iptables/ufw 拒绝过滤器对服务器负载有什么影响？

Question

我想知道将要阻止的 IP 地址或子范围添加到 ufw 中的可扩展性如何。例如，每当我发现一个特别糟糕的机器人或服务器群时，我就会这样做。随着我的列表越来越多，我想知道我在系统上放置了多少开销；因为现在每个数据包都必须根据这个列表进行检查。

有没有人遇到过某个大小的阻止列表开始导致系统负载或网络速度变慢的情况？

文档中是否有关于此的任何内容？

现在我有大约 15 条规则。我应该遵守一些规则吗？

Answer 1

与尝试为流量提供服务相比，它的负载要少得多……大型链会对性能产生影响，但是通过一些明智的优化（将流量分成不同的链），您可以对其进行控制。

作为参考，我有一个 20k 规则的 iptables 防火墙，它在几百 Mbps 的流量下表现得相当好……我认为您不必担心 15 条规则。