14.2. 在 nftables 中使用命名集

流程

1. 创建一个空集。以下示例为 IPv4 地址创建了一个集合：

   • 要创建可存储多个独立 IPv4 地址的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; }

     Copy to Clipboard Toggle word wrap

   • 要创建可存储 IPv4 地址范围的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

     Copy to Clipboard Toggle word wrap
   重要

   要防止 shell 将分号解释为命令结尾，您必须使用反斜杠转义分号。

2. 可选：创建使用集合的规则。例如，以下命令向 example_table 中的 example_chain 中添加一条规则，该规则将丢弃 example_set 中来自 IPv4 地址的所有数据包。

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   Copy to Clipboard Toggle word wrap

   由于 example_set 仍为空，所以该规则目前不起作用。

3. 向 example_set 中添加 IPv4 地址：

   • 如果您创建存储单个 IPv4 地址的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

     Copy to Clipboard Toggle word wrap

   • 如果您创建存储 IPv4 范围的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     Copy to Clipboard Toggle word wrap

     当您指定 IP 地址范围时，您可以使用无类别域间路由(CIDR)表示法，如上例中的 192.0.2.0/24。