在网络管理和安全领域，ipset（IP 集合）是一个强大的工具，它允许管理员将多个 IP 地址或 IP 地址范围存储在一个集合中，以便后续进行快速匹配和操作。
ipset 的主要功能包括：
1、创建和管理 IP 集合。
2、支持多种类型的集合，如哈希表、列表、树等。
3、可以与防火墙规则结合使用，提高规则匹配效率。
ipset 的基本命令
创建集合：ipset create [name] [type] [options]
创建一个名为 myset 的哈希表类型集合：ipset create myset hash:ip
添加元素：ipset add [name] [element]
向 myset 中添加一个 IP 地址：ipset add myset 192.168.1.1
删除元素：ipset del [name] [element]
从 myset 中删除一个 IP 地址：ipset del myset 192.168.1.1
测试元素是否存在：ipset test [name] [element]
测试 192.168.1.1 是否在 myset 中：ipset test myset 192.168.1.1
列出集合内容：ipset list [name]
列出 myset 的内容：ipset list myset
销毁集合：ipset destroy [name]
销毁 myset：ipset destroy myset
ipset 的类型
| 类型 | 描述 |
| hash:ip | 基于哈希表的 IPv4 地址集合 |
| hash:net | 基于哈希表的 IPv4 网络集合 |
| list:set | 基于链表的集合，可存储唯一元素 |
| list:map | 基于链表的映射，可存储键值对 |
| tree:ip | 基于红黑树的 IPv4 地址集合 |
| tree:net | 基于红黑树的 IPv4 网络集合 |
ipset 与防火墙的结合
ipset 可以与许多防火墙软件集成，如 iptables、firewalld 等，通过使用 ipset，可以实现更高效的规则匹配。
使用 iptables 结合 ipset 阻止某个 IP 集合中的 IP 地址访问：
ipset create blocklist hash:ip iptables -A INPUT -m set --match-set blocklist src -j DROP
ipset 的优势
1、高效性：对于大规模 IP 地址匹配，ipset 比传统的防火墙规则更高效。
2、灵活性：可以轻松地添加、删除和修改 IP 集合中的元素。
3、可扩展性：支持多种集合类型，满足不同的需求。
相关问答 FAQs
问题 1：ipset 和 iptables 有什么区别？
答：ipset 主要用于管理和存储 IP 地址或网络集合，而 iptables 是一个强大的防火墙工具，用于设置、维护和检查 Linux 内核中的网络数据包过滤规则，ipset 可以与 iptables 结合使用，以提高规则匹配的效率。
问题 2：如何优化 ipset 的性能？
答：要优化 ipset 的性能，可以考虑以下几点：
1、根据实际需求选择合适的集合类型，如果需要频繁查询和更新集合，可以选择哈希表类型；如果需要按顺序遍历集合，可以选择列表类型。
2、合理设置集合的大小限制，避免集合过大导致性能下降。
3、定期清理不再使用的集合和元素，释放资源。