Uso de la función de agrupaciones de direcciones del filtro IP

Idioma:

Las agrupaciones de direcciones establecen una única referencia para un grupo de pares de direcciones/máscaras de red. Las agrupaciones de direcciones reducen el tiempo necesario para hacer coincidir las direcciones IP con las reglas. Asimismo, facilitan la administración de grupos de direcciones de gran tamaño.

Las reglas de configuración de agrupaciones de direcciones pueden residir en un archivo cargado por el servicio del filtro IP. Debe crear un archivo y definir su nombre de ruta como el valor de la propiedad config/ippool_config_file del servicio. El valor predeterminado es /etc/ipf/ippool.conf.

Configuración de agrupaciones de direcciones

Utilice la sintaxis siguiente para crear una agrupación de direcciones:

table role = role-name type = storage-format number = reference-number

table: Define la referencia para las diferentes direcciones.
role: Especifica el rol de la agrupación en el filtro IP. El único rol al que se puede hacer referencia es ipf.
type: Especifica el formato de almacenamiento de la agrupación.
number: Especifica el número de referencia que utiliza la regla de filtros.

Por ejemplo, para hacer referencia al grupo de direcciones 10.1.1.1 y 10.1.1.2 y la red 192.16.1.0 como número de agrupación 13, debe incluir la siguiente regla en el archivo de configuración de agrupaciones de direcciones:

table role = ipf type = tree number = 13 
{ 10.1.1.1/32, 10.1.1.2/32, 192.168.1.0/24 };

A continuación, para hacer referencia al número de agrupación 13 en una regla de filtros, debe estructurar la regla de un modo similar al siguiente:

pass in from pool/13 to any

Observe que debe cargar el archivo de agrupaciones antes de cargar el archivo de reglas que contiene una referencia a la agrupación. Si no lo hace, la agrupación no estará definida, como en el ejemplo siguiente:

# ipfstat -io
empty list for ipfilter(out)
block in from pool/13(!) to any

Aunque agregue la agrupación más adelante, no se actualizará el conjunto de reglas del núcleo. También necesita volver a cargar el archivo de reglas que hace referencia a la agrupación.

Para ver la gramática y la sintaxis completas, consulte la página de comando man ippool(4).