详解ipset使用方法及示例

GLNUQ • 2025-02-17 17:02 • 编程

一、ipset简介

ipset是Linux内核提供的一种高效的、支持大规模IP地址集合（包括IPv4和IPv6）管理的工具，可以实现快速的IP地址匹配、封禁、允许等功能。它主要用于防火墙、入侵检测系统等网络安全应用场景中。

ipset的设计初衷是为了解决iptables规则表过长、匹配效率低下等问题，它可以将大量的IP地址（比如黑名单、白名单等）以集合的形式存储在内核空间中，并提供标准的命令行接口供用户进行添加、删除、查看等操作。使用ipset可以大大减少iptables规则表的长度、加速匹配速度、方便管理等。

二、ipset的基本用法

在使用ipset之前，需要先安装ipset工具包，并加载ipset内核模块。

sudo apt-get install ipset
sudo modprobe ip_set
sudo modprobe ip_set_hash_ip

ipset支持多种类型的集合，比如hash:ip、hash:net、bitmap等，这里以hash:ip为例进行讲解。hash:ip类型的集合是一种哈希表，可以快速查找IP地址是否存在于集合中。

创建一个名为blacklist的ipset集合，集合类型为hash:ip：

sudo ipset create blacklist hash:ip

往blacklist集合中添加IP地址（比如1.2.3.4）：

sudo ipset add blacklist 1.2.3.4

检查IP地址是否在blacklist集合中：

sudo ipset test blacklist 1.2.3.4

从blacklist集合中删除IP地址：

sudo ipset del blacklist 1.2.3.4

列出所有的ipset集合：

sudo ipset list

三、ipset的高级用法

1. 使用ipset结合iptables实现黑名单/白名单

可以使用iptables规则结合ipset集合来实现黑名单/白名单功能。具体方法是，在iptables规则中引用ipset集合，并将匹配到的IP地址放入一个名为DROP或ACCEPT的链中。

例如，创建一个名为blacklist的ipset集合，集合类型为hash:ip，并在iptables中使用：

sudo ipset create blacklist hash:ip
sudo iptables -I INPUT -m set --match-set blacklist src -j DROP

这样，iptables匹配到blacklist集合中的IP地址时，会将其放入一个名为DROP的链中，实现封禁效果。

2. 使用ipset结合Logtail实现入侵检测

可以使用ipset集合结合Logtail工具实现入侵检测功能。具体方法是，在Logtail配置文件中加入对ipset集合的监控，并设置相应的处理策略。

例如，创建一个名为web_attack的ipset集合，并在Logtail配置文件中加入：

[Input]
file = /var/log/apache2/access.log

[Output]
module = ipset
name = web_attack
option = add

这样，Logtail在监测到web_attack集合中存在的IP地址时，会自动将其添加到web_attack集合中。

3. 使用ipset实现基于流量限制的QoS控制

可以使用ipset结合tc命令实现流量限制的QoS控制。具体方法是，使用ipset命令创建一个白名单集合和一个限制集合，使用tc命令配置相应的带宽控制策略。

例如，创建一个名为whitelist的ipset集合，用于存放白名单IP地址；创建一个名为limit的ipset集合，用于存放被限制的IP地址。然后，在tc命令中引用这两个集合，并设置相应的带宽控制策略。

sudo ipset create whitelist hash:ip
sudo ipset create limit hash:ip
sudo tc qdisc add dev eth0 root handle 1: htb
sudo tc class add dev eth0 parent 1: classid 1:1 htb rate 10mbit
sudo tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip src set whitelist flowid 1:1
sudo tc filter add dev eth0 protocol ip parent 1: prio 2 u32 match ip src set limit flowid 1:2
sudo tc class add dev eth0 parent 1: classid 1:2 htb rate 1mbit

这样，对于从eth0进入的流量，匹配到白名单的IP地址将受到10mbit的带宽限制，匹配到被限制的IP地址将受到1mbit的带宽限制。

四、结语

通过本文的介绍，我们了解了ipset的简介、基本用法和高级用法。ipset可以帮助我们管理大规模IP地址集合，提高防火墙、入侵检测系统等网络安全应用的效率和可靠性。

原创文章，作者：GLNUQ，如若转载，请注明出处：https://www.506064.com/n/351548.html