Linux之实战命令49：ipset应用实例(八十三)

简介： CSDN博客专家、《Android系统多媒体进阶实战》一书作者

新书发布：《Android系统多媒体进阶实战》🚀
优质专栏： Audio工程师进阶系列【原创干货持续更新中……】🚀
优质专栏： 多媒体系统工程师系列【原创干货持续更新中……】🚀
优质视频课程：AAOS车载系统+AOSP14系统攻城狮入门视频实战课 🚀

人生格言： 人生从来没有捷径，只有行动才是治疗恐惧和懒惰的唯一良药.

更多原创,欢迎关注：Android系统攻城狮

欢迎关注Android系统攻城狮

🍉🍉🍉文章目录🍉🍉🍉

🌻1.前言

本篇目的：Linux之实战命令49：ipset应用实例

🌻2. ipset命令介绍

ipset 是 Linux 中一个强大的工具，用于创建、维护和管理一组 IP 地址、网络端口和协议。这些集合（set）可以与防火墙规则（通常是 iptables 或 nftables）配合使用，从而高效地处理大量的 IP 地址或其他网络信息。与 iptables 逐条处理防火墙规则相比，ipset 可以大幅提升性能，因为它允许防火墙规则匹配整个集合，而不是一一比较每个单独的 IP 或端口。

1. 高效管理网络信息

ipset 的最大优势在于它的高效性和可扩展性，尤其适合处理大量的 IP 地址、网络或端口。当涉及到大量 IP 地址的匹配时，传统的防火墙规则通常会因为逐条匹配规则而导致性能下降。而 ipset 则允许用户将多个 IP 地址、子网或端口集中在一个集合中进行统一处理。这样可以大幅减少防火墙规则的数量，从而提高整体效率，尤其是在大规模网络环境中。

2. 支持多种类型的集合

ipset 支持多种不同类型的集合，包括 IP 地址、端口号、IP 地址和端口的组合、MAC 地址等。这使得 ipset 能够在不同的网络场景下灵活应用。常见的集合类型有存储单个 IP 地址的集合、存储 IP 范围的集合、存储 IP 地址与端口组合的集合等。通过支持这些不同类型的集合，ipset 提供了强大的灵活性，适用于各种复杂的网络防火墙需求。

3. 动态管理集合

ipset 允许动态地添加或删除集合中的元素，而无需重新加载整个防火墙规则。这意味着，管理员可以在运行时对防火墙配置进行修改，而不会中断现有的连接或影响性能。这种动态性对于处理实时变化的网络环境（如阻止恶意 IP、管理允许访问的 IP 列表等）非常有用。管理员可以在集合中快速添加或移除 IP 地址或端口，适应网络的动态变化。

4. 集合的持久化与自动化

ipset 允许创建持久化的集合，这意味着在系统重启后，这些集合和元素可以自动恢复。通常情况下，ipset 结合 iptables 或 nftables 使用，因此可以通过脚本自动化配置和管理 ipset 集合，并确保在系统启动时自动加载这些集合。这种持久化机制使得防火墙配置更加稳定可靠，特别是在需要长期维持复杂 IP 地址列表的场景中。

5. 与防火墙集成

ipset 设计上与 iptables 和 nftables 无缝集成。管理员可以在防火墙规则中引用 ipset 集合，从而简化防火墙规则的编写和管理。举例来说，代替为每个 IP 地址或端口编写单独的防火墙规则，管理员只需将这些信息放入 ipset 集合，然后在防火墙规则中一次性应用这些集合。这不仅减少了规则数量，也显著提高了规则处理的效率。

6. 性能优化

ipset 对于需要处理大量 IP 地址的防火墙配置是一个重要的优化工具。因为 ipset 允许对整个集合进行匹配操作，而不是逐条处理每个 IP 地址，因此可以显著降低防火墙规则的计算开销。特别是在需要对大量 IP 进行过滤的场景（如大型数据中心或防御大规模网络攻击）中，ipset 能够提高防火墙的性能，减少系统资源的占用。

7. 防御网络攻击

在网络安全中，ipset 可以用于高效地防御多种网络攻击，比如 DDoS 攻击、暴力破解等。通过将恶意 IP 地址或网络范围添加到 ipset 集合中，管理员可以快速阻断这些恶意流量，而无需编写大量的防火墙规则。ipset 的灵活性和高效性使得它成为管理大规模网络环境中安全策略的重要工具。

8. 集合类型和数据结构

ipset 的不同集合类型使用了高效的数据结构来存储信息，这些数据结构包括哈希表、位图、网段等。哈希表非常适合存储大量 IP 地址或端口，而位图则可用于存储连续的 IP 地址或端口范围。这些高效的数据结构保证了即使在处理大量数据时，ipset 也能保持较低的内存占用和快速的查询响应。

9. 适用场景

ipset 广泛用于需要管理大量 IP 地址、网络范围或端口的场景。它在数据中心、大规模服务器集群、防火墙设备等环境中特别有用，能够显著简化防火墙规则的编写和维护。在处理实时网络防御任务时，ipset 也能快速响应，添加或移除恶意 IP，增强系统的安全性和响应速度。

总结来说，ipset 是一个高效、灵活的工具，适用于需要处理大量 IP 地址、端口或网络范围的 Linux 防火墙配置。它与 iptables 和 nftables 集成良好，能够显著提高网络管理和防御的性能。通过高效的数据结构、动态管理和持久化机制，ipset 成为大型网络环境中不可或缺的安全管理工具。

🌻3. 代码实例

🐓3.1 创建 IP 集合

使用 ipset 创建一个集合是管理大量 IP 地址的基础步骤。例如，创建一个名为 blacklist 的集合，用于存储将被拒绝的 IP 地址：

sudo ipset create blacklist hash:ip

create：创建一个新集合。
blacklist：集合名称，可以根据需求自定义。
hash:ip：集合类型，这里使用 hash:ip，表示集合中的每一项是一个 IP 地址。

应用场景：当需要集中管理一组 IP 地址（如黑名单或白名单）时，可以通过 ipset 创建集合，避免重复配置每个 IP。

🐓3.2 向集合中添加或删除 IP 地址

向集合中添加或删除 IP 地址是常见的管理操作。例如，向刚才创建的 blacklist 集合中添加一个 IP 地址：

sudo ipset add blacklist 192.168.1.100

add：向集合中添加一项。
blacklist：目标集合的名称。
192.168.1.100：要添加的 IP 地址。

要删除集合中的某个 IP 地址，可以使用 del 命令：

sudo ipset del blacklist 192.168.1.100

应用场景：适用于动态添加或删除恶意 IP 地址，实时更新黑名单或白名单。

🐓3.3 在 iptables 中使用集合

创建好集合后，可以通过 iptables 将其引用到防火墙规则中。例如，使用 iptables 拒绝 blacklist 集合中的所有 IP 地址：

sudo iptables -A INPUT -m set --match-set blacklist src -j DROP

-A INPUT：将规则附加到输入链。
-m set：使用 ipset 模块。
–match-set blacklist src：匹配 blacklist 集合中的源 IP 地址。
-j DROP：拒绝这些 IP 的所有流量。

应用场景：当需要快速应用大量 IP 地址的规则时，可以将集合与 iptables 配合使用，提升防火墙效率。
其他有用的选项

list：列出集合中的所有项，例如：sudo ipset list blacklist。
flush：清空集合中的所有 IP 地址，例如：sudo ipset flush blacklist。
save/restore：保存或恢复集合的状态，例如：sudo ipset save > ipset-backup.txt 保存当前状态。