Centos7 | 防火墙(firewalld)使用ipset管理ip地址的集合

文章目录

  • 一、firewalld中ipset的用途
    • 1.1 用途
    • 1.2 注意与iptables所用的ipset命令的不同，
    • 1.3 配置详解
  • 二、firewalld中ipset的操作例子
    • 2.1 新建一个set
    • 2.2 在set中添加ip
    • 2.3 从set中删除ip
    • 2.4 删除一个set
    • 2.5 打印一个set的文件路径
    • 2.6 打印一个set的内容
    • 2.8 判断一个ip是否存在于set中?
    • 2.9 列出所有的ipsets
    • 2.10 得到所有的默认ipset类型
  • 三、firewalld中使用ipset
    • 3.1 把一个ipset加入到禁止的规则
    • 3.2 把ip地址中ipset中删除
  • 四、添加到ipset中的ip地址数据是否会重复
  • 五、使用脚本抓取有问题的ip加入到拒绝访问的ipset
  • 六、如何防止自己被误关在防火墙外?使用ip白名单
  • 七、查看firewalld的版本
  • 八、查看linux的版本

一、firewalld中ipset的用途

1.1 用途

ipset是ip地址的集合，firewalld使用ipset可以在一条规则中处理多个ip地址，执行效果更高对ip地址集合的管理也更方便

1.2 注意与iptables所用的ipset命令的不同，

不要混合使用firewall-cmd的ipset参数与linux平台上的ipset命令，避免引起冲突，firewalld的ipset会记录到/etc/firewalld/ipsets/目录下

1.3 配置详解

IPSet Options--get-ipset-types    打印支持的ipset类型--new-ipset=<ipset>  --类型= < ipset类型>[——选项= <关键>[= < >价值]]. .添加一个新的ipset--new-ipset-from-file=<filename> [--name=<ipset>]  从文件中添加一个新的ipset[可选名称]--delete-ipset=<ipset>  删除已存在的ipset [可选名称]--load-ipset-defaults=<ipset>  加载ipset默认设置[可选名称]--info-ipset=<ipset>打印关于ipset的信息[可选名称]--path-ipset=<ipset>打印ipset的文件路径[可选名称]--get-ipsets         打印预定义ipsets--ipset=<ipset> --set-description=<description>设置新的描述为ipset[可选名称]--ipset=<ipset> --get-description打印ipset的描述[可选名称]--ipset=<ipset> --set-short=<description>设置新的短描述为ipset[可选名称]--ipset=<ipset> --get-short打印ipset的简短描述[可选名称]--ipset=<ipset> --add-entry=<entry>向ipset中添加一个新条目[可选名称]--ipset=<ipset> --remove-entry=<entry>从ipset中删除一个条目[可选名称]--ipset=<ipset> --query-entry=<entry>返回ipset是否有条目--ipset=<ipset> --get-entries列出ipset的表项[可选名称]--ipset=<ipset> --add-entries-from-file=<entry>向ipset中添加新条目[可选名称]--ipset=<ipset> --remove-entries-from-file=<entry>从ipset中删除条目[可选名称]

二、firewalld中ipset的操作例子

2.1 新建一个set

–new-ipset=sshblock： 指定新ipset的名字为:sshblock

–type=hash:ip 指定类型为 hash:ip,这种形式不允许重复而且只有一个ip

[root@blog ipsets]# firewall-cmd --permanent --new-ipset=sshblock --type=hash:ip
success查看ipset文件是否已生成?
说明：默认的目录是:/etc/firewalld/ipsets
[root@blog ipsets]# more /etc/firewalld/ipsets/sshblock.xml
<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:ip">
</ipset>

2.2 在set中添加ip

[root@blog ipsets]# firewall-cmd --permanent --ipset=sshblock --add-entry=111.111.111.111
success查看添加ip的效果
[root@blog ipsets]# more /etc/firewalld/ipsets/sshblock.xml
<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:ip"><entry>111.111.111.111</entry>
</ipset>

2.3 从set中删除ip

[root@blog ipsets]# firewall-cmd --permanent --ipset=sshblock --remove-entry=111.111.111.111
success查看删除ip的效果
[root@blog ipsets]# more /etc/firewalld/ipsets/sshblock.xml
<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:ip">
</ipset>

2.4 删除一个set

[root@blog ipsets]# firewall-cmd --permanent --delete-ipset=sshblock
success查看sshblock这个set的配置文件是否还存在?
[root@blog ipsets]# more /etc/firewalld/ipsets/sshblock.xml
more: stat of /etc/firewalld/ipsets/sshblock.xml failed: No such file or directory

2.5 打印一个set的文件路径

[root@blog ipsets]# firewall-cmd --permanent --path-ipset=sshblock
/etc/firewalld/ipsets/sshblock.xml

2.6 打印一个set的内容

[root@blog ipsets]# firewall-cmd --permanent --info-ipset=sshblock
sshblocktype: hash:ipoptions:entries: 111.111.111.111

2.8 判断一个ip是否存在于set中?

[root@blog ipsets]# firewall-cmd --permanent --ipset=sshblock --query-entry=1.1.1.1
no
[root@blog ipsets]# firewall-cmd --permanent --ipset=sshblock --query-entry=111.111.111.111
yes

2.9 列出所有的ipsets

[root@blog ipsets]# firewall-cmd --permanent --get-ipsets
sshblock

2.10 得到所有的默认ipset类型

[root@blog ipsets]# firewall-cmd --get-ipset-types
hash:ip hash:ip,mark hash:ip,port hash:ip,port,ip hash:ip,port,net hash:mac
hash:net hash:net,iface hash:net,net hash:net,port hash:net,port,net

三、firewalld中使用ipset

3.1 把一个ipset加入到禁止的规则

[root@blog ipsets]# firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source ipset="sshblock" drop'
success查看xml中的记录:
[root@blog ipsets]# more /etc/firewalld/zones/public.xml
...<rule family="ipv4"><source ipset="sshblock"/><drop/></rule>
...使生效
[root@blog ipsets]# firewall-cmd --reload
success把禁止的规则删除
[root@blog ipsets]# firewall-cmd --permanent --remove-rich-rule 'rule family="ipv4" source ipset="sshblock" drop'
success查看xml中的记录（刚才的drop信息被去除了）:
[root@blog ipsets]# more /etc/firewalld/zones/public.xml
......使生效
[root@blog ipsets]# firewall-cmd --reload
success

3.2 把ip地址中ipset中删除

注意：没写入到磁盘

[root@blog ipsets]# firewall-cmd --ipset=sshblock --remove-entry=111.111.111.111
success
[root@blog ipsets]# firewall-cmd --ipset=sshblock --query-entry=111.111.111.111
no
[root@blog ipsets]# firewall-cmd --ipset=sshblock --get-entries可见已删除成功，如果想永久性的记录下来：写入到磁盘后 reload一次
[root@blog ipsets]# firewall-cmd --permanent --ipset=sshblock --remove-entry=111.111.111.111
success
[root@blog ipsets]# more /etc/firewalld/ipsets/sshblock.xml
<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:ip">
</ipset>
[root@blog ipsets]# firewall-cmd --reload
success

四、添加到ipset中的ip地址数据是否会重复

因为使用了hash类型，当ip重复时firewall-cmd会报错：

新建ipset
[root@blog ipsets]# firewall-cmd --permanent --new-ipset=sshblock --type=hash:ip
success
添加ip
[root@blog ipsets]# firewall-cmd --permanent --ipset=sshblock --add-entry=111.111.111.111
success查看文件
[root@blog ipsets]# more /etc/firewalld/ipsets/sshblock.xml
<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:ip"><entry>111.111.111.111</entry>
</ipset>再次添加ip
[root@blog ipsets]# firewall-cmd --permanent --ipset=sshblock --add-entry=111.111.111.111
Warning: ALREADY_ENABLED: 111.111.111.111
success查看文件:
[root@blog ipsets]# more /etc/firewalld/ipsets/sshblock.xml
<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:ip"><entry>111.111.111.111</entry>
</ipset>

没有出现重复的情况

五、使用脚本抓取有问题的ip加入到拒绝访问的ipset

常用的几类ip:

  1. 被firewalld防火墙reject的ip

  2. nginx日志中访问过于频率的ip

  3. secure日志中登录失败的ip

我们以secure日志中登录失败的ip为例：

先用命令抓取到登录失败的ip:

[root@blog log]# grep -i 'Failed password' /var/log/secure | awk '{print $11}' | sort -n | uniq -c | sort -k1nr | awk '{if ($1>5) print $2}'
...写一段脚本，放到crond中定时执行即可:
[root@blog ~]# vi ./addlogifailip2firewall.sh内容:
#!/bin/bash
for LINE in `grep -i 'Failed password' /var/log/secure | awk '{print $11}' | sort -n | uniq -c | sort -k1nr | awk '{if ($1>3) print $2}'`; doecho "${LINE}";firewall-cmd --permanent --ipset=sshblock --add-entry="${LINE}";
done;
firewall-cmd --reload;

六、如何防止自己被误关在防火墙外?使用ip白名单

把允许访问的ip加入到trusted区域:

[root@blog zones]# firewall-cmd --permanent --zone=trusted --add-source=111.111.111.111使生效:
[root@blog zones]# firewall-cmd --reload注意此处不要使用ipset,
使用ipset后，如果同一个ip也被加入了被拒绝的set,
则此ip还是会关到外面。
原因在于firewalld把规则转到nftables的处理机制，
它把set的处理合并到默认的public zone中去处理了.
大家可以用nft的命令验证 ：
[root@blog log]# nft list ruleset

七、查看firewalld的版本

[root@blog ~]# firewall-cmd --version
0.6.3

八、查看linux的版本

[root@blog ~]# cat /etc/redhat-release
CentOS Linux release 8.0.1905 (Core)

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若转载，请注明出处：http://www.pswp.cn/pingmian/91111.shtml
繁体地址，请注明出处：http://hk.pswp.cn/pingmian/91111.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Day06_C++编程

Day06_C++编程

01.思维导图02.将鸟笼放飞所有鸟类的题&#xff0c;改成观察者模式#include <iostream> #include <cstring> #include <cstdlib> #include <unistd.h> #include <sstream> #include <vector> #include <memory>//写一个鸟类:有一个多…
阅读更多...
【面试场景题】随机立减金额计算

【面试场景题】随机立减金额计算

文章目录背景设计思路方案结论高斯分布&#xff08;正态分布&#xff09;背景 某电商公司跟某银行有合作&#xff0c;推进银行信用卡办卡&流水&#xff0c;使用此银行信用卡用户&#xff0c;支付可以随机立减10&#xff5e;30元。其实公司每一笔都可获得30元支付立减金&…
阅读更多...
2025年湖北中级注册安全工程师报考那些事

2025年湖北中级注册安全工程师报考那些事

2025年湖北中级注册安全工程师报考那些事各位从事建筑安全的人员看过来&#xff0c;注册安全工程师是你们行业认可度较为高的证书。关于报考无论是安全相关专业跟不相关的专业都是可以报考的。只是年份要求不同。 本科&#xff1a;相关专业3年&#xff0c;不相关专业4年。 专科…
阅读更多...
Prometheus + Grafana + Micrometer 监控方案详解

Prometheus + Grafana + Micrometer 监控方案详解

这套组合是当前Java生态中最流行的监控解决方案之一&#xff0c;特别适合云原生环境下的微服务应用监控。下面我将从技术实现到最佳实践进行全面解析。 一、技术栈组成与协作 1. 组件分工组件角色关键能力Micrometer应用指标门面(Facade)统一指标采集API&#xff0c;对接多种监…
阅读更多...
实习小记（个人中心的编辑模块）

实习小记（个人中心的编辑模块）

实习小记&#xff08;个人中心的编辑模块&#xff09; 项目需要加一个个人中心的编辑模块&#xff0c;也是差不多搞了一天下来&#xff0c;其中遇到了很多问题&#xff0c;也是来记录、分享一下。 技术栈&#xff1a;React、antd、TypeScript 需求 点击编辑&#xff0c;弹出编…
阅读更多...
【7】串口编程三种模式（查询/中断/DMA）韦东山老师学习笔记（课程听不懂的话试着来看看我的学习笔记吧）

【7】串口编程三种模式（查询/中断/DMA）韦东山老师学习笔记（课程听不懂的话试着来看看我的学习笔记吧）

<1>前置概念补充在深入拆解三种模式前&#xff0c;先通过提供的 “函数对比表” 建立整体认知&#xff1a;这张表是串口收发的「武器库索引」&#xff0c;清晰标注了查询、中断、DMA 三种模式下&#xff0c;收发 / 回调函数的对应关系。后续会结合实际代码&#xff0c;讲…
阅读更多...
【Kubernetes 指南】基础入门——Kubernetes 201（二）

【Kubernetes 指南】基础入门——Kubernetes 201（二）

二、滚动升级- 滚动升级&#xff08;Rolling Update&#xff09;通过逐个容器替代升级的方式来实现无中断的服务升级&#xff1a;- 在滚动升级的过程中&#xff0c;如果发现了失败或者配置错误&#xff0c;还可以随时回滚&#xff1a;- 需要注意的是&#xff0c; kubectl rolli…
阅读更多...
网络资源模板--基于Android Studio 实现的图书商城App

网络资源模板--基于Android Studio 实现的图书商城App

目录 一、测试环境说明 二、项目简介 三、项目演示 四、部设计详情&#xff08;部分) 登录注册页 首页 五、项目源码 一、测试环境说明 电脑环境 Windows 11 编写语言 JAVA 开发软件 Android Studio (2020) 开发软件只要大于等于测试版本即可(近几年官网直接下载…
阅读更多...
JavaWeb 进阶：Vue.js 与 Spring Boot 全栈开发实战（Java 开发者视角）

JavaWeb 进阶：Vue.js 与 Spring Boot 全栈开发实战（Java 开发者视角）

作为一名 Java 开发工程师&#xff0c;当你掌握了 HTML、CSS 和 JavaScript 的基础后&#xff0c;是时候接触现代前端框架了。Vue.js 以其简洁的 API、渐进式的设计和优秀的中文文档&#xff0c;成为众多 Java 开发者入门前端框架的首选。Vue.js 让你能快速构建响应式、组件化的…
阅读更多...
智能体产品化的关键突破：企业智能化转型的“最后一公里”如何迈过？

智能体产品化的关键突破：企业智能化转型的“最后一公里”如何迈过？

智能体产品化的关键突破&#xff1a;企业智能化转型的“最后一公里”如何迈过&#xff1f; 在人工智能迅猛发展的当下&#xff0c;智能体&#xff08;Agent&#xff09;成为企业数字化转型的新引擎。无论是市场分析、客户服务&#xff0c;还是自动化办公&#xff0c;智能体都被…
阅读更多...
Rust × Elasticsearch官方 `elasticsearch` crate 上手指南

Rust × Elasticsearch官方 `elasticsearch` crate 上手指南

1 为什么选择官方 Rust 客户端&#xff1f; 语义化兼容&#xff1a;客户端 主版本 与 ES 主版本 严格对应&#xff0c;8.x 客户端可对接任何 8.x 服务器&#xff1b;不存在跨主版本兼容承诺 (docs.rs)100% API 覆盖&#xff1a;稳定 API 全量映射&#xff0c;Beta/实验特性可按…
阅读更多...
怎样画流程图？符号与流程解构教程

怎样画流程图？符号与流程解构教程

在数字化办公和项目管理日益复杂的当下&#xff0c;流程图早已不是工程师、项目经理的专属工具&#xff0c;它正快速成为每一位职场人提升表达效率、理清工作逻辑的利器。无论是软件开发中的流程规范、产品设计阶段的用户路径&#xff0c;还是企业内部的审批流程、团队协作机制…
阅读更多...
vue3 + vite || Vue3 + Webpack创建项目

vue3 + vite || Vue3 + Webpack创建项目

1.vue3 vite搭建项目方法 &#xff08;需要提前装node,js&#xff09; 1. 使用官方 create-vite 工具&#xff08;推荐&#xff09; 1.使用npm----------------------------- npm create vuelatest2.使用pnpm----------------------------- pnpm create vuelatest3.使用yarn--…
阅读更多...
Vue2-封装一个含所有表单控件且支持动态增减行列的表格组件

Vue2-封装一个含所有表单控件且支持动态增减行列的表格组件

效果1. 无编辑权限&#xff1a;显示普通表格2. 有编辑权限&#xff1a;根据配置显示编辑控件3. 可以动态新增行&#xff0c;也可以动态新增列 核心代码无权限情况的核心代码<!-- 无编辑权限时显示普通表格 --><el-tablev-if"!hasEditPermission"ref"ta…
阅读更多...
网络原理 - TCP/IP（一）

网络原理 - TCP/IP（一）

目录 1. 应用层&#xff1a;用户与网络的 “交互窗口” 1.1 应用层协议&#xff1a;规范交互的 “通用语言” 1.2 自定义协议&#xff1a;适配特殊需求的 “专属规则” 1.3 应用层数据格式&#xff1a;让数据 “说得明白” 1.3.1 XML&#xff1a;结构化但繁琐的 “老…
阅读更多...
Orange的运维学习日记--16.Linux时间管理

Orange的运维学习日记--16.Linux时间管理

Orange的运维学习日记–16. Linux时间管理 文章目录Orange的运维学习日记--16. Linux时间管理系统与硬件时钟时钟类型对比查看内核支持的时钟源本地时间调整使用 date 查看与设置一次性同步&#xff1a;ntpdate同步到硬件时钟&#xff1a;hwclock基于 systemd 的 timedatectl交…
阅读更多...
Git 与 GitHub 的对比与使用指南

Git 与 GitHub 的对比与使用指南

Git 与 GitHub 的对比与使用指南 在软件开发中&#xff0c;Git 和 GitHub 是两个密切相关但本质不同的工具。下面我将逐步解释它们的定义、区别、核心概念以及如何协同使用&#xff0c;确保内容真实可靠&#xff0c;基于广泛的技术实践。 1. 什么是 Git&#xff1f; Git 是一个…
阅读更多...
20250726-4-Kubernetes 网络-Service DNS名称解析_笔记

20250726-4-Kubernetes 网络-Service DNS名称解析_笔记

一、Service DNS名称 1. 例题:通信需求 通信场景：项目A中的Pod需要与项目B中的Pod进行通信，直接使用Pod IP不可行，因为Pod IP会随着Pod生命周期变化。 解决方案：通过Service提供的稳定IP地址进行通信，不受Pod重建、扩容/缩容等操作影响。 2. CoreDNS介绍  基本功能…
阅读更多...
vscode 登录ssh记住密码直接登录设置

vscode 登录ssh记住密码直接登录设置

第一种情况在系统已经生成密钥对的情况下&#xff1a;点击这里的设置第二步&#xff1a;第三步&#xff1a;没有填写的给填写一下第四步骤&#xff1a;保存后进入选择这个点开第五步&#xff1a;去Linux终端下输入这个命令就OK了echo "ssh-rsa内容" >> ~/.ssh/…
阅读更多...
Nginx 动静分离配置（详细版）

Nginx 动静分离配置（详细版）

本文介绍了Nginx 动静分离相关配置&#xff0c;主要包括了配置文件创建、配置示例、配置原理解析以及重新启用配置文件等等 本文目录1. 创建 Nginx 配置文件2. 配置示例3. 配置原理解析4. 启用配置文件并重新加载 Nginx1. 创建 Nginx 配置文件 在 /etc/nginx/sites-available …
阅读更多...
最新文章

Copyright @ 2022~2023