8.5. nftables 명령의 세트 사용

절차

1. 예를 들어 포트 22,80 및 443 으로 들어오는 트래픽을 허용하는 example_table 의 example_chain 에 규칙을 추가하려면 다음을 수행합니다.

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

2. 선택 사항: example_table 로 모든 체인과 해당 규칙을 표시하십시오.

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

절차

1. 빈 세트를 생성합니다. 다음 예제에서는 IPv4 주소에 대한 세트를 생성합니다.

   • 여러 개의 개별 IPv4 주소를 저장할 수 있는 세트를 생성하려면 다음을 실행합니다.

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • IPv4 주소 범위를 저장할 수 있는 세트를 생성하려면 다음을 수행합니다.

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   중요

   쉘이 명령 끝부분을 해석하지 못하도록 하려면 백슬래시를 사용하여 host를 이스케이프해야 합니다.

2. 선택 사항: 세트를 사용하는 규칙을 만듭니다. 예를 들어 다음 명령은 example_table 의 example_chain 에 example_set 의 IPv4 주소에서 모든 패킷을 삭제하는 규칙을 추가합니다.

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   example_set 는 여전히 비어 있기 때문에 현재 규칙이 적용되지 않습니다.

3. example_set 에 IPv4 주소를 추가합니다.

   • 개별 IPv4 주소를 저장하는 세트를 생성하는 경우 다음을 입력합니다.

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   • IPv4 범위를 저장하는 세트를 생성하는 경우 다음을 입력합니다.

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     IP 주소 범위를 지정하면 위 예제에서 192.0.2.0/24 와 같은 CIDR(Classless Inter-Domain Routing) 표기법을 사용할 수도 있습니다.