6.4. nftables コマンドを使用したセットの使用

手順6.13 nftables での匿名セットの使用

1. たとえば、ポート 22、80、および 443 への着信トラフィックを許可するルールを example_table の example_chain に追加するには、次のコマンドを実行します。

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

2. 必要に応じて、example_table ですべてのチェーンとそのルールを表示します。

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }
   

手順6.14 nftables で名前付きセットの使用

1. 空のファイルを作成します。以下の例では、IPv4 アドレスのセットを作成します。

   1. 複数の IPv4 アドレスを保存できるセットを作成するには、次のコマンドを実行します。

      # nft add set inet example_table example_set { type ipv4_addr \; }

   2. IPv4 アドレス範囲を保存できるセットを作成するには、次のコマンドを実行します。

      # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   重要
   シェルで、セミコロンがコマンドの最後として解釈されないようにするには、セミコロンをバックスラッシュでエスケープする必要があります。
2. 必要に応じて、セットを使用するルールを作成します。たとえば、次のコマンドは、example_set の IPv4 アドレスからのパケットをすべて破棄するルールを example_table の example_chain に追加します。

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   example_set が空のままなので、ルールには現在影響がありません。

3. IPv4 アドレスを example_set に追加します。

   1. 個々の IPv4 アドレスを保存するセットを作成する場合は、次のコマンドを実行します。

      # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   2. IPv4 範囲を保存するセットを作成する場合は、次のコマンドを実行します。

      # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

   IP アドレス範囲を指定する場合は、上記の例の 192.0.2.0/24 など、CIDR(Classless Inter-Domain Routing)表記を使用することもできます。