詳解ipset使用方法及示例

一、ipset簡介

ipset是Linux內核提供的一種高效的、支持大規模IP地址集合（包括IPv4和IPv6）管理的工具，可以實現快速的IP地址匹配、封禁、允許等功能。它主要用於防火牆、入侵檢測系統等網絡安全應用場景中。

ipset的設計初衷是為了解決iptables規則表過長、匹配效率低下等問題，它可以將大量的IP地址（比如黑名單、白名單等）以集合的形式存儲在內核空間中，並提供標準的命令行接口供用戶進行添加、刪除、查看等操作。使用ipset可以大大減少iptables規則表的長度、加速匹配速度、方便管理等。

二、ipset的基本用法

在使用ipset之前，需要先安裝ipset工具包，並加載ipset內核模塊。

sudo apt-get install ipset
sudo modprobe ip_set
sudo modprobe ip_set_hash_ip

ipset支持多種類型的集合，比如hash:ip、hash:net、bitmap等，這裡以hash:ip為例進行講解。hash:ip類型的集合是一種哈希表，可以快速查找IP地址是否存在於集合中。

創建一個名為blacklist的ipset集合，集合類型為hash:ip：

sudo ipset create blacklist hash:ip

往blacklist集合中添加IP地址（比如1.2.3.4）：

sudo ipset add blacklist 1.2.3.4

檢查IP地址是否在blacklist集合中：

sudo ipset test blacklist 1.2.3.4

從blacklist集合中刪除IP地址：

sudo ipset del blacklist 1.2.3.4

列出所有的ipset集合：

sudo ipset list

三、ipset的高級用法

1. 使用ipset結合iptables實現黑名單/白名單

可以使用iptables規則結合ipset集合來實現黑名單/白名單功能。具體方法是，在iptables規則中引用ipset集合，並將匹配到的IP地址放入一個名為DROP或ACCEPT的鏈中。

例如，創建一個名為blacklist的ipset集合，集合類型為hash:ip，並在iptables中使用：

sudo ipset create blacklist hash:ip
sudo iptables -I INPUT -m set --match-set blacklist src -j DROP

這樣，iptables匹配到blacklist集合中的IP地址時，會將其放入一個名為DROP的鏈中，實現封禁效果。

2. 使用ipset結合Logtail實現入侵檢測

可以使用ipset集合結合Logtail工具實現入侵檢測功能。具體方法是，在Logtail配置文件中加入對ipset集合的監控，並設置相應的處理策略。

例如，創建一個名為web_attack的ipset集合，並在Logtail配置文件中加入：

[Input]
file = /var/log/apache2/access.log

[Output]
module = ipset
name = web_attack
option = add

這樣，Logtail在監測到web_attack集合中存在的IP地址時，會自動將其添加到web_attack集合中。

3. 使用ipset實現基於流量限制的QoS控制

可以使用ipset結合tc命令實現流量限制的QoS控制。具體方法是，使用ipset命令創建一個白名單集合和一個限制集合，使用tc命令配置相應的帶寬控制策略。

例如，創建一個名為whitelist的ipset集合，用於存放白名單IP地址；創建一個名為limit的ipset集合，用於存放被限制的IP地址。然後，在tc命令中引用這兩個集合，並設置相應的帶寬控制策略。

sudo ipset create whitelist hash:ip
sudo ipset create limit hash:ip
sudo tc qdisc add dev eth0 root handle 1: htb
sudo tc class add dev eth0 parent 1: classid 1:1 htb rate 10mbit
sudo tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip src set whitelist flowid 1:1
sudo tc filter add dev eth0 protocol ip parent 1: prio 2 u32 match ip src set limit flowid 1:2
sudo tc class add dev eth0 parent 1: classid 1:2 htb rate 1mbit

這樣，對於從eth0進入的流量，匹配到白名單的IP地址將受到10mbit的帶寬限制，匹配到被限制的IP地址將受到1mbit的帶寬限制。

四、結語

通過本文的介紹，我們了解了ipset的簡介、基本用法和高級用法。ipset可以幫助我們管理大規模IP地址集合，提高防火牆、入侵檢測系統等網絡安全應用的效率和可靠性。