23.6. nftables 시작하기

절차

1. 테이블이 IPv4 및 IPv6 패킷을 모두 처리할 수 있도록 inet 주소 Family를 사용하여 nftables_svc 라는 테이블을 만듭니다.

   # nft add table inet nftables_svc

   Copy to Clipboard Toggle word wrap

2. 들어오는 네트워크 트래픽을 처리하는 INPUT 라는 기본 체인을 inet nftables_svc 테이블에 추가합니다.

   # nft add chain inet nftables_svc INPUT { type filter hook input priority filter \; policy accept \; }

   Copy to Clipboard Toggle word wrap

   쉘이 명령 마지막으로 해석되지 않도록 하려면 \ 문자를 사용하여 together을 이스케이프합니다.

3. INPUT 체인에 규칙을 추가합니다. 예를 들어 포트 22 및 443에서 수신되는 TCP 트래픽을 허용하고 INPUT 체인의 마지막 규칙으로 IMP(Internet Control Message Protocol) 포트에 연결할 수 없는 다른 트래픽을 거부합니다.

   # nft add rule inet nftables_svc INPUT tcp dport 22 accept
   # nft add rule inet nftables_svc INPUT tcp dport 443 accept
   # nft add rule inet nftables_svc INPUT reject with icmpx type port-unreachable

   Copy to Clipboard Toggle word wrap

   표시된 대로 nft add 규칙 명령을 입력하면 nft 는 명령을 실행할 때와 동일한 순서로 규칙을 추가합니다.

4. 처리를 포함한 현재 규칙 세트를 표시합니다.

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

   Copy to Clipboard Toggle word wrap

5. handle 3을 사용하여 기존 규칙 앞에 규칙을 삽입합니다. 예를 들어 포트 636에서 TCP 트래픽을 허용하는 규칙을 삽입하려면 다음을 입력합니다.

   # nft insert rule inet nftables_svc INPUT position 3 tcp dport 636 accept

   Copy to Clipboard Toggle word wrap

6. handle 3을 사용하여 기존 규칙 뒤에 규칙을 추가합니다. 예를 들어 포트 80에서 TCP 트래픽을 허용하는 규칙을 삽입하려면 다음을 입력합니다.

   # nft add rule inet nftables_svc INPUT position 3 tcp dport 80 accept

   Copy to Clipboard Toggle word wrap

7. handles를 사용하여 규칙 세트를 다시 표시합니다. 나중에 추가된 규칙이 지정된 위치에 추가되었는지 확인합니다.

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       reject # handle 4
     }
   }

   Copy to Clipboard Toggle word wrap

8. handle 6을 사용하여 규칙을 제거합니다.

   # nft delete rule inet nftables_svc INPUT handle 6

   Copy to Clipboard Toggle word wrap

   규칙을 제거하려면 처리를 지정해야 합니다.

9. 규칙 세트를 표시하고 제거된 규칙이 더 이상 존재하지 않는지 확인합니다.

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

   Copy to Clipboard Toggle word wrap

10. INPUT 체인에서 나머지 모든 규칙을 제거하십시오.

    # nft flush chain inet nftables_svc INPUT

    Copy to Clipboard Toggle word wrap

11. 규칙 세트를 표시하고 INPUT 체인이 비어 있는지 확인합니다.

    # nft list table inet nftables_svc
    table inet nftables_svc {
      chain INPUT {
        type filter hook input priority filter; policy accept
      }
    }

    Copy to Clipboard Toggle word wrap

12. INPUT 체인을 삭제합니다.

    # nft delete chain inet nftables_svc INPUT

    Copy to Clipboard Toggle word wrap

    또한 이 명령을 사용하여 규칙이 포함된 체인을 삭제할 수도 있습니다.

13. 규칙 세트를 표시하고 INPUT 체인이 삭제되었는지 확인합니다.

    # nft list table inet nftables_svc
    table inet nftables_svc {
    }

    Copy to Clipboard Toggle word wrap

14. nftables_svc 테이블을 삭제합니다.

    # nft delete table inet nftables_svc

    Copy to Clipboard Toggle word wrap

    이 명령을 사용하여 체인이 계속 포함된 테이블을 삭제할 수도 있습니다.

    참고

    전체 규칙 세트를 삭제하려면 별도의 명령에서 모든 규칙, 체인 및 테이블을 수동으로 삭제하는 대신 nft flush ruleset 명령을 사용합니다.

프로세스

1. iptables 및 ip6tables 규칙을 파일에 씁니다.

   # iptables-save >/root/iptables.dump
   # ip6tables-save >/root/ip6tables.dump

   Copy to Clipboard Toggle word wrap

2. 덤프 파일을 nftables 명령으로 변환합니다.

   # iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft
   # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft

   Copy to Clipboard Toggle word wrap
3. 필요한 경우 생성된 nftables 규칙을 수동으로 업데이트합니다.

4. nftables 서비스가 생성된 파일을 로드하도록 활성화하려면 /etc/sysconfig/nftables.conf 파일에 다음을 추가합니다.

   include "/etc/nftables/ruleset-migrated-from-iptables.nft"
   include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"

   Copy to Clipboard Toggle word wrap

5. iptables 서비스를 중지하고 비활성화합니다.

   # systemctl disable --now iptables

   Copy to Clipboard Toggle word wrap

   사용자 지정 스크립트를 사용하여 iptables 규칙을 로드한 경우 스크립트가 더 이상 자동으로 시작되지 않고 재부팅되어 모든 테이블을 플러시합니다.

6. nftables 서비스를 활성화하고 시작합니다.

   # systemctl enable --now nftables

   Copy to Clipboard Toggle word wrap

프로세스

1. 테이블을 생성합니다.

   # nft add table nat

   Copy to Clipboard Toggle word wrap

2. 다음 표에 다음 체인을 추가합니다.

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   Copy to Clipboard Toggle word wrap
   중요

   prerouting 체인에 규칙을 추가하지 않더라도 nftables 프레임워크에는 수신되는 패킷 응답과 일치하도록 이 체인이 필요합니다.

   쉘이 음수 우선순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. ens3 인터페이스에서 발신 패킷과 일치하는 postrouting 체인에 규칙을 추가합니다.

   # nft add rule nat postrouting oifname "ens3" masquerade

   Copy to Clipboard Toggle word wrap

프로세스

1. 테이블을 생성합니다.

   # nft add table nat

   Copy to Clipboard Toggle word wrap

2. 다음 표에 다음 체인을 추가합니다.

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   Copy to Clipboard Toggle word wrap
   중요

   postrouting 체인에 규칙을 추가하지 않더라도 nftables 프레임워크에는 이 체인이 발신 패킷 응답과 일치해야 합니다.

   쉘이 음수 우선순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. ens3 을 통해 발신 패킷의 소스 IP를 192.0.2.1 로 대체하는 postrouting 체인에 규칙을 추가합니다.

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

   Copy to Clipboard Toggle word wrap

프로세스

1. 테이블을 생성합니다.

   # nft add table nat

   Copy to Clipboard Toggle word wrap

2. 다음 표에 다음 체인을 추가합니다.

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   Copy to Clipboard Toggle word wrap
   중요

   postrouting 체인에 규칙을 추가하지 않더라도 nftables 프레임워크에는 이 체인이 발신 패킷 응답과 일치해야 합니다.

   쉘이 음수 우선순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. 라우터의 ens3 인터페이스에서 IP 주소 192.0.2.1 을 사용하여 웹 서버로 들어오는 트래픽을 포트 80 및 443 으로 리디렉션하는 이전 체인에 규칙을 추가합니다.

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

   Copy to Clipboard Toggle word wrap

4. 환경에 따라 SNAT 또는 마스커레이딩 규칙을 추가하여 웹 서버에서 발신자로 반환되는 패킷의 소스 주소를 변경합니다.

   1. ens3 인터페이스에서 동적 IP 주소를 사용하는 경우 마스커레이딩 규칙을 추가합니다.

      # nft add rule nat postrouting oifname "ens3" masquerade

      Copy to Clipboard Toggle word wrap

   2. ens3 인터페이스에서 고정 IP 주소를 사용하는 경우 SNAT 규칙을 추가합니다. 예를 들어 ens3 에서 198.51.100.1 IP 주소를 사용하는 경우 다음을 실행합니다.

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

      Copy to Clipboard Toggle word wrap

5. 패킷 전달을 활성화합니다.

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

   Copy to Clipboard Toggle word wrap

프로세스

1. 테이블을 생성합니다.

   # nft add table nat

   Copy to Clipboard Toggle word wrap

2. 테이블에 사전 체인을 추가합니다.

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   Copy to Clipboard Toggle word wrap

   쉘이 음수 우선순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. 포트 22에서 들어오는 트래픽을 포트 22 로 리디렉션하는 사전 아웃 체인에 규칙을 추가합니다.

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

   Copy to Clipboard Toggle word wrap

프로세스

1. /etc/sysconfig/nftables.conf 파일을 편집합니다.

   • nftables 패키지 설치와 함께 /etc/nftables/ 에 생성된 *.nft 스크립트를 수정한 경우 이러한 스크립트의 include 문의 주석을 제거합니다.

   • 새 스크립트를 작성한 경우 include 문을 추가하여 이러한 스크립트를 포함합니다. 예를 들어 nftables 서비스가 시작될 때 /etc/nftables/예.nft 스크립트를 로드하려면 다음을 추가합니다.

     include "/etc/nftables/_example_.nft"

     Copy to Clipboard Toggle word wrap

2. 선택 사항: 시스템을 재부팅하지 않고 nftables 서비스를 시작하여 방화벽 규칙을 로드합니다.

   # systemctl start nftables

   Copy to Clipboard Toggle word wrap

3. nftables 서비스를 활성화합니다.

   # systemctl enable nftables

   Copy to Clipboard Toggle word wrap

프로세스

1. 예를 들어 포트 22,80 및 443 으로 들어오는 트래픽을 허용하는 example_table 에서 example_chain 에 규칙을 추가하려면 다음을 수행합니다.

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

   Copy to Clipboard Toggle word wrap

2. 선택 사항: example_table 에 모든 체인과 해당 규칙을 표시합니다.

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

   Copy to Clipboard Toggle word wrap

프로세스

1. 빈 세트를 만듭니다. 다음 예제에서는 IPv4 주소에 대한 세트를 생성합니다.

   • 여러 개별 IPv4 주소를 저장할 수 있는 세트를 생성하려면 다음을 수행합니다.

     # nft add set inet example_table example_set { type ipv4_addr \; }

     Copy to Clipboard Toggle word wrap

   • IPv4 주소 범위를 저장할 수 있는 세트를 생성하려면 다음을 수행합니다.

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

     Copy to Clipboard Toggle word wrap
   중요

   쉘이 명령의 마지막으로 message를 해석하지 못하도록 하려면 백슬래시를 사용하여 together을 이스케이프해야 합니다.

2. 선택 사항: 세트를 사용하는 규칙을 생성합니다. 예를 들어 다음 명령은 example_table 의 example_chain 에 규칙을 추가하여 example_set 의 IPv4 주소에서 모든 패킷을 삭제합니다.

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   Copy to Clipboard Toggle word wrap

   example_set 는 여전히 비어 있으므로 규칙은 현재 적용되지 않습니다.

3. example_set 에 IPv4 주소를 추가합니다.

   • 개별 IPv4 주소를 저장하는 세트를 생성하는 경우 다음을 입력합니다.

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

     Copy to Clipboard Toggle word wrap

   • IPv4 범위를 저장하는 세트를 생성하는 경우 다음을 입력합니다.

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     Copy to Clipboard Toggle word wrap

     IP 주소 범위를 지정하면 위 예제에서 192.0.2.0/24 와 같은 CIDR(Classless Inter-Domain Routing) 표기법을 사용할 수 있습니다.

프로세스

1. 빈 세트를 만듭니다. 다음 예제에서는 IPv4 주소에 대한 세트를 생성합니다.

   • 여러 개별 IPv4 주소를 저장할 수 있는 세트를 생성하려면 다음을 수행합니다.

     # nft add set inet example_table example_set { type ipv4_addr \; }

     Copy to Clipboard Toggle word wrap

   • IPv4 주소 범위를 저장할 수 있는 세트를 생성하려면 다음을 수행합니다.

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

     Copy to Clipboard Toggle word wrap
     중요

     쉘이 명령의 마지막으로 message를 해석하지 못하도록 하려면 백슬래시를 사용하여 together을 이스케이프해야 합니다.

2. 들어오는 패킷의 소스 IPv4 주소를 example_set 세트에 동적으로 추가하는 규칙을 만듭니다.

   # nft add rule inet example_table example_chain set add ip saddr @example_set

   Copy to Clipboard Toggle word wrap

   명령은 example_chain 규칙 체인에 새 규칙을 생성하고 example_table 은 패킷의 소스 IPv4 주소를 example_set 에 동적으로 추가합니다.

절차

1. 새 테이블을 만듭니다.

   # nft add table inet example_table

   Copy to Clipboard Toggle word wrap

2. example_table 에서 tcp_packets 체인을 만듭니다.

   # nft add chain inet example_table tcp_packets

   Copy to Clipboard Toggle word wrap

3. 이 체인의 트래픽을 계산하는 tcp_packets 에 규칙을 추가합니다.

   # nft add rule inet example_table tcp_packets counter

   Copy to Clipboard Toggle word wrap

4. example_table에 udp_packets 체인 생성

   # nft add chain inet example_table udp_packets

   Copy to Clipboard Toggle word wrap

5. 이 체인의 트래픽을 계산하는 udp_packets 에 규칙을 추가합니다.

   # nft add rule inet example_table udp_packets counter

   Copy to Clipboard Toggle word wrap

6. 들어오는 트래픽에 사용할 체인을 만듭니다. 예를 들어 들어오는 트래픽을 필터링하는 example_table 에서 incoming_traffic 라는 체인을 생성하려면 다음을 수행합니다.

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

   Copy to Clipboard Toggle word wrap

7. anonymous map이 있는 규칙을 incoming_traffic 에 추가합니다.

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   Copy to Clipboard Toggle word wrap

   익명 맵은 패킷을 구분하여 프로토콜을 기반으로 다른 카운터 체인으로 보냅니다.

8. 트래픽 카운터를 나열하려면 example_table 을 표시합니다.

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }

   Copy to Clipboard Toggle word wrap

   tcp_packets 및 udp_packets 체인의 카운터는 수신된 패킷 수와 바이트 수를 모두 표시합니다.

절차

1. 테이블을 만듭니다. 예를 들어 IPv4 패킷을 처리하는 example_table 라는 테이블을 만들려면 다음을 실행합니다.

   # nft add table ip example_table

   Copy to Clipboard Toggle word wrap

2. 체인을 만듭니다. 예를 들어 example_table 에서 example_chain 이라는 체인을 생성하려면 다음을 수행합니다.

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   Copy to Clipboard Toggle word wrap
   중요

   쉘이 명령 끝부분을 해석하지 못하도록 하려면 백슬래시를 사용하여 host를 이스케이프해야 합니다.

3. 빈 맵을 생성합니다. 예를 들어 IPv4 주소에 대한 맵을 생성하려면 다음을 수행합니다.

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

   Copy to Clipboard Toggle word wrap

4. 맵을 사용하는 규칙을 만듭니다. 예를 들어 다음 명령은 example_map 에 정의된 IPv4 주소에 작업을 적용하는 example_table 의 example_chain 에 규칙을 추가합니다.

   # nft add rule example_table example_chain ip saddr vmap @example_map

   Copy to Clipboard Toggle word wrap

5. IPv4 주소 및 해당 작업을 example_map 에 추가합니다.

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   Copy to Clipboard Toggle word wrap

   이 예제에서는 작업에 대한 IPv4 주소 매핑을 정의합니다. 위에서 생성된 규칙과 함께 방화벽은 192.0.2.1 의 패킷을 수락하고 192.0.2.2 에서 패킷을 삭제합니다.

6. 선택 사항: 다른 IP 주소 및 action 문을 추가하여 맵을 개선합니다.

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

   Copy to Clipboard Toggle word wrap

7. 선택 사항: 맵에서 항목을 제거합니다.

   # nft delete element ip example_table example_map { 192.0.2.1 }

   Copy to Clipboard Toggle word wrap

8. 선택 사항: 규칙 세트를 표시합니다.

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }

   Copy to Clipboard Toggle word wrap

절차

1. 다음 콘텐츠를 사용하여 /etc/ECDHE.d/nftables.conf 파일을 만듭니다.

   :msg, startswith, "nft drop" -/var/log/nftables.log
   & stop

   Copy to Clipboard Toggle word wrap

   이 구성을 사용하여 rsyslog 서비스는 /var/log/ECDHE 대신 /var/log/nftables.log 파일에 패킷을 로그했습니다.

2. rsyslog 서비스를 다시 시작하십시오.

   # systemctl restart rsyslog

   Copy to Clipboard Toggle word wrap

3. 크기가 10MB를 초과하는 경우 /etc/logrotate.d/nftables.log를 교체하여 /var/log/nftables.log 를 순환하도록 /etc/logrotate.d/nftables 파일을 만듭니다.

   /var/log/nftables.log {
     size +10M
     maxage 30
     sharedscripts
     postrotate
       /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
     endscript
   }

   Copy to Clipboard Toggle word wrap

   maxage 30 설정은 다음 순환 작업 중에 30일이 지난 순환 로그를 제거하도록 정의합니다.

절차

1. 다음 콘텐츠를 사용하여 /etc/nftables/firewall.nft 스크립트를 만듭니다.

   # Remove all rules
   flush ruleset
   
   
   # Table for both IPv4 and IPv6 rules
   table inet nftables_svc {
   
     # Define variables for the interface name
     define INET_DEV = enp1s0
     define LAN_DEV  = enp7s0
     define DMZ_DEV  = enp8s0
   
   
     # Set with the IPv4 addresses of admin PCs
     set admin_pc_ipv4 {
       type ipv4_addr
       elements = { 10.0.0.100, 10.0.0.200 }
     }
   
   
     # Chain for incoming trafic. Default policy: drop
     chain INPUT {
       type filter hook input priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept incoming traffic on loopback interface
       iifname lo accept
   
       # Allow request from LAN and DMZ to local DNS server
       iifname { $LAN_DEV, $DMZ_DEV } meta l4proto { tcp, udp } th dport 53 accept
   
       # Allow admins PCs to access the router using SSH
       iifname $LAN_DEV ip saddr @admin_pc_ipv4 tcp dport 22 accept
   
       # Last action: Log blocked packets
       # (packets that were not accepted in previous rules in this chain)
       log prefix "nft drop IN : "
     }
   
   
     # Chain for outgoing traffic. Default policy: drop
     chain OUTPUT {
       type filter hook output priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept outgoing traffic on loopback interface
       oifname lo accept
   
       # Allow local DNS server to recursively resolve queries
       oifname $INET_DEV meta l4proto { tcp, udp } th dport 53 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop OUT: "
     }
   
   
     # Chain for forwarding traffic. Default policy: drop
     chain FORWARD {
       type filter hook forward priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # IPv4 access from LAN and internet to the HTTPS server in the DMZ
       iifname { $LAN_DEV, $INET_DEV } oifname $DMZ_DEV ip daddr 198.51.100.5 tcp dport 443 accept
   
       # IPv6 access from internet to the HTTPS server in the DMZ
       iifname $INET_DEV oifname $DMZ_DEV ip6 daddr 2001:db8:b::5 tcp dport 443 accept
   
       # Access from LAN and DMZ to HTTPS servers on the internet
       iifname { $LAN_DEV, $DMZ_DEV } oifname $INET_DEV tcp dport 443 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop FWD: "
     }
   
   
     # Postrouting chain to handle SNAT
     chain postrouting {
       type nat hook postrouting priority srcnat; policy accept;
   
       # SNAT for IPv4 traffic from LAN to internet
       iifname $LAN_DEV oifname $INET_DEV snat ip to 203.0.113.1
     }
   }

   Copy to Clipboard Toggle word wrap

2. /etc/nftables/firewall.nft 스크립트를 /etc/sysconfig/nftables.conf 파일에 포함합니다.

   include "/etc/nftables/firewall.nft"

   Copy to Clipboard Toggle word wrap

3. IPv4 전달을 활성화합니다.

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

   Copy to Clipboard Toggle word wrap

4. nftables 서비스를 활성화하고 시작합니다.

   # systemctl enable --now nftables

   Copy to Clipboard Toggle word wrap

검증

1. 선택 사항: nftables 규칙 세트를 확인합니다.

   # nft list ruleset
   ...

   Copy to Clipboard Toggle word wrap

2. 방화벽에서 방지하는 액세스를 시도합니다. 예를 들어 DMZ에서 SSH를 사용하여 라우터에 액세스하십시오.

   # ssh router.example.com
   ssh: connect to host router.example.com port 22: Network is unreachable

   Copy to Clipboard Toggle word wrap

3. 로깅 설정에 따라 검색합니다.

   • 차단된 패킷의 systemd 저널:

     # journalctl -k -g "nft drop"
     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

     Copy to Clipboard Toggle word wrap

   • 차단된 패킷의 /var/log/nftables.log 파일:

     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

     Copy to Clipboard Toggle word wrap

절차

1. inet 주소 제품군을 사용하여 filter 테이블을 생성합니다.

   # nft add table inet filter

   Copy to Clipboard Toggle word wrap

2. inet 필터 테이블에 입력 체인을 추가합니다.

   # nft add chain inet filter input { type filter hook input priority 0 \; }

   Copy to Clipboard Toggle word wrap

3. IPv4 주소에 대한 동적 세트를 생성합니다.

   # nft add set inet filter limit-ssh { type ipv4_addr\; flags dynamic \;}

   Copy to Clipboard Toggle word wrap

4. IPv4 주소에서 SSH 포트(22)에 동시에 들어오는 연결만 허용하는 입력 체인에 규칙을 추가하고 동일한 IP에서 추가 연결을 모두 거부합니다.

   # nft add rule inet filter input tcp dport ssh ct state new add @limit-ssh { ip saddr ct count over 2 } counter reject

   Copy to Clipboard Toggle word wrap

검증

1. 동일한 IP 주소에서 호스트로의 두 개 이상의 새 동시 SSH 연결을 설정합니다. 두 연결이 이미 설정된 경우 nftables는 SSH 포트에 대한 연결을 거부합니다.

2. limit-ssh 동적 세트를 표시합니다.

   # nft list set inet filter limit-ssh
   table inet filter {
     set limit-ssh {
       type ipv4_addr
       size 65535
       flags dynamic
       elements = { 192.0.2.1 ct count over 2 , 192.0.2.2 ct count over 2 }
     }
   }

   Copy to Clipboard Toggle word wrap

   elements 항목은 현재 규칙과 일치하는 주소를 표시합니다. 이 예제에서 요소는 SSH 포트에 활성 연결이 있는 IP 주소를 나열합니다. 출력은 활성 연결 수 또는 연결이 거부된 경우 표시되지 않습니다.

절차

1. ip address family를 사용하여 필터 테이블을 생성합니다.

   # nft add table ip filter

   Copy to Clipboard Toggle word wrap

2. 필터 테이블에 입력 체인을 추가합니다.

   # nft add chain ip filter input { type filter hook input priority 0 \; }

   Copy to Clipboard Toggle word wrap

3. 1분 내에 10개 이상의 TCP 연결을 설정하려고 시도하는 소스 주소에서 모든 패킷을 삭제하는 규칙을 추가합니다.

   # nft add rule ip filter input ip protocol tcp ct state new, untracked meter ratemeter { ip saddr timeout 5m limit rate over 10/minute } drop

   Copy to Clipboard Toggle word wrap

   시간 초과 5m 매개변수는 계측이 오래된 항목으로 채워지지 않도록 nftables 가 5분 후에 자동으로 항목을 제거하도록 정의합니다.

프로세스

1. counter 매개 변수를 사용하여 새 규칙을 체인에 추가합니다. 다음 예제에서는 포트 22에서 TCP 트래픽을 허용하는 카운터가 포함된 규칙을 추가하고 이 규칙과 일치하는 패킷 및 트래픽을 계산합니다.

   # nft add rule inet example_table example_chain tcp dport 22 counter accept

   Copy to Clipboard Toggle word wrap

2. 카운터 값을 표시하려면 다음을 수행합니다.

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

   Copy to Clipboard Toggle word wrap

프로세스

1. 프로세스를 포함하여 체인의 규칙을 표시합니다.

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

   Copy to Clipboard Toggle word wrap

2. 규칙을 교체하지만 카운터 매개 변수를 사용하여 카운터 를 추가합니다. 다음 예제에서는 이전 단계에서 표시되는 규칙을 교체하고 카운터를 추가합니다.

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 counter accept

   Copy to Clipboard Toggle word wrap

3. 카운터 값을 표시하려면 다음을 수행합니다.

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

   Copy to Clipboard Toggle word wrap

프로세스

1. 프로세스를 포함하여 체인의 규칙을 표시합니다.

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

   Copy to Clipboard Toggle word wrap

2. 규칙을 교체하지만 meta nftrace set 1 매개변수를 사용하여 추적 기능을 추가합니다. 다음 예제에서는 이전 단계에서 표시된 규칙을 교체하고 추적을 활성화합니다.

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 meta nftrace set 1 accept

   Copy to Clipboard Toggle word wrap

3. nft monitor 명령을 사용하여 추적을 표시합니다. 다음 예제에서는 명령의 출력을 필터링하여 inet example_table example_chain 을 포함하는 항목만 표시합니다.

   # nft monitor | grep "inet example_table example_chain"
   trace id 3c5eb15e inet example_table example_chain packet: iif "enp1s0" ether saddr 52:54:00:17:ff:e4 ether daddr 52:54:00:72:2f:6e ip saddr 192.0.2.1 ip daddr 192.0.2.2 ip dscp cs0 ip ecn not-ect ip ttl 64 ip id 49710 ip protocol tcp ip length 60 tcp sport 56728 tcp dport ssh tcp flags == syn tcp window 64240
   trace id 3c5eb15e inet example_table example_chain rule tcp dport ssh nftrace set 1 accept (verdict accept)
   ...

   Copy to Clipboard Toggle word wrap
   주의

   추적이 활성화된 규칙 수 및 일치하는 트래픽 양에 따라 nft monitor 명령은 많은 출력을 표시할 수 있습니다. grep 또는 기타 유틸리티를 사용하여 출력을 필터링합니다.