2.6. Utilisation des cartes de verdict dans les commandes nftables

Procédure

1. Créer un nouveau tableau :

   # nft add table inet example_table

2. Créez la chaîne tcp_packets dans example_table:

   # nft add chain inet example_table tcp_packets

3. Ajoutez une règle à tcp_packets qui compte le trafic dans cette chaîne :

   # nft add rule inet example_table tcp_packets counter

4. Créer la chaîne udp_packets dans example_table

   # nft add chain inet example_table udp_packets

5. Ajoutez une règle à udp_packets qui compte le trafic dans cette chaîne :

   # nft add rule inet example_table udp_packets counter

6. Créez une chaîne pour le trafic entrant. Par exemple, pour créer une chaîne nommée incoming_traffic dans example_table qui filtre le trafic entrant :

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. Ajouter une règle avec une carte anonyme à incoming_traffic:

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   La carte anonyme distingue les paquets et les envoie aux différentes chaînes de comptage en fonction de leur protocole.

8. Pour dresser la liste des compteurs de trafic, affichez example_table:

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }

   Les compteurs des chaînes tcp_packets et udp_packets affichent le nombre de paquets et d'octets reçus.

Procédure

1. Créez une table. Par exemple, pour créer une table nommée example_table qui traite les paquets IPv4 :

   # nft add table ip example_table

2. Créer une chaîne. Par exemple, pour créer une chaîne nommée example_chain dans example_table:

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   Important

   Pour éviter que l'interpréteur de commandes n'interprète les points-virgules comme la fin de la commande, vous devez les faire précéder d'une barre oblique inverse.

3. Créez une carte vide. Par exemple, pour créer une carte pour les adresses IPv4 :

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. Créez des règles qui utilisent la carte. Par exemple, la commande suivante ajoute une règle à example_chain dans example_table qui applique des actions aux adresses IPv4 qui sont toutes deux définies dans example_map:

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. Ajouter les adresses IPv4 et les actions correspondantes à example_map:

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   Cet exemple définit les correspondances entre les adresses IPv4 et les actions. En combinaison avec la règle créée ci-dessus, le pare-feu accepte les paquets provenant de 192.0.2.1 et laisse tomber les paquets provenant de 192.0.2.2.

6. Facultatif : Améliorez la carte en ajoutant une autre adresse IP et une déclaration d'action :

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. Facultatif : Supprimer une entrée de la carte :

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. Facultatif : Affichez l'ensemble de règles :

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }