实践为什么是认识的基础

翻译nftables的文档man nft - mankier.com ，加上实际的操作实践，满足基本的需求。

最后更新时间：2021/7/13

1. 简介

nft是一个命令行工具，用于在Linux内核的nftables框架中设置、维护和检查包过滤和分类规则。Linux 内核子系统称为 nf_tables，"nf"代表 Netfilter。

2. 地址簇

如果指定的标识符没有地址族，则默认使用ip簇；

IPv4/IPv6/Inet 地址簇的hooks

其他地址簇不记录了。

3. 规则集ruleset

ruleset关键词被用来标识被放置在内核中的整套表、链、规则的集合。操作命令有list和flush，具体如下：

# 查询所有规则 nft list ruleset -a # 按照地址簇查询——只查询inet地址簇的规则集 nft list ruleset inet -a # 清空规则集【危险操作】 【nft flush ruleset】 # 按地址簇清空规则 【nft flush ruleset arp】 【nft flush ruleset ip】 【nft flush ruleset ip6】 【nft flush ruleset bridge】 【nft flush ruleset inet】 【nft flush ruleset netdev】 

4. 表table

• table是链、集合和有状态对象的容器。
  通过地址簇与命名区分。地址簇是ip ip6 inet arp bridge netdev六个其中之一，若未指定，默认为ip地址簇。inet是dummy虚拟的簇，代表IPv4/IPv6的混合hybrid。
• 元表达式nfproto关键字可用来测试 正在处理的包属于哪个地址簇上下文(ipv4 或 ipv6)
• add和create的唯一的区别是若表已经存在，前者不会报错，后者会报错Error: Could not process rule: File exists；因为add命令可以修改表的状态。

具体操作如下：

# 以交互模式启动nft 后面就不用一直输入nft命令，当远程服务器有堡垒机的root用户限制时候，可以更为方便的使用 nft --interactive nft --i # 创建表 不指定协议簇 默认ip协议 nft add|create table [地址簇] [表名] nft create table nat nft add table nat # 查看运行结果 nft list ruleset table ip nat { 
    } # 增加链prerouting postrouting nft -- add chain nat prerouting { 
    type nat hook prerouting priority -100 \; } nft add chain nat postrouting { 
    type nat hook postrouting priority 100 \; }  即使您没有向prerouting链添加规则，nftables框架也要求此链与传入的数据包回复匹配。  请注意，您必须将--选项传递给nft命令，以避免shell将负优先级值解析为nft命令的选项 # 查看运行结果 nft list ruleset table ip nat { 
    chain prerouting { 
    type nat hook prerouting priority -100; policy accept; } chain postrouting { 
    type nat hook postrouting priority 100; policy accept; } } # 增加规则 # 源IP是10.11.0.0/16的伪装成wg0网卡的流量 nft add rule nat postrouting ip saddr 10.121.0.0/16 oifname wg0 counter masquerade # 从tun0网卡进来的流量伪装成wg0网卡的流量 nft add rule nat postrouting iifname tun0 oifname wg0 counter masquerade # 查看运行结果 nft list ruleset table ip nat { 
    chain prerouting { 
    type nat hook prerouting priority -100; policy accept; } chain postrouting { 
    type nat hook postrouting priority 100; policy accept; ip saddr 10.121.0.0/16 oifname "wg0" counter packets 0 bytes 0 masquerade iifname "tun0" oifname "wg0" counter packets 0 bytes 0 masquerade } } nft add rule filter input tcp dport 22 accept # 向链中增加一个计数器 nft add rule nat postrouting counter # 查看运行结果 nft list ruleset table ip nat { 
    chain prerouting { 
    type nat hook prerouting priority -100; policy accept; } chain postrouting { 
    type nat hook postrouting priority 100; policy accept; ip saddr 10.121.0.0/16 oifname "wg0" counter packets 0 bytes 0 masquerade iifname "tun0" oifname "wg0" counter packets 0 bytes 0 masquerade counter packets 0 bytes 0 } } # 暂时禁用表，规则会失效 nft add table nat { 
    flags dormant\; } # 查看运行结果 nft list ruleset table ip nat { 
    flags dormant chain prerouting { 
    type nat hook prerouting priority -100; policy accept; } chain postrouting { 
    type nat hook postrouting priority 100; policy accept; ip saddr 10.121.0.0/16 oifname "wg0" counter packets 0 bytes 0 masquerade iifname "tun0" oifname "wg0" counter packets 0 bytes 0 masquerade counter packets 0 bytes 0 } } # 激活表 nft add table nat # 查看运行结果 nft list ruleset # 发现flags dormant消失了 # 为了测试表的删除需要新建表test nft add table inet mytable # 此时再用nft list ruleset查看就太多了 # 查询所有表 nft list tables # 结果是两行table ip nat和table inet test # 查询指定指定表 地址簇为inet表名为test nft list table inet mytable # 命令后加-a用于显示句柄handles 后面加-nn用于不解析ip地址和端口 # 为了测试清空 需要给表test增加链和规则 nft add chain inet mytable mychain { 
    type filter hook input priority 100\; } # 添加新的基础链：获取输入数据包 nft add rule inet mytable mychain counter # 给链增加计数器 # 查询结果 nft list table inet mytable table inet mytable { 
    chain mychain { 
    type filter hook input priority 100; policy accept; counter packets 60 bytes 13792 } } # 查询结果 nft list table inet mytable -a 可以查询规则的句柄 table inet mytable { 
    chain mychain { 
    type filter hook input priority 100; policy accept; counter packets 201 bytes 25718 # handle 2 } } # 清空表test 不会删除基础链 nft flush table inet mytable # 删除表 nft delete table inet mytable 

5. 链chain

链是规则的容器。

• 有两种形式——基础链和常规链。基础链是来自网络堆栈的数据包的入口点，常规链可用作跳转目标并用于更好的组织规则。
• 指定钩子和优先级值后，该链将被创建为基础链并链接到到网络堆栈。
• 若基础链的类型填写了不匹配的钩子，会报错Error: Could not process rule: Operation not supported

# 新增 nft add chain [地址簇] [表名] [链名] { 
    type [类型] hook [钩子] priority [优先级值]\; } nft add chain inet mytable mychain { 
    type filter hook input priority 100\; } # 添加新的基础链：获取输入 nft add chain inet mytable forward { 
    type nat hook postrouting priority 150\; } # 添加新的基础链：转发给其他主机 # 查询结果 nft list table inet mytable -a table inet mytable { 
    chain mychain { 
    type filter hook input priority 100; policy accept; } chain postrouting { 
    type nat hook postrouting priority 150; policy accept; } } # 修改链 rename nft rename chain [表地址簇] [表名] [旧链名] [新链名] nft rename chain inet mytable mychain mychain1 # 新增规则 nft add rule mytable postrouting iifname tun0 oifname wg0 counter masquerade 会报错Error: NAT is only supported for IPv4/IPv6 nft add rule nat postrouting iifname tun0 oifname wg0 counter masquerade nat表是ip地址簇的，就可以增加这个规则 # 新增常规链 nft add rule nat postrouting iifname tun0 oifname wg0 counter masquerade 

支持的链类型

除了上面说明的特殊情况，还有三个值得注意的怪癖：

• netdev簇仅支持一种组合：即filter类型和ingress钩子。基本链还需要存在设备参数，因为他们仅存在于每个传入接口。
• arp簇仅支持filter类型链的input和output钩子。
• inet簇还支持ingress钩子，在与netdev链input钩子相同的位置过滤 IPv4 和 IPv6 数据包。这个inet hook允许你在prerouting、input、forward、output、postrouting和这个ingress hook之间共享集合和映射。

priority参数接收有符号整数值或标准优先级名称，指定有相同钩子值得链的遍历顺序。该顺序是升序的，低值比高值对应的链优先级更高。

标准优先级值可以替换为易于记忆的名称。 并非所有名称在每个钩子的每个系列中都有意义（请参阅下面的兼容性矩阵），但它们的数值仍可用于确定链的优先级。

这些名称和值是根据 xtables 在注册其默认链时使用的优先级来定义和提供的。

大多数地址簇使用相同的值，但bridge使用与其他地址簇不同的值。 请参阅以下描述值和兼容性的表格。

1. 标准优先级名称、地址簇和钩子兼容性矩阵：

2. bridge地址簇系列的标准优先级名称和钩子兼容性

使用这些标准名称也可以实现基本算术表达式（加法和减法）以简化相对优先级，例如 mangle - 5 代表 -155。 值也将像这样打印，直到值与标准值相差不超过 10。

基础链还允许设置链的策略，即在包含的规则中没有明确接受或拒绝的数据包会发生什么。 支持的策略值是接受（这是默认值）或丢弃。

6. 规则rule

规则被添加到指定表指定链中，由表达式和语句组成。操作有add insert replace delete，add和insert命令可支持用句柄handle或index(以0开始)新增规则

在内部，规则位置总是由handle标识，index的转换发生在用户空间。如果在翻译完成后发生并发规则集更改，这有两个潜在影响： 如果在引用的规则之前插入或删除规则，则有效规则index可能会更改。如果引用的规则被删除，则该命令将被内核拒绝，就像给出了无效句柄一样。

注释是单个单词或双引号括起来的多单词字符串，可用于对实际规则注释。注意：如果使用bash添加规则要对双引号进行转义。

# 创建规则—— add 将规则添加到链的末尾，insert 则将规则添加到链的开头。 nft insert rule nat postrouting oif eth0 snat to 1.2.3.5 # 将规则添加到链中指定位置有两种方法——利用handle或index，推荐handle，因为链中有其他规则增加到index之前，则index会发生变化 # add配handle，添加到对应handle后面; insert加handle添加到对应handle之前; # nft add rule [表名] [链名] handle 9 [规则] # nft insert rule [表名] [链名] handle 9 [规则] # 可以在创建规则时就获取到规则的句柄值，只需要在创建规则时同时加上参数 --echo 和 --handle nft add rule nat postrouting handle 9 oif eth0 snat to 1.2.3.7 nft insert rule nat postrouting handle 9 oif eth0 snat to 1.2.3.6 nft list table nat -a table ip nat { 
    chain prerouting { 
    type nat hook prerouting priority -100; policy accept; } chain postrouting { 
    type nat hook postrouting priority 100; policy accept; oif "eth0" snat to 1.2.3.5 # handle 10 ip saddr 10.121.0.0/16 oifname "wg0" counter packets 0 bytes 0 masquerade # handle 3 iifname "tun0" oifname "wg0" counter packets 0 bytes 0 masquerade # handle 4 counter packets 3172 bytes  # handle 5 ip saddr 10.121.0.3 iifname "tun0" oifname "eth0" counter packets 0 bytes 0 masquerade # handle 6 oif "eth0" snat to 1.2.3.6 # handle 12 oif "eth0" snat to 1.2.3.4 # handle 9 } } # 删除规则 nft delete rule nat postrouting handle 9 # 更新规则 nft replace rule nat postrouting handle 12 oif eth0 snat to 1.2.3.7 # 查询结果 nft list table nat -a table ip nat { 
    chain prerouting { 
    type nat hook prerouting priority -100; policy accept; } chain postrouting { 
    type nat hook postrouting priority 100; policy accept; oif "eth0" snat to 1.2.3.5 # handle 10 ip saddr 10.121.0.0/16 oifname "wg0" counter packets 0 bytes 0 masquerade # handle 3 iifname "tun0" oifname "wg0" counter packets 0 bytes 0 masquerade # handle 4 counter packets 3172 bytes  # handle 5 ip saddr 10.121.0.3 iifname "tun0" oifname "eth0" counter packets 0 bytes 0 masquerade # handle 6 oif "eth0" snat to 1.2.3.7 # handle 12 } } # 查询指定表nat的指定链postrouting nft list chain nat postrouting -a table ip nat { 
    chain postrouting { 
    type nat hook postrouting priority 100; policy accept; oif "eth0" snat to 1.2.3.5 # handle 10 ip saddr 10.121.0.0/16 oifname "wg0" counter packets 0 bytes 0 masquerade # handle 3 iifname "tun0" oifname "wg0" counter packets 0 bytes 0 masquerade # handle 4 counter packets 3172 bytes  # handle 5 ip saddr 10.121.0.3 iifname "tun0" oifname "eth0" counter packets 0 bytes 0 masquerade # handle 6 oif "eth0" snat to 1.2.3.7 # handle 12 } } 

7. 集合set

1. 匿名集合

匿名集是没有特定名称的集。集合成员用花括号括起来，在创建使用集合的规则时用逗号分隔元素。一旦删除该规则，该集合也将被删除。它们无法更新，即一旦声明了匿名集，就不能再更改它，除非通过删除/更改使用匿名集的规则。

# 创建表filter nft add table filter # 创建表filter的链input nft add chain filter input # 用匿名集合创建规则 此处实际上匹配了四条规则 nft add rule filter input ip saddr { 
    10.0.0.0/8, 192.168.0.0/16 } tcp dport { 
    22, 443 } accept table ip filter { 
    chain input { 
    ip saddr { 
    10.0.0.0/8, 192.168.0.0/16 } tcp dport { 
    ssh, https } accept } } 

2. 命名集合

命名集是需要先定义才能在规则中引用的集。与匿名集合不同，元素可以随时添加到命名集合或从命名集合中删除。使用集合名称前缀的@ 从规则中引用集合。

# 先定义命名集合 nft add set filter allowed_hosts { 
    type ipv4_addr \; } nft list sets nft list filter allowed_hosts table ip nat { 
    } table inet mytable { 
    } table ip filter { 
    set allowed_hosts { 
    type ipv4_addr } } # 集合添加元素 nft add element filter allowed_hosts { 
    192.168.1.2, 192.168.1.3 } nft list set filter allowed_hosts table ip filter { 
    set allowed_hosts { 
    type ipv4_addr elements = { 
    192.168.1.2, 192.168.1.3 } } } # 删除集合元素 nft delete element filter allowed_hosts { 
    192.168.1.2 } # 用命名集合创建规则 nft add set filter allowed_ports { 
    type inet_service \; } nft add element filter allowed_ports { 
    80, 443, 8000 } # 查看 nft list set filter allowed_ports table ip filter { 
    set allowed_ports { 
    type inet_service elements = { 
    http, https, 8000 } } } nft list set filter allowed_ports -nn table ip filter { 
    set allowed_ports { 
    type inet_service elements = { 
    80, 443, 8000 } } } # 使用命名集合 nft add rule filter input ip saddr @allowed_hosts tcp dport @allowed_ports accept # 查询 nft list chain filter input table ip filter { 
    chain input { 
    ip saddr { 
    10.0.0.0/8, 192.168.0.0/16 } tcp dport { 
    ssh, https } accept ip saddr @allowed_hosts tcp dport @allowed_ports accept } } 

设置规格

8. 字典map

使用不同类型的数据并将匹配条件映射到某一个规则上面，并且由于是哈希映射的方式，可以完美的避免链式规则跳转的性能开销。

设置规格

匿名字典

# 创建一个表 nft create table ip mytable # 创建三个个链 nft create chain ip mytable tcpchain nft create chain ip mytable udpchain nft create chain ip mytable filterchain # 地址簇为ip的表mytable的filterchain链增加一条规则——从逻辑上将对 TCP 和 UDP 数据包的处理规则拆分开来 nft add rule ip mytable filterchain meta l4proto vmap { 
    tcp : jump tcpchain, udp : jump udpchain } # 查看 nft list chain ip mytable filterchain table ip mytable { 
    chain filterchain { 
    meta l4proto vmap { 
    tcp : jump tcpchain, udp : jump udpchain } } } 

命名字典

# 创建 nft add map ip mytable myvmap { 
    type ipv4_addr : verdict \; } # 添加元素 nft add element ip mytable myvmap { 
    192.168.0.10 : accept, 192.168.0.11 : drop } # 添加规则 nft add rule ip mytable filterchain ip saddr vmap @myvmap # 查看 nft list table mytable table ip mytable { 
    map myvmap { 
    type ipv4_addr : verdict elements = { 
    192.168.0.10 : accept, 192.168.0.11 : drop } } chain tcpchain { 
    } chain udpchain { 
    } chain filterchain { 
    meta l4proto vmap { 
    tcp : jump tcpchain, udp : jump udpchain } ip saddr vmap @myvmap } } 

9. 元素

语法规则

{ 
   add | create | delete | get } element [family] table set { 
    ELEMENT[, ...] } ELEMENT := key_expression OPTIONS [: value_expression] OPTIONS := [timeout TIMESPEC] [expires TIMESPEC] [comment string] TIMESPEC := [numd][numh][numm][num[s]] 

元素相关命令允许更改命名集合和命名字典的内容。

get命令可以检查一个元素是否包含在一个集合中。

# 创建表 nft create table filter # 用命名集合创建规则 nft add set filter allowed_ports { 
    type inet_service \; } nft add element filter allowed_ports { 
    80, 443, 8000 } # 查看 nft list set filter allowed_ports # 删除 nft delete element ip filter allowed_ports { 
   8000} # 判断某元素是否在集合中【此条未测试通过】 nft get inet_service filter allowed_ports { 
    8000 } 

10. 备份|恢复

# 备份 nft list ruleset >> backup.nft # 恢复（原子性） nft -f backup.nft 

11. 流表flowtable

flowtable允许在软件中加速数据包转发。其条目通过一个元组表示，元组由输入接口、原地址、目的地址、端口和3/4层协议组成。

12. 有状态对象【重要】

基础语法

{ 
   add | delete | list | reset} type [family] table object delete type [family] table handle handle list counters [family] list quotas [family] 

有状态对象是附加到表的并由唯一名称标识。它们将规则中的状态信息分组，以在规则中引用它们，使用关键字“类型名称”，例如“计数器名称”。

1. CT Helper
   • 基础语法ct helper helper { type type protocol protocol ; [l3proto family ;] }
   • ct helper用于定义连接跟踪助手，可以将其与ct helper set语句结合使用。type和protocol是强制性的，l3proto 默认派生自表簇，即在 inet 表中，内核将尝试加载 ipv4 和 ipv6 助手后端，如果内核支持它们。
2. CT Timeout
   • 基础语法ct timeout name { protocol protocol ; policy = { state: value [, ...] } ; [l3proto family ;] }
   • ct timeout用于更新连接跟踪超时值。超时策略由ct timeout set语句指定。protocol和policy是强制性的，l3proto 默认派生自表族。
   • conntrack 超时规格

     关键词	描述	类型
     protocol		字符串(例：ip)
     state		字符串(例：“established”)
     value		无符号整数
     l3proto		地址簇(例：ip)

   • 定义和分配ct timeout策略

     table ip filter { 
             ct timeout customtimeout { 
             protocol tcp; l3proto ip policy = { 
             established: 120, close: 20 } } chain output { 
             type filter hook output priority filter; policy accept; ct timeout set "customtimeout" } } 

   • 测试和更新超时策略

     用yum install conntrack安装

     conntrack-tools的使用手册

     关于conntrack的一篇文章

     # 命令 显示流事件 conntrack -E # 结果 前两个值为 协议 剩余秒数 [NEW] icmp 1 30 src=10.121.6.6 dst=192.168.5.71 type=8 code=0 id=1 [UNREPLIED] src=192.168.5.71 dst=192.168.5.119 type=0 code=0 id=1 [UPDATE] icmp 1 30 src=10.121.6.6 dst=192.168.5.71 type=8 code=0 id=1 src=192.168.5.71 dst=192.168.5.119 type=0 code=0 id=1 # 晒选条件为tcp协议22端口 mark是更新标记 conntrack -U -p tcp --dport 22 --mark 10 # 结果 可以看到10.121.6.6访问了192.168.5.71的22端口、58.40.70.86访问了192.168.5.119的22端口 tcp 6  ESTABLISHED src=10.121.6.6 dst=192.168.5.71 sport=6401 dport=22 src=192.168.5.71 dst=192.168.5.119 sport=22 dport=6401 [ASSURED] mark=10 use=2 tcp 6 79 TIME_WAIT src=10.121.6.6 dst=192.168.5.71 sport=9890 dport=22 src=192.168.5.71 dst=192.168.5.119 sport=22 dport=9890 [ASSURED] mark=10 use=2 tcp 6 299 ESTABLISHED src=58.40.70.86 dst=192.168.5.119 sport=2526 dport=22 src=192.168.5.119 dst=58.40.70.86 sport=22 dport=2526 [ASSURED] mark=10 use=2 tcp 6  ESTABLISHED src=58.40.70.86 dst=192.168.5.119 sport=2528 dport=22 src=192.168.5.119 dst=58.40.70.86 sport=22 dport=2528 [ASSURED] mark=10 use=2 

3. CT Expectation
   • 基础语法ct expectation name { protocol protocol ; dport dport ; timeout timeout ; size size ; [*l3proto family ;] }
   • ct expectation 用于创建连接期望。期望是用ct expectation set语句分配的。protocol, dport, timeout 和 size是强制性的，l3proto 默认源于表簇。
   • conntrack 期望规格

     关键词	描述	类型
     protocol	期望对象的第四层协议	字符串(例：ip)
     dport	期望连接的目的端口	无符号整数
     timeout	期望的超时值	无符号整数
     size	期望的大小值	无符号整数
     l3proto	期望对象的第3层协议	地址簇(例：ip)

   • 定义和分配ct expectation策略

     table ip filter { 
             ct expectation expect { 
             protocol udp dport 9876 timeout 2m size 8 l3proto ip } chain input { 
             type filter hook input priority filter; policy accept; ct expectation set "expect" } } 

4. Counter
   • 基础语法counter [packets bytes]
   • counter 规格

     关键词	描述	类型
     packets	数据包的初始计数	无符号整数 (64 bit)
     bytes	初始字节数	无符号整数 (64 bit)

5. Quota
   • 基础语法quota [over | until] [used]
   • counter 规格

     关键词	描述	类型
     quota	配额限制，用作配额名称	两个参数，无符号整数 (64 bit)和字符串，bytes, kbytes, mbytes 需要在这些参数前写上 “over” 和"until"
     used	已用配额的初始值	两个参数，无符号整数 (64 bit)和字符串，bytes, kbytes, mbytes

13. 表达式Expression

表达式表示值，可以是网络地址、端口号等常量，也可以是在规则集评估期间从数据包中收集的数据。可以使用二进制、逻辑、关系和其他类型的表达式组合表达式以形成复杂或关系（匹配）表达式。它们还用作某些类型操作的参数，例如 NAT、数据包标记等。每个表达式都有一个数据类型，它决定了符号值的大小、解析和表示以及与其他表达式的类型兼容性。

# 描述命令 describe expression | data type nft describe tcp flags 

14. 数据类型

14种，暂时留空

15. 主要表达式

1. 元表达式

meta { 
   length | nfproto | l4proto | protocol | priority} [meta] { 
   mark | iif | iifname | iiftype | oif | oifname | oiftype | skuid | skgid | nftrace | rtclassid | ibrname | obrname | pkttype | cpu | iifgroup | oifgroup | cgroup | random | ipsec | iifkind | oifkind | time | hour | day } 

元表达式类型

元表达式特定类型

# 使用元表达式 # 合格的元表达式 filter output meta oif eth0 filter forward meta iifkind { 
    "tun", "veth" } # 【不合格的元表达式】 filter output oif eth0 # 传入的数据包经过 ipsec 处理 raw prerouting meta ipsec exists accept 

2. 套接字表达式
3. Osf表达式
4. 路由表达式
5. Numgen表达式
6. 哈希表达式

16. 有效载荷表达式

留空待写

17. 语句

1. Nat语句

语法规则

snat [[ip | ip6] to] ADDR_SPEC [:PORT_SPEC] [FLAGS] dnat [[ip | ip6] to] ADDR_SPEC [:PORT_SPEC] [FLAGS] masquerade [to :PORT_SPEC] [FLAGS] redirect [to :PORT_SPEC] [FLAGS] ADDR_SPEC := address | address - address PORT_SPEC := port | port - port FLAGS := FLAG [, FLAGS] FLAG := persistent | random | fully-random 

nat 语句仅对 nat 链类型有效。

待补充

18. 参考文档

1. nftables用户手册 man nft - mankier.com
2. golang库-nftableslib——lib文档
3. nftables官方文档 nftables HOWTO documentation page——HowTo中文翻译
4. 疑难问题解决和 FAQ
5. 其他前辈的文章1
6. 基佬杨写的教程
7. 第七章是nftables入门 Red Hat Enterprise Linux 8 安全网络-配置安全网络和网络通信
8. nftables家族介绍
9. 官方故障排除文档
10. 剖析语法文档——nftables相比iptables到底改变了什么
11. ebpf防火墙GUI版本——ebpfsnitch

版权声明：

本文来源网络，所有图片文章版权属于原作者，如有侵权，联系删除。

本文网址：https://www.mushiming.com/mjsbk/548.html