则中的 priority 参数设置为 -32768 和 32767 之间的任意数字，数字值具有更高的优先级。

firewalld 服务根据优先级值将规则组织到不同的链中：

  • 优先级低于 0：规则被重定向到带有 _pre 后缀的链中。
  • 优先级高于 0：规则被重定向到带有 _post 后缀的链中。
  • 优先级等于 0：根据操作，规则会被重定向到带有 _log、_deny 或 _allow 操作的链中。

在这些子链中，firewalld 根据其优先级值对规则进行排序。

9.14.2. 设置丰富的规则的优先级

以下是如何创建富规则的示例，该规则使用 priority 参数来记录其他规则不允许或拒绝的所有流量。您可以使用此规则标记意非预期的流量。

流程

  • 添加一个带有非常低优先级的丰富规则来记录未由其他规则匹配的所有流量： 

    # firewall-cmd --add-rich-rule='rule priority=32767 log prefix="UNEXPECTED: " limit value="5/m"'

    这个命令还将日志条目数量限制为每分钟 5 条。

验证

  • 显示命令在上一步中创建的 nftables 规则： 

    # nft list chain inet firewalld filter_IN_public_post
table inet firewalld {
  chain filter_IN_public_post {
    log prefix "UNEXPECTED: " limit rate 5/minute
  }
}