要让服务器仅响应指定ip的icmp echo请求，需用nftables在input链前置规则精准匹配type 8、code 0并限定源ip为192.168.1.50，排除lo接口，加counter便于验证；随后立即添加echo-request drop兜底规则；再显式放行destination-unreachable、time-exceeded、parameter-problem三类必要icmp类型；双网卡场景可按iifname区分策略，外网drop、内网accept。
只放行指定IP的ICMP Echo请求
要让服务器仅响应某个运维诊断IP（例如192.168.1.50）的ping，必须用nftables在input链精准匹配type 8、code 0，并限定源地址。这条规则必须插入最前，否则会被后续宽泛规则覆盖：
- nft add rule inet filter input iifname != "lo" ip protocol icmp icmp type echo-request ip saddr 192.168.1.50 counter accept
- iifname != "lo"排除本地环回，避免误伤本机调试
- ip saddr必须写具体IP，不能用网段——否则等于放宽策略
- 务必加counter，方便后续用nft list ruleset验证命中次数
立即拦截其余所有Echo请求
在放行规则之后，立刻加一条无条件拒绝规则，形成“白名单+兜底”的闭环逻辑。它只针对echo-request，不影响其他ICMP类型：
- nft add rule inet filter input ip protocol icmp icmp type echo-request drop
- 这条规则位置必须紧接上一条之后，顺序错则失效
- 不要用reject，因为对扫描器返回ICMP错误反而暴露主机活跃状态
- drop是静默丢弃，让探测者无法确认目标是否在线
保留必要ICMP类型保障网络功能
完全封死ICMP会破坏traceroute、路径MTU发现等基础机制。建议显式放行以下诊断必需类型，不限源IP但严格限定type：
- nft add rule inet filter input ip protocol icmp icmp type destination-unreachable counter accept
- nft add rule inet filter input ip protocol icmp icmp type time-exceeded counter accept
- nft add rule inet filter input ip protocol icmp icmp type parameter-problem counter accept
- 这三类属于“被动反馈型”ICMP，由内核自动发出，不构成暴露面
- 加counter便于观察是否真有路径问题发生，而非被误拦
进阶：按接口区分内外网策略
若服务器有公网eth0和内网eth1双网卡，可进一步细化——只禁外网ping，保留内网自由诊断：
- nft add rule inet filter input iifname "eth0" ip protocol icmp icmp type echo-request drop
- nft add rule inet filter input iifname "eth1" ip protocol icmp icmp type echo-request counter accept
- 这样既防外部探测，又不干扰内部监控系统或Zabbix等主动ping检查
- 注意iifname顺序：先处理外网drop，再处理内网accept，避免逻辑冲突
