6.6.2. Usando mapas de veredictos mutáveis em nftables

Procedimento

1. Criar uma mesa. Por exemplo, para criar uma tabela chamada example_table que processa pacotes IPv4:

   # nft adicionar tabela ip exemplo_tabela

   Copy to Clipboard Toggle word wrap

2. Criar uma corrente. Por exemplo, para criar uma cadeia chamada example_chain em example_table:

   # nft add chain ip example_table example_chain { type filter hook input priority 0 {\i1}; {\i1}

   Copy to Clipboard Toggle word wrap
   Importante

   Para evitar que a casca interprete os ponto-e-vírgula como o fim do comando, você deve escapar dos pontos-e-vírgula com uma barra invertida.

3. Criar um mapa vazio. Por exemplo, para criar um mapa para endereços IPv4:

   # nft add map ip example_table example_map { type ipv4_addr : veredicto }

   Copy to Clipboard Toggle word wrap

4. Criar regras que utilizem o mapa. Por exemplo, o seguinte comando adiciona uma regra a example_chain em example_table que aplica ações a endereços IPv4 que são ambos definidos em example_map:

   # nft add rule example_table example_chain ip saddr vmap @example_map

   Copy to Clipboard Toggle word wrap

5. Adicionar endereços IPv4 e ações correspondentes a example_map:

   # nft adicionar elemento ip example_table example_map { 192.0.2.1 : aceitar, 192.0.2.2 : largar }

   Copy to Clipboard Toggle word wrap

   Este exemplo define os mapeamentos de endereços IPv4 para ações. Em combinação com a regra criada acima, o firewall aceita pacotes de 192.0.2.1 e deixa cair pacotes de 192.0.2.2.

6. Opcionalmente, melhore o mapa adicionando outro endereço IP e declaração de ação:

   # nft adicionar elemento ip example_table example_map { 192.0.2.3 : aceitar }

   Copy to Clipboard Toggle word wrap

7. Opcionalmente, remova uma entrada do mapa:

   # nft apagar elemento ip example_table example_map { 192.0.2.1 }

   Copy to Clipboard Toggle word wrap

8. Opcionalmente, exibir o conjunto de regras:

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }

   Copy to Clipboard Toggle word wrap