1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
| Options:
-!, -exist 忽略错误提示,如创建了相同的集合名称,添加了重复IP等
-o, -output { plain | save | xml } 指定集合显示格式,list命令默认为plain格式显示,save命令默认为save格式
-q, -quiet 静默模式
-r, -resolve 反向解析IP地址为主机名
-s, -sorted 自动排序显示
-n, -name 只显示集合名称
-t, -terse 显示集合名称和头部信息,不显示IP成员列表
-f, -file filename 指定文件名称,使用list或save命令时为保存到文件,使用restore命令时为读取文件
Commands:
create SETNAME TYPENAME [ CREATE-OPTIONS ] 创建集合,create可简写为n
add SETNAME ENTRY [ ADD-OPTIONS ] 添加条目
del SETNAME ENTRY 删除条目
test SETNAME ENTRY 测试条目是否存在
destroy [SETNAME] 删除指定集合或全部集合,可简写为x
list [SETNAME] 显示指定集合或全部集合信息
save [SETNAME] 保存指定集合或全部集合
restore 恢复已保存的集合
flush [SETNAME] 清空指定集合或全部集合
rename FROM-SETNAME TO-SETNAME 重命名集合,可简写为e
swap FROM-SETNAME TO-SETNAME 互换两个集合内容
quit 退出交互模式
- 进入交互模式
Supported set types:
list:set 3 skbinfo support
list:set 2 comment support
hash:mac 0 Initial revision
hash:ip,mac 0 Initial revision
hash:net,iface 6 skbinfo support
hash:net,port 7 skbinfo support
hash:net,port 6 forceadd support
...
Set type syntax:
TYPENAME := method:datatype[,datatype[,datatype]]
method: bitmap, hash, and list
datatype: ip, net, mac, port and iface
create and add command options:
timeout 此参数对所有类型集有效,指定超时参数,超时后自动删除条目,create命令的timeout参数值表示新条目的默认超时值,add命令可以指定非默认超时值
如果timeout参数值为0表示永久有效,可以使用-exist选项重新添加元素并修改超时值,最大超时值为2147483,单位秒
ipset create myset hash:ip timeout 300
ipset add myset 192.168.10.1 timeout 60
ipset -exist add myset 192.168.10.1 timeout 600
comment 此参数对所有类型集有效,添加注释,注释用单引号或双引号括起来,注释内容中不能包含相同的引号,因为使用\无法转义
ipset create myset hash:ip comment
ipset add myset 192.168.10.1 comment "a b"
ipset add myset 192.168.10.1 comment "a b\"c" # 错误注释
counters, packets, bytes 此参数对所有类型集有效,指定数据包和字节数计数器
ipset create myset hash:ip counters
ipset add myset 192.168.10.1 packets 42 bytes 1024
hashsize 此参数对所有哈希类型集的create命令有效,定义了集合的初始哈希大小,默认是1024
ipset create myset hash:ip hashsize 4096
maxelem 此参数对所有哈希类型集的create命令有效,定义了可以存储在集合中的最大元素数,默认为65536
ipset create myset hash:ip maxelem 2048
family { inet | inet6 }
此参数对除了hash:mac之外的所有哈希类型集的create命令有效,定义了要存储在集合中的IP地址的协议族,默认值为inet,即IPv4
对于inet,可以通过在条目的IP地址部分指定IPv4地址的范围或网络来添加或删除多个条目
ipset create myset hash:ip family inet6
nomatch 可以存储网络类型数据的哈希集类型(即hash:*net*)在添加条目时支持可选的nomatch选项,无需在create时指定nomatch选项
当匹配集合中的元素时,标记为nomatch的条目会被跳过,可用于排除匹配网段中的指定IP或子网
ipset create myset hash:net
ipset add myset 192.168.10.0/24
ipset add myset 192.168.10.0/30 nomatch
forceadd 此参数对所有哈希类型集的create命令有效,当使用此选项创建的集合已满时,可以强制追加到集合,但会从集合中随机删除一个条目
ipset create myset hash:ip forceadd
add命令选项依赖create命令选项,即必须在create时添加指定选项,然后才能在add时添加对应的选项,add选项为可选非必须
ipset create myset hash:ip comment
ipset add myset 192.168.10.1
ipset add myset 192.168.10.2 comment "myip"
使用add,del,myset命令时指定的条目参数必须和集合中的条目格式保持一致,如下需要指定IP和端口
ipset create myset hash:ip,port
ipset add myset 192.168.10.1,80
如果指定的主机名中含有连字符-,则必须用中括号表示,如[sftp-server],[ftp-host]
默认指定的端口为TCP,如需指定UDP,则格式为udp:port,如udp:53
如果指定的域名解析后有多个IP地址,则只使用第一个IP地址,注意iptables添加主机名时会添加解析到的所有IP地址
|