6.5. 在 nftables 命令中使用 verdict 映射

过程 6.15. 在 nftables 中使用匿名映射

1. 创建 example_table ：
   Copy to Clipboard Toggle word wrap

   # nft add table inet example_table

2. 在 example_table 中创建 tcp_packets 链：
   Copy to Clipboard Toggle word wrap

   # nft add chain inet example_table tcp_packets

3. 向统计此链中流量的 tcp_packets 中添加一条规则：
   Copy to Clipboard Toggle word wrap

   # nft add rule inet example_table tcp_packets counter

4. 在 example_table 中创建 udp_packets 链：
   Copy to Clipboard Toggle word wrap

   # nft add chain inet example_table udp_packets

5. 向统计此链中流量的 udp_packets 中添加一条规则：
   Copy to Clipboard Toggle word wrap

   # nft add rule inet example_table udp_packets counter

6. 为传入的流量创建一个链。例如，要在过滤传入的流量的 example_table 中创建一个名为 incoming_traffic 的链：
   Copy to Clipboard Toggle word wrap

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. 添加一条带有到 incoming_traffic 匿名映射的规则 ：
   Copy to Clipboard Toggle word wrap

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   匿名映射区分数据包，并根据它们的协议将它们发送到不同的计数链。
8. 要列出流量计数器，请显示 example_table ：
   Copy to Clipboard Toggle word wrap

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }
   

   tcp_packets 和 udp_packets 链中的计数器显示两者接收的数据包和字节数。

过程 6.16. 在 nftables 中使用命名映射

1. 创建表。例如，要创建一个名为 example_table 的表来处理 IPv4 数据包：
   Copy to Clipboard Toggle word wrap

   # nft add table ip example_table

2. 创建链。例如，要在 example_table 中创建一个名为 example_chain 的链：
   Copy to Clipboard Toggle word wrap

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   重要
   要避免 shell 认为分号作为命令结尾，您必须用反斜杠转义分号。
3. 创建一个空的映射。例如，要为 IPv4 地址创建映射：
   Copy to Clipboard Toggle word wrap

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. 创建使用该映射的规则。例如，以下命令向 example_table 中的 example_chain 添加一条规则，该规则将操作应用到 example_map 中定义的 IPv4 地址：
   Copy to Clipboard Toggle word wrap

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. 向 example_map 添加 IPv4 地址和对应操作：
   Copy to Clipboard Toggle word wrap

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   这个示例定义了 IPv4 地址到操作的映射。与以上创建的规则相结合，防火墙接受来自 192.0.2.1 的数据包，丢弃来自 192.0.2.2 的数据包。
6. 另外，还可添加另一个 IP 地址和 action 语句来增强映射：
   Copy to Clipboard Toggle word wrap

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. （可选）从映射中删除条目：
   Copy to Clipboard Toggle word wrap

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. 另外，还可显示规则集：
   Copy to Clipboard Toggle word wrap

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }