2.2. Rédaction et exécution de scripts nftables

• Le même format que la commande nft list ruleset affiche le jeu de règles :

  #!/usr/sbin/nft -f
  
  # Flush the rule set
  flush ruleset
  
  table inet example_table {
    chain example_chain {
      # Chain for incoming packets that drops all packets that
      # are not explicitly allowed by any rule in this chain
      type filter hook input priority 0; policy drop;
  
      # Accept connections to port 22 (ssh)
      tcp dport ssh accept
    }
  }

• La syntaxe est la même que pour les commandes nft:

  #!/usr/sbin/nft -f
  
  # Flush the rule set
  flush ruleset
  
  # Create a table
  add table inet example_table
  
  # Create a chain for incoming packets that drops all packets
  # that are not explicitly allowed by any rule in this chain
  add chain inet example_table example_chain { type filter hook input priority 0 ; policy drop ; }
  
  # Add a rule that accepts connections to port 22 (ssh)
  add rule inet example_table example_chain tcp dport ssh accept

Procédure

• Pour exécuter un script nftables en le passant à l'utilitaire nft, entrez :

  # nft -f /etc/nftables/<example_firewall_script>.nft

• Pour exécuter directement un script nftables:

  1. Pour chaque fois que vous effectuez cette opération :

     1. Veillez à ce que le script commence par la séquence shebang suivante :

        #!/usr/sbin/nft -f

        Important

        Si vous omettez le paramètre -f, l'utilitaire nft ne lit pas le script et affiche : Error: syntax error, unexpected newline, expecting string.

     2. Optionnel : Définissez le propriétaire du script sur root:

        # chown root /etc/nftables/<example_firewall_script>.nft

     3. Rendre le script exécutable pour le propriétaire :

        # chmod u x /etc/nftables/<example_firewall_script>.nft

  2. Exécutez le script :

     # /etc/nftables/<example_firewall_script>.nft

     Si aucune sortie n'est affichée, le système a exécuté le script avec succès.

Conditions préalables

• Les scripts nftables sont stockés dans le répertoire /etc/nftables/.