首页 iptables教程nft介绍与应用

firewalld介绍与管理

nft实战-nft备份还原

运维派隶属马哥教育旗下专业运维社区,是国内成立最早的IT运维技术社区,欢迎关注公众号:yunweipai
领取学习更多免费Linux云计算、Python、Docker、K8s教程关注公众号:马哥linux运维

nft

nft 介绍

nftables 是新的数据包分类框架,新的linux防火墙管理程序,旨在替代现存的 {ip,ip6,arp,eb}_tables,在 Linux 内核版本高于 3.13 时可用。提供一个新的命令行工具 nft,语法与 iptables 不同。

官方Wiki:https://wiki.nftables.org

官方文档:https://www.netfilter.org/projects/nftables/manpage.html

参考文档:https://www.mankier.com/8/nft

nft 相关概念

nftables 和 iptables 一样,由表(table)、链(chain)和规则(rule)组成,其中表包含链,链包含规则,规则是真正的 action,规则由地址,接口,端口或包含当前处理数据包中的其他数据等表达式以及诸如drop, queue, continue等声明组成。

与 iptables 相比,nftables 主要有以下几个变化:

  • iptables 规则的布局是基于连续的大块内存的,即数组式布局;而 nftables 的规则采用链式布局,即数组和链表的区别
  • iptables 大部分工作在内核态完成,如果要添加新功能,只能重新编译内核;而 nftables 的大部分工作是在用户态完成的,添加新功能更加容易,不需要改内核
  • nftables不包含任何内置表和链
  • 拥有使用额外脚本的能力, 拥有一些高级的类似编程语言的能力,例如定义变量和包含外部文件
  • iptables 有内置的链,即使只需要一条链,其他的链也会跟着注册;而 nftables 不存在内置的链,可以按需注册。由于 iptables 内置了一个数据包计数器,所以即使这些内置的链是空的,也会带来性能损耗
  • 简化了 IPv4/IPv6 双栈管理
  • 原生支持集合、字典和映射

nftables 的每个表只有一个地址簇,并且只适用于该簇的数据包。表可以指定五个簇中的一个:

nftables簇 iptables命令行工具
ip IPv4 地址 iptables
ip6 IPv6 地址 ip6tables
inet IPv4 和 IPv6 地址 iptables和ip6tables
arp 地址解析协议(ARP)地址 arptables
bridge 处理桥接数据包 ebtables

inet 同时适用于 IPv4 和 IPv6 的数据包,即统一了 ipip6 簇,可以更容易地定义规则,注:当没有指定地址簇时,默认为ip

IPv4/IPv6/Inet address family hooks

链是用来保存规则的,和表一样,链也需要被显示创建,因为 nftables 没有内置的链。链有以下两种类型:

  • 基本链 : 数据包的入口点,需要指定钩子类型和优先级,相当于内置链
  • 常规链 : 不需要指定钩子类型和优先级,可以用来做跳转,从逻辑上对规则进行分类,类似于自定义链

范例:

nft 常见用法

nft 命令格式

nft 命令基本格式

nft 操作符 操作目标 操作内容

规则选项

1 accept 接受 接受 包 停止处理
2 drop 丢弃 丢弃 包 停止处理
3 reject 拒绝 驳回 包 停止处理
4 queue 队列 发送包 到用户空间程序 停止处理
5 continue 继续 继续处理包
6 return 返回 发送到调用的规则链进行处理
7 jump 跳跃 发送到指定的规则链进行处理 当完成时或执行了返回的声明,返回到调用的规则链
8 goto 转到 发送到指定的规则链进行处理 不返回到调用的规则链
9 limit limit 达到接收包的匹配限制, 则根据规则处理包
10 log log 日志记录 包 继续处理
查看

范例:

增加

增加表:nft add table fillter

增加链:nft add chain filter input { type filter hook input priority 0 \; } # 要和hook(钩子)相关连

增加规则:nft add rule filter input tcp dport 22 accept

只需要把上面的 add 改为 delete 即可

更改链名用rename

更改规则用replace

本文链接:http://www.yunweipai.com/35076.html

firewalld介绍与管理

nft实战-nft备份还原

网友评论comments

发表评论

电子邮件地址不会被公开。

暂无评论

Copyright © 2012-2020 YUNWEIPAI.COM - 运维派
扫二维码
扫二维码
返回顶部