CentOS 8中怎么用nftables

這篇文章給大家分享的是有關(guān)CentOS 8中怎么用nftables的內(nèi)容。小編覺(jué)得挺實(shí)用的，因此分享給大家做個(gè)參考，一起跟隨小編過(guò)來(lái)看看吧。

nftables 是一個(gè) netfilter 項(xiàng)目，旨在替換現(xiàn)有的 {ip,ip6,arp,eb}tables 框架，為 {ip,ip6}tables 提供一個(gè)新的包過(guò)濾框架、一個(gè)新的用戶空間實(shí)用程序（nft）和一個(gè)兼容層。它使用現(xiàn)有的鉤子、鏈接跟蹤系統(tǒng)、用戶空間排隊(duì)組件和 netfilter 日志子系統(tǒng)。

nftables 主要由三個(gè)組件組成：內(nèi)核實(shí)現(xiàn)、libnl netlink 通信和 nftables 用戶空間。 其中內(nèi)核提供了一個(gè) netlink 配置接口以及運(yùn)行時(shí)規(guī)則集評(píng)估，libnl 包含了與內(nèi)核通信的基本函數(shù)，用戶空間可以通過(guò) nft 和用戶進(jìn)行交互。

本文主要介紹用戶空間命令行工具 nft 的用法。

1. nftables VS iptables

nftables 和 iptables 一樣，由表（table）、鏈（chain）和規(guī)則（rule）組成，其中表包含鏈，鏈包含規(guī)則，規(guī)則是真正的 action。與 iptables 相比，nftables 主要有以下幾個(gè)變化：

• iptables 規(guī)則的布局是基于連續(xù)的大塊內(nèi)存的，即數(shù)組式布局；而 nftables 的規(guī)則采用鏈?zhǔn)讲季?。其?shí)就是數(shù)組和鏈表的區(qū)別，好像 Kubernetes 用戶對(duì)此應(yīng)該很興奮？

• iptables 大部分工作在內(nèi)核態(tài)完成，如果要添加新功能，只能重新編譯內(nèi)核；而 nftables 的大部分工作是在用戶態(tài)完成的，添加新功能很 easy，不需要改內(nèi)核。

• iptables 有內(nèi)置的鏈，即使你只需要一條鏈，其他的鏈也會(huì)跟著注冊(cè)；而 nftables 不存在內(nèi)置的鏈，你可以按需注冊(cè)。由于 iptables 內(nèi)置了一個(gè)數(shù)據(jù)包計(jì)數(shù)器，所以即使這些內(nèi)置的鏈?zhǔn)强盏?，也?huì)帶來(lái)性能損耗。

• 簡(jiǎn)化了 IPv4/IPv6 雙棧管理

• 原生支持集合、字典和映射

回到 nftables，先來(lái)看一下默認(rèn)的規(guī)則集是啥：

$ nft list ruleset

啥也沒(méi)有，果然是沒(méi)有內(nèi)置的鏈?。ㄈ绻汴P(guān)閉了 firewalld 服務(wù)）。

2. 創(chuàng)建表

nftables 的每個(gè)表只有一個(gè)地址簇，并且只適用于該簇的數(shù)據(jù)包。表可以指定五個(gè)簇中的一個(gè)：

inet 同時(shí)適用于 IPv4 和 IPv6 的數(shù)據(jù)包，即統(tǒng)一了 ip 和 ip6 簇，可以更容易地定義規(guī)則，下文的示例都將采用 inet 簇。

先創(chuàng)建一個(gè)新的表：

$ nft add table inet my_table

列出所有的規(guī)則：

$ nft list ruleset
table inet my_table {
}

現(xiàn)在表中還沒(méi)有任何規(guī)則，需要?jiǎng)?chuàng)建一個(gè)鏈來(lái)保存規(guī)則。

3. 創(chuàng)建鏈

鏈?zhǔn)怯脕?lái)保存規(guī)則的，和表一樣，鏈也需要被顯示創(chuàng)建，因?yàn)?nftables 沒(méi)有內(nèi)置的鏈。鏈有以下兩種類(lèi)型：

• 常規(guī)鏈 : 不需要指定鉤子類(lèi)型和優(yōu)先級(jí)，可以用來(lái)做跳轉(zhuǎn)，從邏輯上對(duì)規(guī)則進(jìn)行分類(lèi)。

• 基本鏈 : 數(shù)據(jù)包的入口點(diǎn)，需要指定鉤子類(lèi)型和優(yōu)先級(jí)。

創(chuàng)建常規(guī)鏈：

$ nft add chain inet my_table my_utility_chain

創(chuàng)建基本鏈：

$ nft add chain inet my_table my_filter_chain { type filter hook input priority 0 \; }

• 反斜線（\）用來(lái)轉(zhuǎn)義，這樣 shell 就不會(huì)將分號(hào)解釋為命令的結(jié)尾。

• priority 采用整數(shù)值，可以是負(fù)數(shù)，值較小的鏈優(yōu)先處理。

列出鏈中的所有規(guī)則：

$ nft list chain inet my_table my_utility_chain
table inet my_table {
        chain my_utility_chain {
        }
}

$ nft list chain inet my_table my_filter_chain
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
        }
}

4. 創(chuàng)建規(guī)則

有了表和鏈之后，就可以創(chuàng)建規(guī)則了，規(guī)則由語(yǔ)句或表達(dá)式構(gòu)成，包含在鏈中。下面添加一條規(guī)則允許 SSH 登錄：

$ nft add rule inet my_table my_filter_chain tcp dport ssh accept

add 表示將規(guī)則添加到鏈的末尾，如果想將規(guī)則添加到鏈的開(kāi)頭，可以使用 insert。

$ nft insert rule inet my_table my_filter_chain tcp dport http accept

列出所有規(guī)則：

$ nft list ruleset
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
                tcp dport http accept
                tcp dport ssh accept
        }
}

注意 http 規(guī)則排在 ssh 規(guī)則的前面，因?yàn)橹笆褂昧?insert。

也可以將規(guī)則插入到鏈的指定位置，有兩種方法：

1、 使用 index 來(lái)指定規(guī)則的索引。add 表示新規(guī)則添加在索引位置的規(guī)則后面，inser 表示新規(guī)則添加在索引位置的規(guī)則前面。index 的值從 0 開(kāi)始增加。

$ nft insert rule inet my_table my_filter_chain index 1 tcp dport nfs accept
$ nft list ruleset
table inet my_table {
     chain my_filter_chain {
             type filter hook input priority 0; policy accept;
             tcp dport http accept
             tcp dport nfs accept
             tcp dport ssh accept
     }
}

$ nft add rule inet my_table my_filter_chain index 0 tcp dport 1234 accept
$ nft list ruleset
table inet my_table {
     chain my_filter_chain {
             type filter hook input priority 0; policy accept;
             tcp dport http accept
             tcp dport 1234 accept
             tcp dport nfs accept
             tcp dport ssh accept
     }
}

index 類(lèi)似于 iptables 的 -I 選項(xiàng)，但有兩點(diǎn)需要注意：一是 index 的值是從 0 開(kāi)始的；二是 index 必須指向一個(gè)存在的規(guī)則，比如 nft insert rule … index 0 就是非法的。

2、 使用 handle 來(lái)指定規(guī)則的句柄。add 表示新規(guī)則添加在索引位置的規(guī)則后面，inser 表示新規(guī)則添加在索引位置的規(guī)則前面。handle 的值可以通過(guò)參數(shù) --handle 獲取。

$ nft --handle list ruleset
table inet my_table { # handle 10
     chain my_filter_chain { # handle 2
             type filter hook input priority 0; policy accept;
             tcp dport http accept # handle 4
             tcp dport 1234 accept # handle 6
             tcp dport nfs accept # handle 5
             tcp dport ssh accept # handle 3
     }
}

$ nft add rule inet my_table my_filter_chain handle 4 tcp dport 1234 accept
$ nft insert rule inet my_table my_filter_chain handle 5 tcp dport nfs accept
$ nft --handle list ruleset
table inet my_table { # handle 10
     chain my_filter_chain { # handle 2
             type filter hook input priority 0; policy accept;
             tcp dport http accept # handle 4
             tcp dport 2345 accept # handle 8
             tcp dport 1234 accept # handle 6
             tcp dport 3456 accept # handle 9
             tcp dport nfs accept # handle 5
             tcp dport ssh accept # handle 3
     }
}

在 nftables 中，句柄值是固定不變的，除非規(guī)則被刪除，這就為規(guī)則提供了穩(wěn)定的索引。而 index 的值是可變的，只要有新規(guī)則插入，就有可能發(fā)生變化。一般建議使用 handle 來(lái)插入新規(guī)則。

也可以在創(chuàng)建規(guī)則時(shí)就獲取到規(guī)則的句柄值，只需要在創(chuàng)建規(guī)則時(shí)同時(shí)加上參數(shù) --echo 和 --handle。

$ nft --echo --handle add rule inet my_table my_filter_chain udp dport 3333 accept
add rule inet my_table my_filter_chain udp dport 3333 accept # handle 10

5. 刪除規(guī)則

單個(gè)規(guī)則只能通過(guò)其句柄刪除，首先需要找到你想刪除的規(guī)則句柄：

$ nft --handle list ruleset
table inet my_table { # handle 10
        chain my_filter_chain { # handle 2
                type filter hook input priority 0; policy accept;
                tcp dport http accept # handle 4
                tcp dport 2345 accept # handle 8
                tcp dport 1234 accept # handle 6
                tcp dport 3456 accept # handle 9
                tcp dport nfs accept # handle 5
                tcp dport ssh accept # handle 3
                udp dport 3333 accept # handle 10
        }
}

然后使用句柄值來(lái)刪除該規(guī)則：

$ nft delete rule inet my_table my_filter_chain handle 8
$ nft --handle list ruleset
table inet my_table { # handle 10
        chain my_filter_chain { # handle 2
                type filter hook input priority 0; policy accept;
                tcp dport http accept # handle 4
                tcp dport 1234 accept # handle 6
                tcp dport 3456 accept # handle 9
                tcp dport nfs accept # handle 5
                tcp dport ssh accept # handle 3
                udp dport 3333 accept # handle 10
        }
}

6. 列出規(guī)則

前面的示例都是列出了所有規(guī)則，我們還可以根據(jù)自己的需求列出規(guī)則的一部分。例如：

列出某個(gè)表中的所有規(guī)則：

$ nft list table inet my_table
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
                tcp dport http accept
                tcp dport 1234 accept
                tcp dport 3456 accept
                tcp dport nfs accept
                tcp dport ssh accept
                udp dport 3333 accept
        }
}

列出某條鏈中的所有規(guī)則：

$ nft list chain inet my_table my_other_chain
table inet my_table {
    chain my_other_chain {
        udp dport 12345 log prefix "UDP-12345"
    }
}

7. 集合

nftables 的語(yǔ)法原生支持集合，可以用來(lái)匹配多個(gè) IP 地址、端口號(hào)、網(wǎng)卡或其他任何條件。

匿名集合

集合分為匿名集合與命名集合，匿名集合比較適合用于將來(lái)不需要更改的規(guī)則。

例如，下面的規(guī)則允許來(lái)自源 IP 處于 10.10.10.123 ~ 10.10.10.231 這個(gè)區(qū)間內(nèi)的主機(jī)的流量。

$ nft add rule inet my_table my_filter_chain ip saddr { 10.10.10.123, 10.10.10.231 } accept
$ nft list ruleset
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
                tcp dport http accept
                tcp dport nfs accept
                tcp dport ssh accept
                ip saddr { 10.10.10.123, 10.10.10.231 } accept
        }
}

匿名集合的缺點(diǎn)是，如果需要修改集合，就得替換規(guī)則。如果后面需要頻繁修改集合，推薦使用命名集合。

之前的示例中添加的規(guī)則也可以通過(guò)集合來(lái)簡(jiǎn)化：

$ nft add rule inet my_table my_filter_chain tcp dport { http, nfs, ssh } accept

> iptables 可以借助 ipset 來(lái)使用集合，而 nftables 原生支持集合，所以不需要借助 ipset。

命名集合

nftables 也支持命名集合，命名集合是可以修改的。創(chuàng)建集合需要指定其元素的類(lèi)型，當(dāng)前支持的數(shù)據(jù)類(lèi)型有：

• ipv4_addr : IPv4 地址

• ipv6_addr : IPv6 地址

• ether_addr : 以太網(wǎng)（Ethernet）地址

• inet_proto : 網(wǎng)絡(luò)協(xié)議

• inet_service : 網(wǎng)絡(luò)服務(wù)

• mark : 標(biāo)記類(lèi)型

先創(chuàng)建一個(gè)空的命名集合：

$ nft add set inet my_table my_set { type ipv4_addr \; }
$ nft list sets
table inet my_table {
        set my_set {
                type ipv4_addr
        }
}

要想在添加規(guī)則時(shí)引用集合，可以使用 @ 符號(hào)跟上集合的名字。下面的規(guī)則表示將集合 my_set 中的 IP 地址添加到黑名單中。

$ nft insert rule inet my_table my_filter_chain ip saddr @my_set drop
$ nft list chain inet my_table my_filter_chain
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
                ip saddr @my_set drop
                tcp dport http accept
                tcp dport nfs accept
                tcp dport ssh accept
                ip saddr { 10.10.10.123, 10.10.10.231 } accept
        }
}

向集合中添加元素：

$ nft add element inet my_table my_set { 10.10.10.22, 10.10.10.33 }
$ nft list set inet my_table my_set
table inet my_table {
        set my_set {
                type ipv4_addr
                elements = { 10.10.10.22, 10.10.10.33 }
        }
}

如果你向集合中添加一個(gè)區(qū)間就會(huì)報(bào)錯(cuò)：

$ nft add element inet my_table my_set { 10.20.20.0-10.20.20.255 }

Error: Set member cannot be range, missing interval flag on declaration
add element inet my_table my_set { 10.20.20.0-10.20.20.255 }
                                   ^^^^^^^^^^^^^^^^^^^^^^^

要想在集合中使用區(qū)間，需要加上一個(gè) flag interval，因?yàn)閮?nèi)核必須提前確認(rèn)該集合存儲(chǔ)的數(shù)據(jù)類(lèi)型，以便采用適當(dāng)?shù)臄?shù)據(jù)結(jié)構(gòu)。

支持區(qū)間

創(chuàng)建一個(gè)支持區(qū)間的命名集合：

$ nft add set inet my_table my_range_set { type ipv4_addr \; flags interval
$ nft add element inet my_table my_range_set { 10.20.20.0/24 }
$ nft list set inet my_table my_range_set
table inet my_table {
        set my_range_set {
                type ipv4_addr
                flags interval
                elements = { 10.20.20.0/24 }
        }
}

> 子網(wǎng)掩碼表示法會(huì)被隱式轉(zhuǎn)換為 IP 地址的區(qū)間，你也可以直接使用區(qū)間 10.20.20.0-10.20.20.255 來(lái)獲得相同的效果。

級(jí)聯(lián)不同類(lèi)型

命名集合也支持對(duì)不同類(lèi)型的元素進(jìn)行級(jí)聯(lián)，通過(guò)級(jí)聯(lián)操作符 . 來(lái)分隔。例如，下面的規(guī)則可以一次性匹配 IP 地址、協(xié)議和端口號(hào)。

$ nft add set inet my_table my_concat_set  { type ipv4_addr . inet_proto . inet_service \; }

$ nft list set inet my_table my_concat_set
table inet my_table {
        set my_concat_set {
                type ipv4_addr . inet_proto . inet_service
        }
}

向集合中添加元素：

$ nft add element inet my_table my_concat_set { 10.30.30.30 . tcp . telnet }

在規(guī)則中引用級(jí)聯(lián)類(lèi)型的集合和之前一樣，但需要標(biāo)明集合中每個(gè)元素對(duì)應(yīng)到規(guī)則中的哪個(gè)位置。

$ nft add rule inet my_table my_filter_chain ip saddr . meta l4proto . tcp dport @my_concat_set accept

這就表示如果數(shù)據(jù)包的源 IP、協(xié)議類(lèi)型、目標(biāo)端口匹配 10.30.30.30、tcp、telnet 時(shí)，nftables 就會(huì)允許該數(shù)據(jù)包通過(guò)。

匿名集合也可以使用級(jí)聯(lián)元素，例如：

$ nft add rule inet my_table my_filter_chain ip saddr . meta l4proto . udp dport { 10.30.30.30 . udp . bootps } accept

現(xiàn)在你應(yīng)該能體會(huì)到 nftables 集合的強(qiáng)大之處了吧。

> nftables 級(jí)聯(lián)類(lèi)型的集合類(lèi)似于 ipset 的聚合類(lèi)型，例如 hash:ip,port。

8. 字典

字典是 nftables 的一個(gè)高級(jí)特性，它可以使用不同類(lèi)型的數(shù)據(jù)并將匹配條件映射到某一個(gè)規(guī)則上面，并且由于是哈希映射的方式，可以完美的避免鏈?zhǔn)揭?guī)則跳轉(zhuǎn)的性能開(kāi)銷(xiāo)。

例如，為了從邏輯上將對(duì) TCP 和 UDP 數(shù)據(jù)包的處理規(guī)則拆分開(kāi)來(lái)，可以使用字典來(lái)實(shí)現(xiàn)，這樣就可以通過(guò)一條規(guī)則實(shí)現(xiàn)上述需求。

$ nft add chain inet my_table my_tcp_chain
$ nft add chain inet my_table my_udp_chain
$ nft add rule inet my_table my_filter_chain meta l4proto vmap { tcp : jump my_tcp_chain, udp : jump my_udp_chain }
$ nft list chain inet my_table my_filter_chain
table inet my_table {
    chain my_filter_chain {
    ...
    meta nfproto ipv4 ip saddr . meta l4proto . udp dport { 10.30.30.30 . udp . bootps } accept
    meta l4proto vmap { tcp : jump my_tcp_chain, udp : jump my_udp_chain }
    }
}

和集合一樣，除了匿名字典之外，還可以創(chuàng)建命名字典：

$ nft add map inet my_table my_vmap { type inet_proto : verdict \; }

向字典中添加元素：

$ nft add element inet my_table my_vmap { 192.168.0.10 : drop, 192.168.0.11 : accept }

后面就可以在規(guī)則中引用字典中的元素了：

$ nft add rule inet my_table my_filter_chain ip saddr vmap @my_vmap

9. 表與命名空間

在 nftables 中，每個(gè)表都是一個(gè)獨(dú)立的命名空間，這就意味著不同的表中的鏈、集合、字典等都可以有相同的名字。例如：

$ nft add table inet table_one
$ nft add chain inet table_one my_chain
$ nft add table inet table_two
$ nft add chain inet table_two my_chain
$ nft list ruleset
...
table inet table_one {
    chain my_chain {
    }
}
table inet table_two {
    chain my_chain {
    }
}

有了這個(gè)特性，不同的應(yīng)用就可以在相互不影響的情況下管理自己的表中的規(guī)則，而使用 iptables 就無(wú)法做到這一點(diǎn)。

當(dāng)然，這個(gè)特性也有缺陷，由于每個(gè)表都被視為獨(dú)立的防火墻，那么某個(gè)數(shù)據(jù)包必須被所有表中的規(guī)則放行，才算真正的放行，即使 table_one 允許該數(shù)據(jù)包通過(guò)，該數(shù)據(jù)包仍然有可能被 table_two 拒絕。為了解決這個(gè)問(wèn)題，nftables 引入了優(yōu)先級(jí)，priority 值越高的鏈優(yōu)先級(jí)越低，所以 priority 值低的鏈比 priority 值高的鏈先執(zhí)行。如果兩條鏈的優(yōu)先級(jí)相同，就會(huì)進(jìn)入競(jìng)爭(zhēng)狀態(tài)。

10. 備份與恢復(fù)

以上所有示例中的規(guī)則都是臨時(shí)的，要想永久生效，我們可以將規(guī)則備份，重啟后自動(dòng)加載恢復(fù)，其實(shí) nftables 的 systemd 服務(wù)就是這么工作的。

備份規(guī)則：

$ nft list ruleset > /root/nftables.conf

加載恢復(fù)：

$ nft -f /root/nftables.conf

在 CentOS 8 中，nftables.service 的規(guī)則被存儲(chǔ)在 /etc/nftables.conf 中，其中 include 一些其他的示例規(guī)則，一般位于 /etc/sysconfig/nftables.conf 文件中，但默認(rèn)會(huì)被注釋掉。

感謝各位的閱讀！關(guān)于“CentOS 8中怎么用nftables”這篇文章就分享到這里了，希望以上內(nèi)容可以對(duì)大家有一定的幫助，讓大家可以學(xué)到更多知識(shí)，如果覺(jué)得文章不錯(cuò)，可以把它分享出去讓更多的人看到吧！