6.5.2. Usando conjuntos nomeados em nftables

Procedimento

1. Criar um conjunto vazio. Os exemplos a seguir criam um conjunto para endereços IPv4:

   • Para criar um conjunto que possa armazenar múltiplos endereços IPv4 individuais:

     # nft add set inet example_table example_set { type ipv4_addr }; }

   • Para criar um conjunto que possa armazenar faixas de endereços IPv4:

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   Importante

   Para evitar que a casca interprete os ponto-e-vírgula como o fim do comando, você deve escapar dos pontos-e-vírgula com uma barra invertida.

2. Opcionalmente, criar regras que utilizem o conjunto. Por exemplo, o seguinte comando adiciona uma regra ao example_chain no site example_table que irá descartar todos os pacotes de endereços IPv4 em example_set.

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   Como example_set ainda está vazio, a regra atualmente não tem efeito.

3. Adicionar endereços IPv4 a example_set:

   • Se você criar um conjunto que armazene endereços IPv4 individuais, entre:

     # nft adicionar elemento inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   • Se você criar um conjunto que armazene faixas IPv4, entre:

     # nft adicionar elemento inet example_table example_set { 192.0.2.0-192.0.2.255 }

     Quando você especifica uma faixa de endereços IP, você pode alternativamente usar a notação Classless Inter-Domain Routing (CIDR), como por exemplo 192.0.2.0/24 no exemplo acima.