8.3. 编写和执行 nftables 脚本

• 与 nft list ruleset 命令相同的格式显示规则集：

  #!/usr/sbin/nft -f
  
  # Flush the rule set
  flush ruleset
  
  table inet example_table {
    chain example_chain {
      # Chain for incoming packets that drops all packets that
      # are not explicitly allowed by any rule in this chain
      type filter hook input priority 0; policy drop;
  
      # Accept connections to port 22 (ssh)
      tcp dport ssh accept
    }
  }

• 与 nft 命令的语法相同：

  #!/usr/sbin/nft -f
  
  # Flush the rule set
  flush ruleset
  
  # Create a table
  add table inet example_table
  
  # Create a chain for incoming packets that drops all packets
  # that are not explicitly allowed by any rule in this chain
  add chain inet example_table example_chain { type filter hook input priority 0 ; policy drop ; }
  
  # Add a rule that accepts connections to port 22 (ssh)
  add rule inet example_table example_chain tcp dport ssh accept

流程

• 要通过将其传给 nft 工具来运行 nftables 脚本，请输入：

  # nft -f /etc/nftables/<example_firewall_script>.nft

• 要直接运行 nftables 脚本：

  1. 在进行这个时间时：

     1. 确保脚本以以下 shebang 序列开头：

        #!/usr/sbin/nft -f

        重要

        如果省略了 -f 参数，nft 工具不会读取脚本，并显示 Error: syntax error, unexpected newline, expecting string。

     2. 可选：将脚本的所有者设为 root ：

        # chown root /etc/nftables/<example_firewall_script>.nft

     3. 使脚本可以被其所有者执行：

        # chmod u+x /etc/nftables/<example_firewall_script>.nft

  2. 运行脚本：

     # /etc/nftables/<example_firewall_script>.nft

     如果没有输出结果，系统将成功执行该脚本。

前提条件

• nftables 脚本存储在 /etc/nftables/ 目录中。