8.6. nftables 명령에서 verdict 맵 사용

절차

1. 새 테이블을 만듭니다.

   # nft add table inet example_table

2. example_table 에 tcp_packets 체인을 생성합니다.

   # nft add chain inet example_table tcp_packets

3. 이 체인에서 트래픽을 계산하는 tcp_packets 에 규칙을 추가합니다.

   # nft add rule inet example_table tcp_packets counter

4. example_table에 udp_packets 체인 생성

   # nft add chain inet example_table udp_packets

5. 이 체인에서 트래픽을 계산하는 udp_packets 에 규칙을 추가합니다.

   # nft add rule inet example_table udp_packets counter

6. 들어오는 트래픽의 체인을 만듭니다. 예를 들어, example_table 에서 들어오는 트래픽을 필터링하는 incoming_traffic 이라는 체인을 생성하려면 다음을 수행합니다.

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. anonymous 맵을 사용하여 incoming_traffic 에 규칙을 추가합니다.

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   익명 맵은 패킷을 구분하여 프로토콜을 기반으로 다른 카운터 체인으로 전송합니다.

8. 트래픽 카운터를 나열하려면 example_table 을 표시합니다.

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }

   tcp_packets 및 udp_packets 체인의 카운터는 수신된 패킷과 바이트 수를 모두 표시합니다.

절차

1. 테이블을 만듭니다. 예를 들어, IPv4 패킷을 처리하는 example_table 이라는 테이블을 생성하려면 다음을 실행합니다.

   # nft add table ip example_table

2. 체인을 만듭니다. 예를 들어 example_table 에서 example_chain 이라는 체인을 생성하려면 다음을 수행합니다.

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   중요

   쉘이 명령 끝부분을 해석하지 못하도록 하려면 백슬래시를 사용하여 host를 이스케이프해야 합니다.

3. 빈 맵을 생성합니다. 예를 들어 IPv4 주소에 대한 맵을 생성하려면 다음을 수행합니다.

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. 맵을 사용하는 규칙을 생성합니다. 예를 들어 다음 명령은 example_table 의 example_chain 에 규칙을 추가하여 example_map 에 모두 정의된 IPv4 주소에 작업을 적용합니다.

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. IPv4 주소와 해당 작업을 example_map 에 추가합니다.

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   이 예제에서는 작업에 대한 IPv4 주소 매핑을 정의합니다. 위에서 만든 규칙과 함께 방화벽은 192.0.2.1 에서 패킷을 수락하고 192.0.2.2 에서 패킷을 삭제합니다.

6. 선택 사항: 다른 IP 주소 및 action 문을 추가하여 맵을 개선합니다.

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. 선택 사항: 맵에서 항목을 제거합니다.

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. 선택 사항: 규칙 세트를 표시합니다.

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }