6.5. nftables コマンドにおける決定マップの使用

手順6.15 nftables での匿名マップの使用

1. example_table を作成します。

   # nft add table inet example_table

2. example_table に tcp_packets チェーンを作成します。

   # nft add chain inet example_table tcp_packets

3. このチェーンのトラフィックをカウントする tcp_packets にルールを追加します。

   # nft add rule inet example_table tcp_packets counter

4. example_table で udp_packets チェーンを作成します。

   # nft add chain inet example_table udp_packets

5. このチェーンのトラフィックをカウントする udp_packets にルールを追加します。

   # nft add rule inet example_table udp_packets counter

6. 着信トラフィックのチェーンを作成します。たとえば、example_table で着信トラフィックをフィルターする incoming_traffic という名前のチェーンを作成するには、次のコマンドを実行します。

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. 匿名マップを持つルールを incoming_traffic に追加します。

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   匿名マップはパケットを区別し、プロトコルに基づいて別のカウンターチェーンに送信します。
8. トラフィックカウンターの一覧を表示する場合は、example_table を表示します。

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }
   

   tcp_packets および udp_packets チェーンのカウンターは、受信したパケットとバイトの数の両方を表示します。

手順6.16 nftables での名前付きマップの使用

1. テーブルを作成します。たとえば、IPv4 パケットを処理する example_table という名前のテーブルを作成するには、次のコマンドを実行します。

   # nft add table ip example_table

2. チェーンを作成します。たとえば、example_table に、example_chain という名前のチェーンを作成するには、次のコマンドを実行します。

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   重要
   シェルで、セミコロンがコマンドの最後として解釈されないようにするには、セミコロンをバックスラッシュでエスケープする必要があります。
3. 空のマップを作成します。たとえば、IPv4 アドレスのマップを作成するには、次のコマンドを実行します。

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. マップを使用するルールを作成します。たとえば、次のコマンドは、両方とも example_map で定義されている IPv4 アドレスにアクションを適用するルールを example_table の example_chain に追加します。

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. IPv4 アドレスと対応するアクションを example_map に追加します。

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   この例では、IPv4 アドレスのアクションへのマッピングを定義します。上記で作成したルールと組み合わせて、ファイアウォールは 192.0. 2 .1 からのパケットを受け入れ、192.0. 2. からのパケットをドロップします。
6. 必要に応じて、別の IP アドレスおよび action ステートメントを追加してマップを拡張します。

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. 必要に応じて、マップからエントリーを削除します。

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. 必要に応じて、ルールセットを表示します。

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }