POX防火墙实现：如何分组IP批量配置流量阻断规则

你不需要为这5个IP逐条编写独立阻断规则，有成熟的方案可以实现IP归组统一配置，具体操作如下：

通用方案：自定义IP集合统一匹配（不要求IP连续，适配所有场景） #

• 第一步，在你编写的POX防火墙脚本头部，直接把需要阻断的源IP统一归到同一个集合常量里，同时定义要拦截的目标目的IP：

# 归组需要阻断的源IP
BLOCK_SOURCE_GROUP = {
    "10.0.33.1",
    "10.0.33.2",
    "10.0.33.3",
    "10.0.33.4",
    "10.0.33.5"
}
# 拦截的目标目的IP
DESTINATION_TO_BLOCK = "10.0.55.5"

• 第二步，在PacketIn事件的处理函数中，只需要写一套判断逻辑即可：解析到数据包的源IP属于上面定义的阻断组、且目的IP为目标地址时，直接下发丢弃动作的流表，不需要为每个IP单独写判断分支。核心逻辑示例：

def _handle_PacketIn (event):
    packet = event.parsed
    ipv4_header = packet.find("ipv4")
    if not ipv4_header:
        return
    current_src = str(ipv4_header.srcip)
    current_dst = str(ipv4_header.dstip)
    # 单次判断覆盖整个IP组，无需逐条写规则
    if current_src in BLOCK_SOURCE_GROUP and current_dst == DESTINATION_TO_BLOCK:
        flow_mod = of.ofp_flow_mod()
        flow_mod.match = of.ofp_match(
            dl_type=0x800, # 匹配IPv4流量
            nw_src=ipv4_header.srcip,
            nw_dst=ipv4_header.dstip
        )
        # 动作为丢弃流量
        event.connection.send(flow_mod)
        return

• 后续如果需要调整阻断的IP范围，只需要修改头部的BLOCK_SOURCE_GROUP集合内容即可，不需要改动核心的流量处理逻辑。

注意事项 #

你当前要阻断的10.0.33.1~10.0.33.5不属于标准连续CIDR段，无法用单条前缀匹配流表精确覆盖（10.0.33.0/29会额外阻断0、6、7三个不在需求里的IP），不要为了省规则直接配大段掩码，否则会出现误拦截。如果后续需要阻断的连续IP刚好落在标准CIDR范围内，再考虑直接用前缀匹配下发单条流表即可。

内容的提问来源于stack exchange，提问作者Bob