11.2. nftables 链的基础知识

表包含链，而链又是规则的容器。存在以下两种链类型：

如果要向表中添加基本链，所使用的格式取决于您的防火墙脚本：

在原生语法的脚本中，使用：

table <table_address_family> <table_name> {
  chain <chain_name> {
    type <type> hook <hook> priority <priority>
    policy <policy> ;
  }
}

table <table_address_family> <table_name> {
  chain <chain_name> {
    type <type> hook <hook> priority <priority>
    policy <policy> ;
  }
}

Copy to Clipboard

Toggle word wrap

在 shell 脚本中，使用：

nft add chain <table_address_family> <table_name> <chain_name> { type <type> hook <hook> priority <priority> \; policy <policy> \; }

nft add chain <table_address_family> <table_name> <chain_name> { type <type> hook <hook> priority <priority> \; policy <policy> \; }

Copy to Clipboard

Toggle word wrap

为了避免 shell 将分号解释为命令的结尾，请将 \ 转义字符放在分号前面。

这两个示例都创建 基本链。要创建 常规链，请不要在大括号中设置任何参数。

链类型：

以下是链类型以及您可以使用的地址系列和钩子的概述：

Expand

类型	地址系列	钩子	描述
`filter`	all	all	标准链类型
`nat`	`ip`,`ip6`,`inet`	`prerouting`、`input`、`output`、`postrouting`	这个类型的链根据连接跟踪条目执行原生地址转换。只有连接的第一个数据包会通过。
`route`	`ip`,`ip6`	`output`	如果 IP 头的相关部分已更改，则接受的遍历此链类型的数据包会导致新的路由查找。

链优先级：

priority 参数指定数据包遍历具有相同 hook 值的链的顺序。您可以将此参数设为整数值，或使用标准优先级名称。

以下列表是标准优先级名称及其数字值的一个概述，以及您可以使用它们的哪个地址系列和钩子：

Expand

链策略：

如果此链中的规则没有指定任何操作，则链策略定义 nftables 是否应该接受或丢弃数据包。您可以在链中设置以下策略之一：

返回顶部