相关疑难解决方法(0)

我遇到过这样的情况，客户端需要将一组不到 100 万个单独的 IP 地址（无子网）列入黑名单，并且网络性能是一个问题。虽然我猜想 IPTables 规则对性能的影响比路由小，但这只是猜想。

有没有人有任何确凿的证据或其他理由支持 IPTables 或空路由作为将长 IP 地址列表列入黑名单的解决方案？在这种情况下，一切都是自动化的，因此易用性并不是真正的问题。

编辑 11 年 11 月 26 日

经过一些测试和开发，这些选项似乎都不可行。似乎路由查找和 iptables 都通过规则集进行线性搜索，并且处理这么多规则花费的时间太长。在现代硬件上，将 100 万个项目放入 iptables 黑名单会使服务器减慢到每秒大约 2 打数据包。所以IPTables和空路由都出来了。

ipset，正如 Jimmy Hedman 所推荐的那样，会很棒，只是它不允许您在一组中跟踪超过 65536 个地址，因此除非有人有任何想法，否则我什至无法尝试使用它。

显然，阻止这么多 IP 的唯一解决方案是在应用程序层中进行索引查找。不是这样吗？

更多信息：

此实例中的用例是阻止 IP 地址的“已知违规者”列表访问 Web 服务器上的静态内容。FWIW，通过 Apache 进行阻塞Deny from同样缓慢（如果不是更慢），因为它也进行线性扫描。

仅供参考：最终的工作解决方案是将 apache 的 mod_rewrite 与 berkeley DB 映射结合使用来对黑名单进行查找。伯克利数据库的索引性质允许列表以 O(log N) 性能扩展。