8.4. nftables 스크립트 작성 및 실행

• nft list ruleset 명령과 동일한 형식은 규칙 세트를 표시합니다.

  #!/usr/sbin/nft -f
  
  # Flush the rule set
  flush ruleset
  
  table inet example_table {
    chain example_chain {
      # Chain for incoming packets that drops all packets that
      # are not explicitly allowed by any rule in this chain
      type filter hook input priority 0; policy drop;
  
      # Accept connections to port 22 (ssh)
      tcp dport ssh accept
    }
  }

• nft 명령과 동일한 구문:

  #!/usr/sbin/nft -f
  
  # Flush the rule set
  flush ruleset
  
  # Create a table
  add table inet example_table
  
  # Create a chain for incoming packets that drops all packets
  # that are not explicitly allowed by any rule in this chain
  add chain inet example_table example_chain { type filter hook input priority 0 ; policy drop ; }
  
  # Add a rule that accepts connections to port 22 (ssh)
  add rule inet example_table example_chain tcp dport ssh accept

프로세스

• nft 유틸리티에 전달하여 nftables 스크립트를 실행하려면 다음을 입력합니다.

  # nft -f /etc/nftables/<example_firewall_script>.nft

• nftables 스크립트를 직접 실행하려면 다음을 수행합니다.

  1. 이 작업을 수행하는 동안 다음을 수행합니다.

     1. 스크립트가 다음 shebang 시퀀스로 시작하는지 확인합니다.

        #!/usr/sbin/nft -f

        중요

        -f 매개변수를 생략하면 nft 유틸리티에서 스크립트를 읽지 않고 다음을 표시합니다. 오류: 구문 오류, 예기치 않은 줄 바꿈, 문자열이 필요합니다.

     2. 선택 사항: 스크립트 소유자를 root 로 설정합니다.

        # chown root /etc/nftables/<example_firewall_script>.nft

     3. 소유자가 스크립트를 실행할 수 있도록 설정합니다.

        # chmod u+x /etc/nftables/<example_firewall_script>.nft

  2. 스크립트를 실행합니다.

     # /etc/nftables/<example_firewall_script>.nft

     출력이 표시되지 않으면 시스템이 스크립트를 성공적으로 실행했습니다.

사전 요구 사항

• nftables 스크립트는 /etc/nftables/ 디렉터리에 저장됩니다.