8.5. nftables コマンドでのセットの使用

手順

1. たとえば、ポート 22、80、および 443 に着信トラフィックを許可するルールを、example_table の example_chain に追加するには、次のコマンドを実行します。

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

   Copy to Clipboard Toggle word wrap

2. オプション: example_table ですべてのチェーンとそのルールを表示します。

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

   Copy to Clipboard Toggle word wrap

手順

1. 空のファイルを作成します。以下の例では、IPv4 アドレスのセットを作成します。

   • 複数の IPv4 アドレスを格納することができるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; }

     Copy to Clipboard Toggle word wrap

   • IPv4 アドレス範囲を保存できるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

     Copy to Clipboard Toggle word wrap
   重要

   シェルがセミコロンをコマンドの終わりとして解釈しないようにするには、バックスラッシュでセミコロンをエスケープする必要があります。

2. オプション: セットを使用するルールを作成します。たとえば、次のコマンドは、example_set の IPv4 アドレスからのパケットをすべて破棄するルールを、example_table の example_chain に追加します。

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   Copy to Clipboard Toggle word wrap

   example_set が空のままなので、ルールには現在影響がありません。

3. IPv4 アドレスを example_set に追加します。

   • 個々の IPv4 アドレスを保存するセットを作成する場合は、次のコマンドを実行します。

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

     Copy to Clipboard Toggle word wrap

   • IPv4 範囲を保存するセットを作成する場合は、次のコマンドを実行します。

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     Copy to Clipboard Toggle word wrap

     IP アドレス範囲を指定する場合は、上記の例の 192.0.2.0/24 のように、CIDR (Classless Inter-Domain Routing) 表記を使用することもできます。

手順

1. 空のファイルを作成します。以下の例では、IPv4 アドレスのセットを作成します。

   • 複数の IPv4 アドレスを格納することができるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; }

     Copy to Clipboard Toggle word wrap

   • IPv4 アドレス範囲を保存できるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

     Copy to Clipboard Toggle word wrap
     重要

     シェルがセミコロンをコマンドの終わりとして解釈しないようにするには、バックスラッシュでセミコロンをエスケープする必要があります。

2. 着信パケットの送信元 IPv4 アドレスを example_set セットに動的に追加するためのルールを作成します。

   # nft add rule inet example_table example_chain set add ip saddr @example_set

   Copy to Clipboard Toggle word wrap

   このコマンドは、example_chain ルールチェーンと example_table 内に新しいルールを作成し、パケットの送信元 IPv4 アドレスを example_set に動的に追加します。