8.3. nftables スクリプトの作成および実行

• nft list ruleset コマンドと同じ形式でルールセットが表示されます。

  #!/usr/sbin/nft -f
  
  # Flush the rule set
  flush ruleset
  
  table inet example_table {
    chain example_chain {
      # Chain for incoming packets that drops all packets that
      # are not explicitly allowed by any rule in this chain
      type filter hook input priority 0; policy drop;
  
      # Accept connections to port 22 (ssh)
      tcp dport ssh accept
    }
  }

• nft コマンドと同じ構文:

  #!/usr/sbin/nft -f
  
  # Flush the rule set
  flush ruleset
  
  # Create a table
  add table inet example_table
  
  # Create a chain for incoming packets that drops all packets
  # that are not explicitly allowed by any rule in this chain
  add chain inet example_table example_chain { type filter hook input priority 0 ; policy drop ; }
  
  # Add a rule that accepts connections to port 22 (ssh)
  add rule inet example_table example_chain tcp dport ssh accept

手順

• nftables スクリプトを nft ユーティリティーに渡して実行するには、次のコマンドを実行します。

  # nft -f /etc/nftables/<example_firewall_script>.nft

• nftables スクリプトを直接実行するには、次のコマンドを実行します。

  1. 1 回だけ実行する場合:

     1. スクリプトが以下のシバンシーケンスで始まることを確認します。

        #!/usr/sbin/nft -f

        重要

        -f パラメーターを指定しないと、nft ユーティリティーはスクリプトを読み取らず、Error: syntax error, unexpected newline, expecting string を表示します。

     2. 必要に応じて、スクリプトの所有者を root に設定します。

        # chown root /etc/nftables/<example_firewall_script>.nft

     3. 所有者のスクリプトを実行ファイルに変更します。

        # chmod u+x /etc/nftables/<example_firewall_script>.nft

  2. スクリプトを実行します。

     # /etc/nftables/<example_firewall_script>.nft

     出力が表示されない場合は、システムがスクリプトを正常に実行します。

前提条件

• nftables スクリプトは、/etc/nftables/ ディレクトリーに保存されます。