ファイアウォールおよびパケットフィルターの設定

手順

1. 現在のデフォルトゾーンを表示します。

   # firewall-cmd --get-default-zone

2. 新しいデフォルトゾーンを設定します。

   # firewall-cmd --set-default-zone <zone_name>

   注記

   この手順では、--permanent オプションを使用しなくても、設定は永続化します。

手順

1. 新しいゾーンを作成します。

   # firewall-cmd --permanent --new-zone=zone-name

2. 新しいゾーンを使用可能にします。

   # firewall-cmd --reload

   このコマンドは、すでに実行中のネットワークサービスを中断することなく、最近の変更をファイアウォール設定に適用します。

手順

1. アクティブゾーン、およびそのゾーンに割り当てられているインターフェイスをリスト表示します。

   # firewall-cmd --get-active-zones

2. 別のゾーンにインターフェイスを割り当てます。

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

手順

1. 利用可能なすべてのゾーンをリストします。

   # firewall-cmd --get-zones

2. 永続化モードで、信頼ゾーンにソース IP を追加します。

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 必要なゾーンに対して許可されているソースのリストを表示します。

   # firewall-cmd --zone=zone-name --list-sources

2. ゾーンからソースを永続的に削除します。

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. ゾーンを NetworkManager 接続プロファイルに割り当てます。

   # nmcli connection modify profile connection.zone zone_name

2. 接続をアクティベートします。

   # nmcli connection up profile

手順

1. 特定ゾーンに対する情報をリスト表示して、デフォルトゾーンを確認します。

   # firewall-cmd --zone=zone-name --list-all

2. ゾーンに新しいターゲットを設定します。

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

手順

1. 利用可能なファイアウォールゾーンをリスト表示します。

   # firewall-cmd --get-zones

   firewall-cmd --get-zones コマンドは、システムで利用可能なすべてのゾーンを表示し、特定のゾーンの詳細は表示しません。すべてのゾーンの詳細情報を表示するには、firewall-cmd --list-all-zones コマンドを使用します。

2. この設定に使用するゾーンを選択します。

3. 選択したゾーンのファイアウォール設定を変更します。たとえば、SSH サービスを許可し、ftp サービスを削除するには、次のようにします。

   # firewall-cmd --add-service=ssh --zone=<your_chosen_zone>
   # firewall-cmd --remove-service=ftp --zone=<same_chosen_zone>

4. ネットワークインターフェイスをファイアウォールゾーンに割り当てます。

   1. 使用可能なネットワークインターフェイスをリスト表示します。

      # firewall-cmd --get-active-zones

      ゾーンがアクティブかどうかは、その設定と一致するネットワークインターフェイスまたはソースアドレス範囲の存在によって決定します。デフォルトゾーンは、未分類のトラフィックに対してアクティブですが、ルールに一致するトラフィックがない場合は常にアクティブになるわけではありません。

   2. 選択したゾーンにネットワークインターフェイスを割り当てます。

      # firewall-cmd --zone=<your_chosen_zone> --change-interface=<interface_name> --permanent

      ネットワークインターフェイスをゾーンに割り当てることは、特定のインターフェイス (物理または仮想) 上のすべてのトラフィックに一貫したファイアウォール設定を適用する場合に適しています。

      firewall-cmd コマンドを --permanent オプションとともに使用すると、多くの場合、NetworkManager 接続プロファイルが更新され、ファイアウォール設定に対する変更が永続化します。この firewalld と NetworkManager の統合により、ネットワークとファイアウォールの設定に一貫性が確保されます。

検証

1. 選択したゾーンの更新後の設定を表示します。

   # firewall-cmd --zone=<your_chosen_zone> --list-all

   コマンド出力には、割り当てられたサービス、ネットワークインターフェイス、ネットワーク接続 (ソース) を含むすべてのゾーン設定が表示されます。

手順

1. 分かりやすい名前で IP セットを作成します。

   # firewall-cmd --permanent --new-ipset=allowlist --type=hash:ip

   この allowlist という新しい IP セットには、ファイアウォールで許可する IP アドレスが含まれています。

2. IP セットに動的更新を追加します。

   # firewall-cmd --permanent --ipset=allowlist --add-entry=198.51.100.10

   この設定により、新しく追加した、ネットワークトラフィックを渡すことがファイアウォールにより許可される IP アドレスで、allowlist の IP セットが更新されます。

3. 先に作成した IP セットを参照するファイアウォールのルールを作成します。

   # firewall-cmd --permanent --zone=public --add-source=ipset:allowlist

   このルールがない場合、IP アドレスの設定はネットワークトラフィックに何の影響も与えず、デフォルトのファイアウォールポリシーが優先されます。

4. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

検証

1. すべての IP セットをリスト表示します。

   # firewall-cmd --get-ipsets
   allowlist

2. アクティブなルールをリスト表示します。

   # firewall-cmd --list-all
   public (active)
     target: default
     icmp-block-inversion: no
     interfaces: enp0s1
     sources: ipset:allowlist
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     ...

   コマンドライン出力の sources セクションでは、どのトラフィックの発信元 (ホスト名、インターフェイス、IP セット、サブネットなど) が、特定のファイアウォールゾーンへのアクセスを許可または拒否されているかについて洞察が得られます。上記の場合、allowlist IP セットに含まれる IP アドレスが、public ゾーンのファイアウォールを通してトラフィックを渡すことが許可されています。

3. IP セットの内容を調べます。

   # cat /etc/firewalld/ipsets/allowlist.xml
   <?xml version="1.0" encoding="utf-8"?>
   <ipset type="hash:ip">
     <entry>198.51.100.10</entry>
   </ipset>

手順

1. RHEL 10 Web コンソールにログインします。
2. Networking をクリックします。
3. Edit rules and zones ボタンをクリックします。
4. Firewall セクションの Add new zone をクリックします。

5. Add zone ダイアログボックスで、Trust level オプションからゾーンを選択します。

   Web コンソールには、firewalld サービスで事前定義されたすべてのゾーンが表示されます。

6. Interfaces 部分で、選択したゾーンを適用するインターフェイスを 1 つまたは複数選択します。

7. Allowed Addresses 部分で、ゾーンを適用するかどうかを選択できます。

   • サブネット全体

   • 次の形式の IP アドレスの範囲:

     • 192.168.1.0
     • 192.168.1.0/24
     • 192.168.1.0/24, 192.168.1.0
8. Add zone ボタンをクリックします。

手順

1. RHEL 10 Web コンソールにログインします。
2. Networking をクリックします。
3. Edit rules and zones ボタンをクリックします。

4. 削除するゾーンの ⋮ ボタン (縦の省略記号メニュー) をクリックします。

   

5. Delete をクリックします。

手順

1. firewalld のサービスがまだ許可されていないことを確認します。

   # firewall-cmd --list-services
   ssh dhcpv6-client

   このコマンドは、デフォルトゾーンで有効になっているサービスをリスト表示します。

2. firewalld のすべての事前定義サービスをリスト表示します。

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...

   このコマンドは、デフォルトゾーンで利用可能なサービスのリストを表示します。

3. firewalld が許可するサービスのリストにサービスを追加します。

   # firewall-cmd --add-service=<service_name>

   このコマンドは、指定したサービスをデフォルトゾーンに追加します。

4. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

   このコマンドは、これらのランタイムの変更をファイアウォールの永続的な設定に適用します。デフォルトでは、これらの変更はデフォルトゾーンの設定に適用されます。

手順

1. RHEL 10 Web コンソールにログインします。
2. Networking をクリックします。
3. Edit rules and zones ボタンをクリックします。
4. Firewall セクションで、サービスを追加するゾーンを選択し、Add Services をクリックします。
5. Add Services ダイアログボックスで、ファイアウォールで有効にするサービスを見つけます。
6. シナリオに応じてサービスを有効にします。
7. Add Services をクリックします。

手順

1. RHEL 10 Web コンソールにログインします。
2. Networking をクリックします。

3. Edit rules and zones ボタンをクリックします。

   ルールとゾーンの編集 ボタンが表示されない場合は、Web コンソールに管理者権限でログインしてください。

4. Firewall セクションで、カスタムポートを設定するゾーンを選択し、Add Services をクリックします。
5. Add services ダイアログボックスで、Custom Ports ラジオボタンをクリックします。

6. TCP フィールドおよび UDP フィールドに、例に従ってポートを追加します。以下の形式でポートを追加できます。

   • ポート番号 (22 など)
   • ポート番号の範囲 (5900-5910 など)
   • エイリアス (nfs、rsync など)
   注記

   各フィールドには、複数の値を追加できます。値はスペースを入れずにコンマで区切る必要があります (例: 8080,8081,http)。

7. TCP フィールド、UDP フィールド、またはその両方にポート番号を追加した後、Name フィールドでサービス名を確認します。

   Name フィールドには、このポートを予約しているサービスの名前が表示されます。このポートが自由に使用可能であり、かつどのサーバーもこのポートで通信するにあたってそのサービスを必要としていないのであれば、その名前を書き換えても構いません。

8. Name フィールドに、定義されたポートを含むサービスの名前を追加します。
9. Add Ports ボタンをクリックします。

手順

1. 新しいファイアウォールポリシーを作成します。

   # firewall-cmd --permanent --new-policy podmanToAny

2. Podman から他のゾーンへのすべてのトラフィックをブロックし、Podman で必要なサービスのみを許可します。

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

3. 新しい Podman ゾーンを作成します。

   # firewall-cmd --permanent --new-zone=podman

4. ポリシーのイングレスゾーンを定義します。

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

5. 他のすべてのゾーンのエグレスゾーンを定義します。

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   エグレスゾーンを ANY に設定すると、Podman と他のゾーンの間でフィルタリングすることになります。ホストに対してフィルタリングする場合は、エグレスゾーンを HOST に設定します。

6. firewalld サービスを再起動します。

   # systemctl restart firewalld

手順

1. IP マスカレードが有効かどうかを確認するには (たとえば、external ゾーンの場合)、root として次のコマンドを入力します。

   # firewall-cmd --zone=external --query-masquerade

   このコマンドでは、有効な場合は yes と出力され、終了ステータスは 0 になります。無効の場合は no と出力され、終了ステータスは 1 になります。ゾーン が省略された場合、firewalld はデフォルトのゾーンを使用します。

2. IP マスカレードを有効にするには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --add-masquerade

3. この設定を永続化するには、--permanent オプションをコマンドに渡します。

4. IP マスカレードを無効にするには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --remove-masquerade

   この設定を永続化するには、--permanent をコマンドラインに渡します。

手順

1. 着信 HTTP トラフィックを転送します。

   # firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toaddr=198.51.100.10:toport=8080 --permanent

   上記のコマンドは、次の設定で DNAT ルールを定義します。

   • --zone=public - DNAT ルールを設定するファイアウォールゾーン。必要なゾーンに合わせて調整できます。
   • --add-forward-port - ポート転送ルールを追加することを示すオプション。
   • port=80 - 外部宛先ポート。
   • proto=tcp - TCP トラフィックを転送することを示すプロトコル。
   • toaddr=198.51.100.10 - 宛先 IP アドレス。
   • toport=8080 - 内部サーバーの宛先ポート。
   • --permanent - 再起動後も DNAT ルールを永続化するオプション。

2. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

手順

1. NAT リダイレクトルールを作成します。

   # firewall-cmd --zone=public --add-forward-port=port=<standard_port>:proto=tcp:toport=<non_standard_port> --permanent

   上記のコマンドは、次の設定で NAT リダイレクトルールを定義します。

   • --zone=public - ルールを設定するファイアウォールゾーン。必要なゾーンに合わせて調整できます。
   • --add-forward-port=port=<non_standard_port> - 着信トラフィックを最初に受信するソースポートを使用したポート転送 (リダイレクト) ルールを追加することを示すオプション。
   • proto=tcp - TCP トラフィックをリダイレクトすることを示すプロトコル。
   • toport=<standard_port> - 着信トラフィックがソースポートで受信された後にリダイレクトされる宛先ポート。
   • --permanent - 再起動後もルールを永続化するオプション。

2. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

手順

1. カーネルでパケット転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

2. ゾーン内転送を有効にするインターフェイスが internal ゾーンにのみ割り当てられていることを確認します。

   # firewall-cmd --get-active-zones

3. 現在、インターフェイスが internal 以外のゾーンに割り当てられている場合は、以下のように再割り当てします。

   # firewall-cmd --zone=internal --change-interface=interface_name --permanent

4. enp1s0 および wlp0s20 インターフェイスを internal ゾーンに追加します。

   # firewall-cmd --zone=internal --add-interface=enp1s0 --add-interface=wlp0s20

5. ゾーン内転送を有効にします。

   # firewall-cmd --zone=internal --add-forward

検証

1. ゾーン転送を有効にしたホストの enp1s0 インターフェイスと同じネットワーク上にあるホストにログインします。

2. ncat で echo サービスを起動し、接続をテストします。

   # ncat -e /usr/bin/cat -l 12345

3. wlp0s20 インターフェイスと同じネットワークにあるホストにログインします。

4. enp1s0 と同じネットワークにあるホスト上で実行している echo サーバーに接続します。

   # ncat <other_host> 12345

5. 何かを入力して Enter を押します。テキストが返送されることを確認します。

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Reset firewalld example
     hosts: managed-node-01.example.com
     tasks:
       - name: Reset firewalld
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.firewall
         vars:
           firewall:
             - previous: replaced

   サンプル Playbook で指定されている設定は次のとおりです。

   previous: replaced

   既存のユーザー定義設定をすべて削除し、firewalld 設定をデフォルトにリセットします。previous:replaced パラメーターを他の設定と組み合わせると、firewall ロールは新しい設定を適用する前に既存の設定をすべて削除します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.firewall/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Forward incoming traffic on port 8080 to 443
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.firewall
         vars:
           firewall:
             - forward_port: 8080/tcp;443;
               state: enabled
               runtime: true
               permanent: true

   サンプル Playbook で指定されている設定は次のとおりです。

   forward_port: 8080/tcp;443

   TCP プロトコルを使用してローカルポート 8080 に送信されるトラフィックが、ポート 443 に転送されます。

   runtime: true

   ランタイム設定の変更を有効にします。デフォルトは true に設定されています。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.firewall/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Creating a DMZ with access to HTTPS port and masquerading for hosts in DMZ
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.firewall
         vars:
           firewall:
             - zone: dmz
               interface: enp1s0
               service: https
               state: enabled
               runtime: true
               permanent: true

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.firewall/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Create a firewalld service
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.firewall
         vars:
           firewall:
             service: custom_service
             short: A custom firewalld service
             description: >-
               A custom firewalld service that opens port 2222/tcp and
               the ports opened by the http and https firewalld services.
             port: 2222/tcp
             includes:
               - http
               - https
             state: present
             permanent: true

   サンプル Playbook で指定されている設定は次のとおりです。

   service: <service_name>

   サービスの名前を設定します。

   short: <short_description>

   サービスの簡単な説明を設定します。

   description: <description>

   サービスの詳細な説明を設定します。

   port: <port>/<protocol>

   サービスファイルで許可されるポートとプロトコルを定義します。複数のエントリーを定義するには、YAML リストを使用します。

   includes: <services>

   オプション: 作成するサービスに含めるその他の firewalld サービスファイルを定義します。

   state: present

   サービスを追加します。そのサービスがすでに存在する場合、ロールは定義されたとおりにそのサービスを変更します。

   permanent: true

   firewalld の永続的な設定の変更を有効にします。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.firewall/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 新しいゾーンを作成します。

   # firewall-cmd --permanent --new-zone=example-zone

2. --set-priority を使用して、example-zone ゾーンに共通ゾーン優先度値を設定します。

   # firewall-cmd --permanent --zone example-zone --set-priority -10

   より低い値を設定すると、優先度が高くなります。これにより、このゾーンにおける両方のトラフィックタイプに対して設定されたすべての操作が、他のゾーンの操作よりも優先されることが保証されます。

3. 永続的な設定をランタイムに適用します。

   # firewall-cmd --reload

手順

1. 新しいゾーンを作成します。

   # firewall-cmd --permanent --new-zone=example-zone

2. --set-Ingress-priority を使用して、example-zone ゾーン内の ingress トラフィックのゾーン優先度値を設定します。

   # firewall-cmd --permanent --zone example-zone --set-ingress-priority -10

3. --set-egress-priority を使用して、example-zone ゾーン内の egress トラフィックのゾーン優先度値を設定します。

   # firewall-cmd --permanent --zone example-zone --set-egress-priority 100

4. 永続的な設定をランタイムに適用します。

   # firewall-cmd --reload

手順

1. テーブルが IPv4 パケットと IPv6 パケットの両方を処理できるように、inet アドレスファミリーを使用して nftables_svc という名前のテーブルを作成します。

   # nft add table inet nftables_svc

2. 受信ネットワークトラフィックを処理する INPUT という名前のベースチェーンを inet nftables_svc テーブルに追加します。

   # nft add chain inet nftables_svc INPUT { type filter hook input priority filter \; policy accept \; }

   シェルがセミコロンをコマンドの最後として解釈しないようにするには、\ 文字を使用してセミコロンをエスケープします。

3. INPUT チェーンにルールを追加します。たとえば、INPUT チェーンの最後のルールとして、ポート 22 および 443 で着信 TCP トラフィックを許可し、他の着信トラフィックを、Internet Control Message Protocol (ICMP) ポートに到達できないというメッセージで拒否します。

   # nft add rule inet nftables_svc INPUT tcp dport 22 accept
   # nft add rule inet nftables_svc INPUT tcp dport 443 accept
   # nft add rule inet nftables_svc INPUT reject with icmpx type port-unreachable

   ここで示されたように nft add rule コマンドを実行すると、nft はコマンド実行と同じ順序でルールをチェーンに追加します。

4. ハンドルを含む現在のルールセットを表示します。

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

5. ハンドル 3 で既存ルールの前にルールを挿入します。たとえば、ポート 636 で TCP トラフィックを許可するルールを挿入するには、以下を入力します。

   # nft insert rule inet nftables_svc INPUT handle 3 tcp dport 636 accept

6. ハンドル 3 で、既存ルールの後ろにルールを追加します。たとえば、ポート 80 で TCP トラフィックを許可するルールを追加するには、以下を入力します。

   # nft add rule inet nftables_svc INPUT handle 3 tcp dport 80 accept

7. ハンドルでルールセットを再表示します。後で追加したルールが指定の位置に追加されていることを確認します。

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       reject # handle 4
     }
   }

8. ハンドル 6 でルールを削除します。

   # nft delete rule inet nftables_svc INPUT handle 6

   ルールを削除するには、ハンドルを指定する必要があります。

9. ルールセットを表示し、削除されたルールがもう存在しないことを確認します。

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

10. INPUT チェーンから残りのルールをすべて削除します。

    # nft flush chain inet nftables_svc INPUT

11. ルールセットを表示し、INPUT チェーンが空であることを確認します。

    # nft list table inet nftables_svc
    table inet nftables_svc {
      chain INPUT {
        type filter hook input priority filter; policy accept
      }
    }

12. INPUT チェーンを削除します。

    # nft delete chain inet nftables_svc INPUT

    このコマンドを使用して、まだルールが含まれているチェーンを削除することもできます。

13. ルールセットを表示し、INPUT チェーンが削除されたことを確認します。

    # nft list table inet nftables_svc
    table inet nftables_svc {
    }

14. nftables_svc テーブルを削除します。

    # nft delete table inet nftables_svc

    このコマンドを使用して、まだルールが含まれているテーブルを削除することもできます。

    注記

    ルールセット全体を削除するには、個別のコマンドですべてのルール、チェーン、およびテーブルを手動で削除するのではなく、nft flush ruleset コマンドを使用します。

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに postrouting チェーンを追加します。

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

3. postrouting チェーンに、ens3 インターフェイスの出力パケットに一致するルールを追加します。

   # nft add rule nat postrouting oifname "ens3" masquerade

   重要

   iifname パラメーターおよび oifname パラメーターでは実インターフェイス名のみを使用でき、代替名 (altname) には対応していません。

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに postrouting チェーンを追加します。

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

3. ens3 を介した発信パケットのソース IP を 192.0.2.1 に置き換えるルールを postrouting チェーンに追加します。

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. prerouting チェーンに、ルーターの ens3 インターフェイスのポート 80 および 443 への受信トラフィックを、IP アドレス 192.0.2.1 の Web サーバーにリダイレクトするルールを追加します。

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 環境に応じて、SNAT ルールまたはマスカレードルールを追加して、Web サーバーから返されるパケットのソースアドレスを送信者に変更します。

   1. ens3 インターフェイスが動的 IP アドレスを使用している場合は、マスカレードルールを追加します。

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. ens3 インターフェイスが静的 IP アドレスを使用する場合は、SNAT ルールを追加します。たとえば、ens3 が IP アドレス 198.51.100.1 を使用している場合は、以下のようになります。

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

5. パケット転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに prerouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. 22 ポートの着信トラフィックを 2222 ポートにリダイレクトするルールを prerouting チェーンに追加します。

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

手順

1. /etc/sysconfig/nftables.conf ファイルを編集します。

   • nftables パッケージのインストールで /etc/nftables/ に作成された *.nft スクリプトを変更した場合は、これらのスクリプトの include ステートメントのコメントを解除します。

   • 新しいスクリプトを作成した場合は、include ステートメントを追加してこれらのスクリプトを含めます。たとえば、nftables サービスの起動時に /etc/nftables/example.nft スクリプトを読み込むには、以下を追加します。

     include "/etc/nftables/example.nft"

2. オプション: nftables サービスを開始して、システムを再起動せずにファイアウォールルールを読み込みます。

   # systemctl start nftables

3. nftables サービスを有効にします。

   # systemctl enable nftables

手順

1. たとえば、ポート 22、80、および 443 に着信トラフィックを許可するルールを、example_table の example_chain に追加するには、次のコマンドを実行します。

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

2. オプション: example_table ですべてのチェーンとそのルールを表示します。

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

手順

1. 空のファイルを作成します。以下の例では、IPv4 アドレスのセットを作成します。

   • 複数の IPv4 アドレスを格納することができるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • IPv4 アドレス範囲を保存できるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   重要

   シェルがセミコロンをコマンドの終わりとして解釈しないようにするには、バックスラッシュでセミコロンをエスケープする必要があります。

2. オプション: セットを使用するルールを作成します。たとえば、次のコマンドは、example_table の example_chain に、example_set の IPv4 アドレスからのすべてのパケットを破棄するルールを追加します。

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   example_set が空のままなので、ルールには現在影響がありません。

3. IPv4 アドレスを example_set に追加します。

   • 個々の IPv4 アドレスを保存するセットを作成する場合は、次のコマンドを実行します。

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   • IPv4 範囲を保存するセットを作成する場合は、次のコマンドを実行します。

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     IP アドレス範囲を指定する場合、代わりに Classless Inter-Domain Routing (CIDR) 表記を使用することもできます。例にある 192.0.2.0/24 などがその例です。

手順

1. 空のファイルを作成します。以下の例では、IPv4 アドレスのセットを作成します。

   • 複数の IPv4 アドレスを格納することができるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • IPv4 アドレス範囲を保存できるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

     重要

     シェルがセミコロンをコマンドの終わりとして解釈しないようにするには、バックスラッシュでセミコロンをエスケープする必要があります。

2. 着信パケットの送信元 IPv4 アドレスを example_set セットに動的に追加するためのルールを作成します。

   # nft add rule inet example_table example_chain set add ip saddr @example_set

   このコマンドは、example_chain ルールチェーンと example_table 内に新しいルールを作成し、パケットの送信元 IPv4 アドレスを example_set に動的に追加します。

手順

1. 新しいテーブルを作成します。

   # nft add table inet example_table

2. example_table に tcp_packets チェーンを作成します。

   # nft add chain inet example_table tcp_packets

3. このチェーンのトラフィックをカウントする tcp_packets にルールを追加します。

   # nft add rule inet example_table tcp_packets counter

4. example_table で udp_packets チェーンを作成します。

   # nft add chain inet example_table udp_packets

5. このチェーンのトラフィックをカウントする udp_packets にルールを追加します。

   # nft add rule inet example_table udp_packets counter

6. 着信トラフィックのチェーンを作成します。たとえば、example_table に、着信トラフィックをフィルタリングする incoming_traffic という名前のチェーンを作成するには、次のコマンドを実行します。

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. 匿名マップを持つルールを incoming_traffic に追加します。

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   匿名マップはパケットを区別し、プロトコルに基づいて別のカウンターチェーンに送信します。

8. トラフィックカウンターの一覧を表示する場合は、example_table を表示します。

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }

   tcp_packets チェーンおよび udp_packets チェーンのカウンターは、受信パケットとバイトの両方を表示します。

手順

1. テーブルを作成します。たとえば、IPv4 パケットを処理する example_table という名前のテーブルを作成するには、次のコマンドを実行します。

   # nft add table ip example_table

2. チェーンを作成します。たとえば、example_table に、example_chain という名前のチェーンを作成するには、次のコマンドを実行します。

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   重要

   シェルがセミコロンをコマンドの終わりとして解釈しないようにするには、バックスラッシュでセミコロンをエスケープする必要があります。

3. 空のマップを作成します。たとえば、IPv4 アドレスのマッピングを作成するには、次のコマンドを実行します。

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. マップを使用するルールを作成します。たとえば、次のコマンドは、両方とも example_map で定義されている IPv4 アドレスにアクションを適用するルールを、example_table の example_chain に追加します。

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. IPv4 アドレスと対応するアクションを example_map に追加します。

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   以下の例では、IPv4 アドレスのアクションへのマッピングを定義します。上記で作成したルールと組み合わせることで、このファイアウォールは 192.0.2.1 からのパケットを許可し、192.0.2.2 からのパケットを破棄します。

6. オプション: 別の IP アドレスおよび action ステートメントを追加してマップを拡張します。

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. オプション: マップからエントリーを削除します。

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. オプション: ルールセットを表示します。

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }

手順

1. 以下の内容で /etc/rsyslog.d/nftables.conf ファイルを作成します。

   :msg, startswith, "nft drop" -/var/log/nftables.log
   & stop

   この設定を使用すると、rsyslog サービスはドロップされたパケットを /var/log/messages ではなく /var/log/nftables.log ファイルに記録します。

2. rsyslog サービスを再起動します。

   # systemctl restart rsyslog

3. サイズが 10 MB を超える場合は、以下の内容で /etc/logrotate.d/nftables ファイルを作成し、/var/log/nftables.log をローテーションします。

   /var/log/nftables.log {
     size +10M
     maxage 30
     sharedscripts
     postrotate
       /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
     endscript
   }

   maxage 30 設定は、次のローテーション操作中に logrotate が 30 日経過したローテーション済みログを削除することを定義します。

手順

1. 以下の内容で /etc/nftables/firewall.nft スクリプトを作成します。

   # Remove all rules
   flush ruleset
   
   
   # Table for both IPv4 and IPv6 rules
   table inet nftables_svc {
   
     # Define variables for the interface name
     define INET_DEV = enp1s0
     define LAN_DEV  = enp7s0
     define DMZ_DEV  = enp8s0
   
   
     # Set with the IPv4 addresses of admin PCs
     set admin_pc_ipv4 {
       type ipv4_addr
       elements = { 10.0.0.100, 10.0.0.200 }
     }
   
   
     # Chain for incoming traffic. Default policy: drop
     chain INPUT {
       type filter hook input priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept incoming traffic on loopback interface
       iifname lo accept
   
       # Allow request from LAN and DMZ to local DNS server
       iifname { $LAN_DEV, $DMZ_DEV } meta l4proto { tcp, udp } th dport 53 accept
   
       # Allow admins PCs to access the router using SSH
       iifname $LAN_DEV ip saddr @admin_pc_ipv4 tcp dport 22 accept
   
       # Last action: Log blocked packets
       # (packets that were not accepted in previous rules in this chain)
       log prefix "nft drop IN : "
     }
   
   
     # Chain for outgoing traffic. Default policy: drop
     chain OUTPUT {
       type filter hook output priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept outgoing traffic on loopback interface
       oifname lo accept
   
       # Allow local DNS server to recursively resolve queries
       oifname $INET_DEV meta l4proto { tcp, udp } th dport 53 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop OUT: "
     }
   
   
     # Chain for forwarding traffic. Default policy: drop
     chain FORWARD {
       type filter hook forward priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # IPv4 access from LAN and internet to the HTTPS server in the DMZ
       iifname { $LAN_DEV, $INET_DEV } oifname $DMZ_DEV ip daddr 198.51.100.5 tcp dport 443 accept
   
       # IPv6 access from internet to the HTTPS server in the DMZ
       iifname $INET_DEV oifname $DMZ_DEV ip6 daddr 2001:db8:b::5 tcp dport 443 accept
   
       # Access from LAN and DMZ to HTTPS servers on the internet
       iifname { $LAN_DEV, $DMZ_DEV } oifname $INET_DEV tcp dport 443 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop FWD: "
     }
   
   
     # Postrouting chain to handle SNAT
     chain postrouting {
       type nat hook postrouting priority srcnat; policy accept;
   
       # SNAT for IPv4 traffic from LAN to internet
       iifname $LAN_DEV oifname $INET_DEV snat ip to 203.0.113.1
     }
   }

2. /etc/nftables/firewall.nft スクリプトを /etc/sysconfig/nftables.conf ファイルに追加します。

   include "/etc/nftables/firewall.nft"

3. IPv4 転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

4. nftables サービスを有効にして起動します。

   # systemctl enable --now nftables

検証

1. オプション: nftables ルールセットを確認します。

   # nft list ruleset
   ...

2. ファイアウォールが阻止するアクセスの実行を試みます。たとえば、DMZ から SSH を使用してルーターにアクセスします。

   # ssh router.example.com
   ssh: connect to host router.example.com port 22: Network is unreachable

3. ロギング設定に応じて、以下を検索します。

   • ブロックされたパケットの systemd ジャーナル:

     # journalctl -k -g "nft drop"
     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

   • ブロックされたパケットの /var/log/nftables.log ファイル:

     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

手順

1. inet アドレスファミリーを使用して filter テーブルを作成します。

   # nft add table inet filter

2. input チェーンを inet filter テーブルに追加します。

   # nft add chain inet filter input { type filter hook input priority 0 \; }

3. IPv4 アドレスの動的セットを作成します。

   # nft add set inet filter limit-ssh { type ipv4_addr\; flags dynamic \;}

4. IPv4 アドレスからの SSH ポート (22) への同時着信接続を 2 つだけ許可し、同じ IP からのそれ以降の接続をすべて拒否するルールを、input チェーンに追加します。

   # nft add rule inet filter input tcp dport ssh ct state new add @limit-ssh { ip saddr ct count over 2 } counter reject

検証

1. 同じ IP アドレスからホストへの新しい同時 SSH 接続を 2 つ以上確立します。すでに 2 つの接続が確立されている場合、Nftables が SSH ポートへの接続を拒否します。

2. limit-ssh 動的セットを表示します。

   # nft list set inet filter limit-ssh
   table inet filter {
     set limit-ssh {
       type ipv4_addr
       size 65535
       flags dynamic
       elements = { 192.0.2.1 ct count over 2 , 192.0.2.2 ct count over 2 }
     }
   }

   elements エントリーは、現時点でルールに一致するアドレスを表示します。この例では、elements は、SSH ポートへのアクティブな接続がある IP アドレスを一覧表示します。出力には、アクティブな接続の数を表示しないため、接続が拒否された場合は表示されないことに注意してください。

手順

1. ip アドレスファミリーを使用して filter テーブルを作成します。

   # nft add table ip filter

2. input チェーンを filter テーブルに追加します。

   # nft add chain ip filter input { type filter hook input priority 0 \; }

3. filter テーブルに denylist という名前のセットを追加します。

   # nft add set ip filter denylist { type ipv4_addr \; flags dynamic, timeout \; timeout 5m \; }

   このコマンドは、IPv4 アドレスの動的セットを作成します。timeout 5m パラメーターを定義すると、セットが古いエントリーでいっぱいになるのを防ぐために、nftables によって 5 分後にエントリーが自動的に削除されます。

4. 1 分以内に 11 個以上の新しい TCP 接続を確立しようとするホストのソース IP アドレスを denylist セットに自動的に追加するルールを追加します。

   # nft add rule ip filter input ip protocol tcp ct state new, untracked add @denylist { ip saddr limit rate over 10/minute } drop

手順

1. counter パラメーターで新しいルールをチェーンに追加します。以下の例では、ポート 22 で TCP トラフィックを許可し、このルールに一致するパケットとトラフィックをカウントするカウンターを使用するルールを追加します。

   # nft add rule inet example_table example_chain tcp dport 22 counter accept

2. カウンター値を表示するには、次のコマンドを実行します。

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

手順

1. チェーンのルール (ハンドルを含む) を表示します。

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. ルールの代わりに、counter パラメーターを使用してカウンターを追加します。以下の例は、前の手順で表示したルールの代わりに、カウンターを追加します。

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 counter accept

3. カウンター値を表示するには、次のコマンドを実行します。

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

手順

1. チェーンのルール (ハンドルを含む) を表示します。

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. ルールを置き換えてトレース機能を追加しますが、meta nftrace set 1 パラメーターを使用します。以下の例は、前の手順で表示したルールの代わりに、トレースを有効にします。

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 meta nftrace set 1 accept

3. nft monitor コマンドを使用して、トレースを表示します。以下の例は、コマンドの出力をフィルタリングして、inet example_table example_chain が含まれるエントリーのみを表示します。

   # nft monitor | grep "inet example_table example_chain"
   trace id 3c5eb15e inet example_table example_chain packet: iif "enp1s0" ether saddr 52:54:00:17:ff:e4 ether daddr 52:54:00:72:2f:6e ip saddr 192.0.2.1 ip daddr 192.0.2.2 ip dscp cs0 ip ecn not-ect ip ttl 64 ip id 49710 ip protocol tcp ip length 60 tcp sport 56728 tcp dport ssh tcp flags == syn tcp window 64240
   trace id 3c5eb15e inet example_table example_chain rule tcp dport ssh nftrace set 1 accept (verdict accept)
   ...

   警告

   nft monitor コマンドは、トレースが有効になっているルールの数と、一致するトラフィックの量に応じて、大量の出力を表示できます。grep などのユーティリティーを使用して出力をフィルタリングします。

手順

1. iptables ルールおよび ip6tables ルールをファイルに書き込みます。

   # iptables-save >/root/iptables.dump
   # ip6tables-save >/root/ip6tables.dump

2. ダンプファイルを nftables 命令に変換します。

   # iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft
   # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft

3. 必要に応じて、生成された nftables ルールを手動で更新して、確認します。

4. nftables サービスが生成されたファイルをロードできるようにするには、以下を /etc/sysconfig/nftables.conf ファイルに追加します。

   include "/etc/nftables/ruleset-migrated-from-iptables.nft"
   include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"

5. iptables サービスを停止し、無効にします。

   # systemctl disable --now iptables

   カスタムスクリプトを使用して iptables ルールを読み込んだ場合は、スクリプトが自動的に開始されなくなったことを確認し、再起動してすべてのテーブルをフラッシュします。

6. nftables サービスを有効にして起動します。

   # systemctl enable --now nftables

手順

1. 次のコマンドを実行して、カーネルの accept キューのトレースを開始します。

   # /usr/share/bcc/tools/tcpaccept
   PID   COMM      IP RADDR         RPORT  LADDR    LPORT
   843   sshd      4  192.0.2.17    50598  192.0.2.1  22
   1107  ns-slapd  4  198.51.100.6  38772  192.0.2.1  389
   1107  ns-slapd  4  203.0.113.85  38774  192.0.2.1  389
   ...

   カーネルが接続を受け入れるたびに、tcpaccept は接続の詳細を表示します。

   詳細は、システム上の tcpaccept(8) man ページと /usr/share/bcc/tools/doc/tcpaccept_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 以下のコマンドを入力し、すべての発信接続を表示する追跡プロセスを開始します。

   # /usr/share/bcc/tools/tcpconnect
   PID    COMM         IP SADDR      DADDR          DPORT
   31346  curl         4  192.0.2.1  198.51.100.16  80
   31348  telnet       4  192.0.2.1  203.0.113.231  23
   31361  isc-worker00 4  192.0.2.1  192.0.2.254    53
   ...

   カーネルが発信接続を処理するたびに、tcpconnect は、接続の詳細を表示します。

   詳細は、システム上の tcpconnect(8) man ページと /usr/share/bcc/tools/doc/tcpconnect_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 発信接続のレイテンシーの測定を開始します。

   # /usr/share/bcc/tools/tcpconnlat
   PID    COMM         IP SADDR      DADDR          DPORT LAT(ms)
   32151  isc-worker00 4  192.0.2.1  192.0.2.254    53    0.60
   32155  ssh          4  192.0.2.1  203.0.113.190  22    26.34
   32319  curl         4  192.0.2.1  198.51.100.59  443   188.96
   ...

   カーネルが発信接続を処理するたびに、tcpconnlat は、カーネルが応答パケットを受信すると接続の詳細を表示します。

   詳細は、システム上の tcpconnlat(8) man ページと /usr/share/bcc/tools/doc/tcpconnlat_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 以下のコマンドを入力して、破棄された TCP パケットおよびセグメントの詳細表示を開始します。

   # /usr/share/bcc/tools/tcpdrop
   TIME     PID    IP SADDR:SPORT       > DADDR:DPORT   STATE (FLAGS)
   13:28:39 32253  4  192.0.2.85:51616  > 192.0.2.1:22  CLOSE_WAIT (FIN|ACK)
   	b'tcp_drop+0x1'
   	b'tcp_data_queue+0x2b9'
   	...
   
   13:28:39 1      4  192.0.2.85:51616  > 192.0.2.1:22   CLOSE (ACK)
   	b'tcp_drop+0x1'
   	b'tcp_rcv_state_process+0xe2'
   	...

   カーネルが TCP パケットとセグメントを破棄するたびに、tcpdrop は、破棄されたパッケージにつながるカーネルスタックトレースを含む接続の詳細を表示します。

   詳細は、システム上の tcpdrop(8) man ページと /usr/share/bcc/tools/doc/tcpdrop_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 次のコマンドを実行して、ローカルポート 22 への接続の追跡を開始します。

   # /usr/share/bcc/tools/tcplife -L 22
   PID   COMM    LADDR      LPORT RADDR       RPORT TX_KB  RX_KB      MS
   19392 sshd    192.0.2.1  22    192.0.2.17  43892    53     52 6681.95
   19431 sshd    192.0.2.1  22    192.0.2.245 43902    81 249381 7585.09
   19487 sshd    192.0.2.1  22    192.0.2.121 43970  6998     7 16740.35
   ...

   接続が閉じられるたびに、tcplife は接続の詳細を表示します。

   詳細は、システム上の tcplife(8) man ページと /usr/share/bcc/tools/doc/tcplife_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 以下のコマンドを使用して、TCP 再送信の詳細を表示します。

   # /usr/share/bcc/tools/tcpretrans
   TIME     PID  IP LADDR:LPORT   T> RADDR:RPORT         STATE
   00:23:02 0    4  192.0.2.1:22  R> 198.51.100.0:26788  ESTABLISHED
   00:23:02 0    4  192.0.2.1:22  R> 198.51.100.0:26788  ESTABLISHED
   00:45:43 0    4  192.0.2.1:22  R> 198.51.100.0:17634  ESTABLISHED
   ...

   カーネルが TCP 再送信関数を呼び出すたびに、tcpretrans は、接続の詳細を表示します。

   詳細は、システム上の tcpretrans(8) man ページと /usr/share/bcc/tools/doc/tcpretrans_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 以下のコマンドを使用して、TCP 状態変更の追跡を開始します。

   # /usr/share/bcc/tools/tcpstates
   SKADDR           C-PID C-COMM     LADDR     LPORT RADDR       RPORT OLDSTATE    -> NEWSTATE    MS
   ffff9cd377b3af80 0     swapper/1  0.0.0.0   22    0.0.0.0     0     LISTEN      -> SYN_RECV    0.000
   ffff9cd377b3af80 0     swapper/1  192.0.2.1 22    192.0.2.45  53152 SYN_RECV    -> ESTABLISHED 0.067
   ffff9cd377b3af80 818   sssd_nss   192.0.2.1 22    192.0.2.45  53152 ESTABLISHED -> CLOSE_WAIT  65636.773
   ffff9cd377b3af80 1432  sshd       192.0.2.1 22    192.0.2.45  53152 CLOSE_WAIT  -> LAST_ACK    24.409
   ffff9cd377b3af80 1267  pulseaudio 192.0.2.1 22    192.0.2.45  53152 LAST_ACK    -> CLOSE       0.376
   ...

   接続の状態が変更されるたびに、tcpstates は、更新された接続の詳細を含む新しい行を表示します。

   複数の接続が状態を同時に変更する場合は、最初の列 (SKADDR) のソケットアドレスを使用して、同じ接続に属するエントリーを判断します。

   詳細は、システム上の tcpstates(8) man ページと /usr/share/bcc/tools/doc/tcpstates_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 192.0.2.0/24、198.51.100.0/24、および他のサブネットに送信するトラフィック量のモニタリングを開始します。

   # /usr/share/bcc/tools/tcpsubnet 192.0.2.0/24,198.51.100.0/24,0.0.0.0/0
   Tracing... Output every 1 secs. Hit Ctrl-C to end
   [02/21/20 10:04:50]
   192.0.2.0/24           856
   198.51.100.0/24       7467
   [02/21/20 10:04:51]
   192.0.2.0/24          1200
   198.51.100.0/24       8763
   0.0.0.0/0              673
   ...

   このコマンドは、指定したサブネットのトラフィックを 1 秒ごとに 1 回ずつバイト単位で表示します。

   詳細は、システム上の tcpsubnet(8) man ページと /usr/share/bcc/tools/doc/tcpsubnet.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 送受信トラフィックを監視するには、次のコマンドを実行します。

   # /usr/share/bcc/tools/tcptop
   13:46:29 loadavg: 0.10 0.03 0.01 1/215 3875
   
   PID    COMM         LADDR           RADDR              RX_KB   TX_KB
   3853   3853         192.0.2.1:22    192.0.2.165:41838  32     102626
   1285   sshd         192.0.2.1:22    192.0.2.45:39240   0           0
   ...

   コマンドの出力には、アクティブな TCP 接続のみが含まれます。ローカルシステムまたはリモートシステムが接続を閉じると、接続が出力に表示されなくなります。

   詳細は、システム上の tcptop(8) man ページと /usr/share/bcc/tools/doc/tcptop.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 次のコマンドを実行して、トレースプロセスを開始します。

   # /usr/share/bcc/tools/tcptracer
   Tracing TCP established connections. Ctrl-C to end.
   T  PID    COMM        IP SADDR        DADDR       SPORT  DPORT
   A  1088   ns-slapd    4  192.0.2.153  192.0.2.1   0      65535
   A  845    sshd        4  192.0.2.1    192.0.2.67  22     42302
   X  4502   sshd        4  192.0.2.1    192.0.2.67  22     42302
   ...

   カーネルが接続を開始し、受け入れ、または閉じるたびに、tcptracer は、接続の詳細を表示します。

   詳細は、システム上の tcptracer(8) man ページと /usr/share/bcc/tools/doc/tcptracer_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 次のコマンドを実行して、リッスンする TCP 試行をすべて表示するトレースプロセスを開始します。

   # /usr/share/bcc/tools/solisten
   PID    COMM           PROTO         BACKLOG     PORT     ADDR
   3643   nc             TCPv4         1           4242     0.0.0.0
   3659   nc             TCPv6         1           4242     2001:db8:1::1
   4221   redis-server   TCPv6         128         6379     ::
   4221   redis-server   TCPv4         128         6379     0.0.0.0
   ....

   詳細は、システム上の solisten(9) man ページと /usr/share/bcc/tools/doc/solisten_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 以下のコマンドを実行して、soft irq イベント時間を追跡します。

   # /usr/share/bcc/tools/softirqs
   Tracing soft irq event time... Hit Ctrl-C to end.
   ^C
   SOFTIRQ          TOTAL_usecs
   tasklet                  166
   block                   9152
   net_rx                 12829
   rcu                    53140
   sched                 182360
   timer                 306256

   詳細は、システム上の softirqs(8) および mpstat(1) man ページと /usr/share/bcc/tools/doc/softirqs_example.txt ファイルを参照してください。

2. Ctrl+C を押して、追跡プロセスを停止します。

手順

1. 2 秒間のバイトサイズの範囲内に含まれるパケット数を表示します。

   # /usr/share/bcc/tools/netqtop -n enp1s0 -i 2
   
   Fri Jan 31 18:08:55 2023
   TX
    QueueID	avg_size   [0, 64)	[64, 512)  [512, 2K)  [2K, 16K)  [16K, 64K)
    0      	0      	0      	0      	0      	0      	0
    Total  	0      	0      	0      	0      	0      	0
   
   RX
    QueueID	avg_size   [0, 64)	[64, 512)  [512, 2K)  [2K, 16K)  [16K, 64K)
    0      	38.0   	1      	0      	0      	0      	0
    Total  	38.0   	1      	0      	0      	0      	0
   -----------------------------------------------------------------------------
   Fri Jan 31 18:08:57 2023
   TX
    QueueID	avg_size   [0, 64)	[64, 512)  [512, 2K)  [2K, 16K)  [16K, 64K)
    0      	0      	0      	0      	0      	0      	0
    Total  	0      	0      	0      	0      	0      	0
   
   RX
    QueueID	avg_size   [0, 64)	[64, 512)  [512, 2K)  [2K, 16K)  [16K, 64K)
    0      	38.0   	1      	0      	0      	0      	0
    Total  	38.0   	1      	0      	0      	0      	0
   -----------------------------------------------------------------------------

   詳細は、システム上の netqtop(8) man ページと /usr/share/bcc/tools/doc/netqtop_example.txt ファイルを参照してください。

2. Ctrl+C を押して netqtop を停止します。

手順

1. xdp-filter を読み込み、enp1s0 などの特定のインターフェイスの着信パケットを処理します。

   # xdp-filter load enp1s0

   デフォルトでは、xdp-filter は allow ポリシーを使用し、ユーティリティーはすべてのルールに一致するトラフィックのみを破棄します。

   オプション: tcp、ipv4、ethernet などの特定の機能のみを有効にするには、-f <feature> オプションを使用します。すべての機能をロードするのではなく、必要な機能のみをロードすることで、パケット処理の速度が向上します。複数の機能を有効にするには、コンマで区切ります。

   コマンドがエラーで失敗した場合、ネットワークドライバーは XDP プログラムをサポートしません。

2. ルールを追加して、それに一致するパケットをドロップします。以下に例を示します。

   • 受信パケットをポート 22 に破棄するには、次のコマンドを実行します。

     # xdp-filter port 22

     このコマンドは、TCP および UDP トラフィックに一致するルールを追加します。特定のプロトコルのみと一致する場合は、-p protocol オプションを使用します。

   • 192.0.2.1 から着信パケットを破棄するには、次のコマンドを実行します。

     # xdp-filter ip 192.0.2.1 -m src

     xdp-filter は IP 範囲に対応していないことに注意してください。

   • MAC アドレス 00:53:00:AA:07:BE から着信パケットを破棄するには、次のコマンドを実行します。

     # xdp-filter ether 00:53:00:AA:07:BE -m src

手順

1. xdp-filter を読み込み、enp1s0 などの特定のインターフェイスのパケットを処理します。

   # xdp-filter load enp1s0 -p deny

   オプション: tcp、ipv4、ethernet などの特定の機能のみを有効にするには、-f <feature> オプションを使用します。すべての機能をロードするのではなく、必要な機能のみをロードすることで、パケット処理の速度が向上します。複数の機能を有効にするには、コンマで区切ります。

   コマンドがエラーで失敗した場合、ネットワークドライバーは XDP プログラムをサポートしません。

2. ルールを追加して、一致するパケットを許可します。以下に例を示します。

   • パケットのポート 22 を許可するには、以下のコマンドを実行します。

     # xdp-filter port 22

     このコマンドは、TCP および UDP トラフィックに一致するルールを追加します。特定のプロトコルのみと一致するように、-p protocol オプションをコマンドに渡します。

   • パケットの 192.0.2.1 を許可するには、次のコマンドを実行します。

     # xdp-filter ip 192.0.2.1

     xdp-filter は IP 範囲に対応していないことに注意してください。

   • MAC アドレス 00:53:00:AA:07:BE へのパケットを許可するには、次のコマンドを実行します。

     # xdp-filter ether 00:53:00:AA:07:BE

   重要

   xdp-filter ユーティリティーは、ステートフルパケットの検査に対応していません。これには、-m mode オプションでモードを設定せず、マシンが送信トラフィックに応答して受信トラフィックを許可する明示的なルールを追加する必要があります。