파일에서 설정으로 CIDR을 추가하는 가장 좋은 방법은 무엇입니까?

Question 1

awk특정 길이로 유지될 수 있는 실행될 문자열을 구성하는 것이 가능합니다. 이는 파이프라인을 xargs포크하는 것 보다 확실히 echo ... | tr더 효율적 입니다.

#!/usr/bin/env awk
{
    len = length()
    if (len > limit) {
        if (length(outbuf)) {
            system("echo " ENVIRON["TARGET_SET"] outbuf)
        }
        outbuf = $0
        # the limit will be 4096 minus the length of the rest of
        # the command and if the 4096 is kern.argmax then you
        # may need to subtract even more to account for the
        # length of the environment variables!
        limit = 6
    } else {
        # join another field to output buffer
        outbuf = outbuf "," $0
    }
    # the plus is for the length of the field joiner
    limit -= len + 1
}
END {
    if (length(outbuf)) {
        system("echo " ENVIRON["TARGET_SET"] outbuf)
    }
}

이 스크립트의 내용은 "echo "테스트용이며 적절한 nft ...명령을 실행할 수 있습니다. 환경에서 읽을 수 TARGET_SET있도록 내보내야 합니다 .awk

Answer

awk특정 길이로 유지될 수 있는 실행될 문자열을 구성하는 것이 가능합니다. 이는 파이프라인을 xargs포크하는 것 보다 확실히 echo ... | tr더 효율적 입니다.

#!/usr/bin/env awk
{
    len = length()
    if (len > limit) {
        if (length(outbuf)) {
            system("echo " ENVIRON["TARGET_SET"] outbuf)
        }
        outbuf = $0
        # the limit will be 4096 minus the length of the rest of
        # the command and if the 4096 is kern.argmax then you
        # may need to subtract even more to account for the
        # length of the environment variables!
        limit = 6
    } else {
        # join another field to output buffer
        outbuf = outbuf "," $0
    }
    # the plus is for the length of the field joiner
    limit -= len + 1
}
END {
    if (length(outbuf)) {
        system("echo " ENVIRON["TARGET_SET"] outbuf)
    }
}

이 스크립트의 내용은 "echo "테스트용이며 적절한 nft ...명령을 실행할 수 있습니다. 환경에서 읽을 수 TARGET_SET있도록 내보내야 합니다 .awk

Question 2

nftables 명령의 4096자 제한에 대한 내용을 어디서 읽었습니까? 4,000개의 CIDR 범위(약 64,000자) 목록이 있는 경우 오류 없이 명령을 실행할 수 있습니다.

# wc -l ranges.txt
400.0 ranges.txt
# export TARGET_SET=example_set
# export CUSTOM_CIDRS_FILE=ranges.txt
# nft add set ip filter $TARGET_SET { type ipv4_addr\; flags interval\; }
# nft add element $TARGET_SET { $(awk '{print $1 ", "}' "$CUSTOM_CIDRS_FILE") }

이러한 nft add명령은 약 0.003초 동안 실행되며 4000개의 요소를 포함합니다.

어떤 시점에서는 Linux 명령줄 길이 제한에 직면할 수 있으며, 이 경우 일괄 처리가 가능합니다. 이렇게 하면 1000개의 배치로 요소가 추가됩니다.

xargs -n1000 sh -c '
  nft add element ip filter $TARGET_SET { $(
    echo "$@" | tr " " ","
  ) }' -- < $CUSTOM_CIDRS_FILE

(위에서는 TARGET_SET쉘 변수가 아닌 환경 변수를 가정합니다.)

동일한 4000개 요소에 대해 실행 시간은 약 0.1초입니다.

Answer