Linux systemd 怎样限制服务可用的网络地址族

如果一个 Linux 服务只需要本机 Unix Socket 和普通 TCP，却没有理由创建原始包、链路层或其他特殊网络套接字，可以把地址族限制写进 systemd 单元。核心配置是 RestrictAddressFamilies=：不带波浪号时是允许列表，只有列出的地址族可以通过 socket(2) 创建。官方说明地址：https://www.freedesktop.org/software/systemd/man/latest/systemd.exec.html。

实用的起点通常是 AF_UNIX AF_INET AF_INET6，再根据业务删减。不要把它当防火墙：它主要收紧服务进程创建套接字的能力，已经由 socket activation 传入的套接字仍然要单独审视。

先把服务真正需要的地址族列成清单

先看服务的通信对象，而不是先抄一段“安全基线”。本机日志、守护进程控制接口常用 AF_UNIX；访问 IPv4 目标需要 AF_INET；同时支持 IPv6 时再保留 AF_INET6。如果程序不需要链路层抓包或构造原始网络帧，就没有必要开放 AF_PACKET。

这一步的边界很重要：地址族是套接字接口的一层，不等于端口白名单、目标 IP 白名单，也不等于禁止某个域名。端口和目标控制仍应由应用配置、网络策略或防火墙负责。

用 allow-list 写出最小配置

在服务的 drop-in 配置中先写一个清晰的允许列表。下面的例子保留本地通信和 IPv4/IPv6 网络连接，同时把没有列出的地址族排除在外。

[Service]
# 只允许本地 Unix Socket 与 IPv4/IPv6 套接字
RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6

# 让标准输出和错误输出继续交给 journal
StandardOutput=journal
StandardError=journal

把 AF_UNIX 留在列表里通常更稳妥，因为本地日志、控制 socket 或服务间通信可能依赖它。是否需要 AF_INET6 要以程序的监听和出站需求为准，不需要双栈时可以删掉。配置本身不授予服务额外权限，它只是把可用集合缩小。

按场景选择 none、allow-list 或 deny-list

三种写法对应不同的收紧强度：

新服务更适合从允许列表开始，因为它把“默认开放、只排除一个例外”的遗漏风险降到更低。若服务需要访问 journal 或本地控制 socket，却误用了 none，表现可能是启动成功但后续通信失败；这时应回到服务的真实调用路径，而不是马上放开全部地址族。

[Service]
# 这个任务没有网络或本地 Socket 需求，拒绝所有地址族
RestrictAddressFamilies=none

# 只排除链路层地址族，适合尚未完成完整 allow-list 梳理的旧服务
# 其余地址族仍按系统默认开放，收紧程度低于上面的 allow-list
# RestrictAddressFamilies=~AF_PACKET

补齐 socket 传入与架构边界

RestrictAddressFamilies= 限制的是进程调用 socket(2) 的入口。systemd socket activation 预先创建并传给服务的套接字，不会因为服务单元写了这个选项就自动消失；socketpair() 和 io_uring 相关路径也有独立边界。

因此，使用 socket activation 时要同时检查 .socket 单元和 .service 单元：前者决定监听对象，后者限制进程继续创建哪些套接字。若服务运行在多 ABI 环境，官方还建议结合本机架构限制，避免通过替代 ABI 绕过预期边界。

[Service]
# 只允许服务使用本机架构的系统调用 ABI
SystemCallArchitectures=native

# 按需加入 systemd 的服务调用集合；先确认应用没有特殊系统调用
SystemCallFilter=@service

这两项不是 RestrictAddressFamilies= 的替代品，而是不同层面的补充。地址族限制解决“能否创建某类 socket”，系统调用过滤解决“能否调用某组系统调用”，两者应按服务实际依赖逐项加入。

重载单元并保留可回退路径

修改 drop-in 后，先让 systemd 重新读取单元，再重启目标服务。示例命令如下，命令中的注释说明每一步用途，不代表本文已经在你的机器上执行：

# 重新读取 unit 与 drop-in 文件
sudo systemctl daemon-reload

# 让新限制作用于下一代服务进程
sudo systemctl restart example.service

# 查看最终合并后的单元内容，确认没有被其他 drop-in 覆盖
systemctl cat example.service

# 查看 systemd 当前记录的限制字段
systemctl show example.service -p RestrictAddressFamilies -p SystemCallArchitectures

排查时优先记录三件事：服务是否需要本地 Unix Socket、是否存在 IPv4/IPv6 双栈需求、监听 socket 是否由独立的 .socket 单元传入。若重启后出现地址族相关失败，先恢复到上一次可用的允许列表，再缩小一项，而不是直接删除所有加固项。

常见问题

RestrictAddressFamilies 能限制访问某个端口吗？

不能。它限制地址族，不表达端口或目标地址。端口范围、出站目标和入站暴露面要由应用、网络命名空间或防火墙策略处理。

为什么配置了限制，服务仍能使用传入的监听 socket？

因为 socket activation 的监听对象由 socket 单元预先创建，再以文件描述符传入服务；该选项主要约束服务进程自己创建 socket 的调用入口。

日志突然不见了怎么办？

先检查是否误用了 none，以及是否漏掉 AF_UNIX。systemd 文档明确提醒本地 Unix Socket 常用于本地通信和 journal 日志连接。

总结一下：从服务真实通信需求出发建立 allow-list，通常保留必要的 AF_UNIX、AF_INET、AF_INET6；把 AF_PACKET 等特殊能力留在列表之外；最后分别检查 socket activation、系统调用过滤和架构边界。这样收紧的是服务能力边界，而不是把它误解成完整网络访问控制。