要让服务器仅响应指定IP的ICMP Echo请求，需用nftables在input链前置规则精准匹配type 8、code 0并限定源IP为192.168.1.50，排除lo接口，加counter便于验证；随后立即添加echo-request drop兜底规则；再显式放行destination-unreachable、time-exceeded、parameter-problem三类必要ICMP类型；双网卡场景可按iifname区分策略，外网drop、内网accept。

只放行指定IP的ICMP Echo请求

要让服务器仅响应某个运维诊断IP（例如192.168.1.50）的ping，必须用nftables在input链精准匹配type 8、code 0，并限定源地址。这条规则必须插入最前，否则会被后续宽泛规则覆盖：

• nft add rule inet filter input iifname != "lo" ip protocol icmp icmp type echo-request ip saddr 192.168.1.50 counter accept
• iifname != "lo"排除本地环回，避免误伤本机调试
• ip saddr必须写具体IP，不能用网段——否则等于放宽策略
• 务必加counter，方便后续用nft list ruleset验证命中次数

立即拦截其余所有Echo请求

在放行规则之后，立刻加一条无条件拒绝规则，形成“白名单+兜底”的闭环逻辑。它只针对echo-request，不影响其他ICMP类型：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• nft add rule inet filter input ip protocol icmp icmp type echo-request drop
• 这条规则位置必须紧接上一条之后，顺序错则失效
• 不要用reject，因为对扫描器返回ICMP错误反而暴露主机活跃状态
• drop是静默丢弃，让探测者无法确认目标是否在线

保留必要ICMP类型保障网络功能

完全封死ICMP会破坏traceroute、路径MTU发现等基础机制。建议显式放行以下诊断必需类型，不限源IP但严格限定type：

• nft add rule inet filter input ip protocol icmp icmp type destination-unreachable counter accept
• nft add rule inet filter input ip protocol icmp icmp type time-exceeded counter accept
• nft add rule inet filter input ip protocol icmp icmp type parameter-problem counter accept
• 这三类属于“被动反馈型”ICMP，由内核自动发出，不构成暴露面
• 加counter便于观察是否真有路径问题发生，而非被误拦

进阶：按接口区分内外网策略

若服务器有公网eth0和内网eth1双网卡，可进一步细化——只禁外网ping，保留内网自由诊断：

• nft add rule inet filter input iifname "eth0" ip protocol icmp icmp type echo-request drop
• nft add rule inet filter input iifname "eth1" ip protocol icmp icmp type echo-request counter accept
• 这样既防外部探测，又不干扰内部监控系统或Zabbix等主动ping检查
• 注意iifname顺序：先处理外网drop，再处理内网accept，避免逻辑冲突