2.5. Utilisation des ensembles dans les commandes nftables

Procédure

1. Par exemple, pour ajouter une règle à example_chain dans example_table qui autorise le trafic entrant vers les ports 22, 80 et 443:

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

2. Optionnel : Afficher toutes les chaînes et leurs règles sur example_table:

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

Procédure

1. Créez un ensemble vide. Les exemples suivants créent un ensemble pour les adresses IPv4 :

   • Pour créer un ensemble pouvant stocker plusieurs adresses IPv4 individuelles :

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • Pour créer un ensemble capable de stocker des plages d'adresses IPv4 :

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   Important

   Pour éviter que l'interpréteur de commandes n'interprète les points-virgules comme la fin de la commande, vous devez les faire précéder d'une barre oblique inverse.

2. Facultatif : Créez des règles qui utilisent l'ensemble. Par exemple, la commande suivante ajoute une règle à l'ensemble example_chain dans l'ensemble example_table qui supprimera tous les paquets provenant des adresses IPv4 de l'ensemble example_set.

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   Comme example_set est toujours vide, la règle n'a actuellement aucun effet.

3. Ajouter des adresses IPv4 à example_set:

   • Si vous créez un ensemble qui stocke des adresses IPv4 individuelles, entrez :

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   • Si vous créez un ensemble qui stocke des plages IPv4, entrez :

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     Lorsque vous spécifiez une plage d'adresses IP, vous pouvez également utiliser la notation CIDR (Classless Inter-Domain Routing), comme 192.0.2.0/24 dans l'exemple ci-dessus.