검색

41.2. nftables 스크립트 작성 및 실행

download PDF

nftables 프레임워크를 사용할 때의 주요 이점은 스크립트 실행이 atomic이라는 것입니다. 즉, 시스템이 전체 스크립트를 적용하거나 오류가 발생할 경우 실행을 방지합니다. 이렇게 하면 방화벽이 항상 일관된 상태에 있습니다.

또한 nftables 스크립트 환경에서 다음을 수행할 수 있습니다.

  • 댓글 추가
  • 변수 정의
  • 기타 규칙 세트 파일 포함

nftables 패키지를 설치할 때 Red Hat Enterprise Linux는 /etc/nftables/ 디렉토리에 *.nft 스크립트를 자동으로 생성합니다. 이러한 스크립트에는 다양한 용도로 테이블과 빈 체인을 생성하는 명령이 포함되어 있습니다.

41.2.1. 지원되는 nftables 스크립트 형식

다음 형식으로 nftables 스크립팅 환경에서 스크립트를 작성할 수 있습니다.

  • nft list ruleset 명령과 동일한 형식으로 규칙 세트를 표시합니다.

    #!/usr/sbin/nft -f
    
    # Flush the rule set
    flush ruleset
    
    table inet example_table {
      chain example_chain {
        # Chain for incoming packets that drops all packets that
        # are not explicitly allowed by any rule in this chain
        type filter hook input priority 0; policy drop;
    
        # Accept connections to port 22 (ssh)
        tcp dport ssh accept
      }
    }
  • nft 명령의 구문은 다음과 같습니다.

    #!/usr/sbin/nft -f
    
    # Flush the rule set
    flush ruleset
    
    # Create a table
    add table inet example_table
    
    # Create a chain for incoming packets that drops all packets
    # that are not explicitly allowed by any rule in this chain
    add chain inet example_table example_chain { type filter hook input priority 0 ; policy drop ; }
    
    # Add a rule that accepts connections to port 22 (ssh)
    add rule inet example_table example_chain tcp dport ssh accept

41.2.2. nftables 스크립트 실행 중

nftables 스크립트를 nft 유틸리티에 전달하거나 직접 스크립트를 실행하여 실행할 수 있습니다.

절차

  • nftables 스크립트를 nft 유틸리티에 전달하여 실행하려면 다음을 입력합니다.

    # nft -f /etc/nftables/<example_firewall_script>.nft
  • nftables 스크립트를 직접 실행하려면 다음을 수행합니다.

    1. 이 작업을 수행하는 단일 시간 동안 다음을 수행합니다.

      1. 스크립트가 다음 shebang 시퀀스로 시작되는지 확인합니다.

        #!/usr/sbin/nft -f
        중요

        -f 매개변수를 생략하면 nft 유틸리티에서 스크립트를 읽지 않고 표시됩니다. 오류: 구문 오류, 예기치 않은 newline, 예상 문자열.

      2. 선택 사항: 스크립트 소유자를 root 로 설정합니다.

        # chown root /etc/nftables/<example_firewall_script>.nft
      3. 소유자에 대해 스크립트를 실행 파일로 만듭니다.

        # chmod u+x /etc/nftables/<example_firewall_script>.nft
    2. 스크립트를 실행합니다.

      # /etc/nftables/<example_firewall_script>.nft

      출력이 표시되지 않으면 시스템에서 스크립트를 성공적으로 실행했습니다.

중요

nft 가 스크립트를 성공적으로 실행하고, 잘못 배치된 규칙, 누락된 매개 변수 또는 스크립트의 기타 문제로 인해 방화벽이 예상대로 작동하지 않을 수 있습니다.

추가 리소스

41.2.3. nftables 스크립트에서 주석 사용

nftables 스크립팅 환경은 모든 것을 # 문자 오른쪽에 주석으로 해석합니다.

주석은 행 시작 시 시작되거나 명령 옆에 있을 수 있습니다.

...
# Flush the rule set
flush ruleset

add table inet example_table  # Create a table
...

41.2.4. nftables 스크립트의 변수 사용

nftables 스크립트에 변수를 정의하려면 define 키워드를 사용합니다. 단일 값과 익명 세트를 변수에 저장할 수 있습니다. 더 복잡한 시나리오의 경우 세트 또는 확인 맵을 사용합니다.

단일 값이 있는 변수

다음 예제에서는 enp1s0 값을 사용하여 INET_DEV 라는 변수를 정의합니다.

define INET_DEV = enp1s0

$ 기호 다음에 변수 이름을 입력하여 스크립트에서 변수를 사용할 수 있습니다.

...
add rule inet example_table example_chain iifname $INET_DEV tcp dport ssh accept
...
익명 세트를 포함하는 변수

다음 예제에서는 익명 세트를 포함하는 변수를 정의합니다.

define DNS_SERVERS = { 192.0.2.1, 192.0.2.2 }

$ 기호 다음에 변수 이름을 작성하여 스크립트에서 변수를 사용할 수 있습니다.

add rule inet example_table example_chain ip daddr $DNS_SERVERS accept
참고

중괄호에는 변수가 집합을 나타내는 것을 나타내기 때문에 규칙에서 사용할 때 특수한 의미가 있습니다.

41.2.5. nftables 스크립트에 파일 포함

nftables 스크립팅 환경에서는 include 문을 사용하여 다른 스크립트를 포함할 수 있습니다.

절대 경로 또는 상대 경로가 없는 파일 이름만 지정하면 nftables 에 기본 검색 경로의 파일이 포함되어 있으며 이는 Red Hat Enterprise Linux에서 /etc 로 설정됩니다.

예 41.1. 기본 검색 디렉토리의 파일 포함

기본 검색 디렉터리에서 파일을 포함하려면 다음을 수행합니다.

include "example.nft"

예 41.2. 디렉토리의 *.nft 파일 모두 포함

/etc/nftables/rulesets/ 디렉토리에 저장된 *.nft 로 끝나는 모든 파일을 포함하려면 다음을 수행하십시오.

include "/etc/nftables/rulesets/*.nft"

include 구문은 점으로 시작하는 파일과 일치하지 않습니다.

추가 리소스

  • nft(8) 매뉴얼 페이지에 파일 포함 섹션

41.2.6. 시스템이 부팅될 때 nftables 규칙을 자동으로 로드

nftables systemd 서비스는 /etc/sysconfig/nftables.conf 파일에 포함된 방화벽 스크립트를 로드합니다.

사전 요구 사항

  • nftables 스크립트는 /etc/nftables/ 디렉터리에 저장됩니다.

절차

  1. /etc/sysconfig/nftables.conf 파일을 편집합니다.

    • nftables 패키지 설치로 /etc/nftables/ 에 생성된 *.nft 스크립트를 수정한 경우 해당 스크립트에 대한 include 문의 주석 처리를 해제합니다.
    • 새 스크립트를 작성한 경우 include 문을 추가하여 이러한 스크립트를 포함합니다. 예를 들어 nftables 서비스가 시작될 때 /etc/nftables/예제.nft 스크립트를 로드하려면 다음을 추가합니다.

      include "/etc/nftables/_example_.nft"
  2. 선택 사항: 시스템을 재부팅하지 않고 nftables 서비스를 시작하여 방화벽 규칙을 로드합니다.

    # systemctl start nftables
  3. nftables 서비스를 활성화합니다.

    # systemctl enable nftables
Red Hat logoGithubRedditYoutubeTwitter

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

Red Hat을 사용하는 고객은 신뢰할 수 있는 콘텐츠가 포함된 제품과 서비스를 통해 혁신하고 목표를 달성할 수 있습니다.

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat은 코드, 문서, 웹 속성에서 문제가 있는 언어를 교체하기 위해 최선을 다하고 있습니다. 자세한 내용은 다음을 참조하세요.Red Hat 블로그.

Red Hat 소개

Red Hat은 기업이 핵심 데이터 센터에서 네트워크 에지에 이르기까지 플랫폼과 환경 전반에서 더 쉽게 작업할 수 있도록 강화된 솔루션을 제공합니다.

© 2024 Red Hat, Inc.