6.2. 创建和管理 nftables 表、链和规则

过程 6.4. 创建 nftables 表

1. 使用 nft add table 命令来创建新表。例如，要创建一个名为 example_table 的表，用于处理 IPv4 和 IPv6 数据包：

   # nft add table inet example_table

2. 另外，还可列出规则集中的所有表：

   # nft list tables
   table inet example_table

过程 6.5. 创建 nftables 链

1. 使用 nft add chain 命令来创建新链。例如，要在 example_table 中创建一个名为 example_chain 的链：

   # nft add chain inet example_table example_chain '{ type filter hook input priority 0 ; policy accept ; }'

   重要
   要避免 shell 认为分号作为命令结尾，您必须用反斜杠转义分号。此外，一些 shell 也解译大括号，因此请使用 ticks (1)将大括号和它们内的任何内容引用。
   这个链过滤传入的数据包。priority 参数指定 nftables 进程处理具有相同 hook 值的链的顺序。较低优先级的值优先于优先级更高的值。policy 参数为此链中的规则设置默认操作。请注意，如果您远程登录到服务器，并将默认策略设置为 drop，如果没有其他规则允许远程访问，则会立即断开连接。
2. 另外，还可以显示所有链：

   # nft list chains
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
     }
   }
   

过程 6.6. 将规则附加到 nftables 链的末尾

1. 要添加新规则，请使用 nft add rule 命令。例如，要在 example_table 中的 example_chain 中添加一条规则，以允许端口 22 上的 TCP 流量：

   # nft add rule inet example_table example_chain tcp dport 22 accept

   您还可以指定服务名称而不是端口号。在示例中，您可以使用 ssh 而不是端口号 22。请注意，服务名称根据 /etc/services 文件中的条目解析为端口号。
2. 另外，还可在 example_table 中显示所有链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ...
       tcp dport ssh accept
     }
   }
   

过程 6.7. 在 nftables 链的开头插入一条规则

1. 要插入新规则，请使用 nft insert rule 命令。例如，要在 example_table 中的 example_chain 插入一条规则，以允许端口 22 上的 TCP 流量：

   # nft insert rule inet example_table example_chain tcp dport 22 accept

   您还可以指定服务名称而不是端口号。在示例中，您可以使用 ssh 而不是端口号 22。请注意，服务名称根据 /etc/services 文件中的条目解析为端口号。
2. 另外，还可在 example_table 中显示所有链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept
       ...
     }
   }
   

过程 6.8. 在 nftables 链的特定位置插入一条规则

1. 使用 nft -a list ruleset 命令显示 example_table 中的所有链及其规则，包括其句柄：

   # nft -a list table inet example_table
   table inet example_table { # handle 1
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       tcp dport 389 accept # handle 4
     }
   }
   

   使用 -a 显示句柄。您需要此信息才能在后续步骤中定位新规则。
2. 将新规则插入到 example_table 中的 example_chain 链中：
   • 要在句柄 3 前插入一条允许端口 636 上 TCP 流量的规则，请输入：

     # nft insert rule inet example_table example_chain position 3 tcp dport 636 accept

   • 要添加一条规则，在句柄 3 后允许端口 80 上的 TCP 流量，请输入：

     # nft add rule inet example_table example_chain position 3 tcp dport 80 accept

3. 另外，还可在 example_table 中显示所有链及其规则：

   # nft -a list table inet example_table
   table inet example_table { # handle 1
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       tcp dport 389 accept # handle 4
     }
   }