第 2 章 nftables 入门
nftables 框架对数据包进行分类，它是 iptables、ip6tables、arptables、ebtables 和 ipset 实用程序的后续者。与之前的数据包过滤工具相比，它在方便、特性和性能方面提供了大量改进，最重要的是：
- 内置查找表而不是线性处理
-
IPv4和IPv6协议的单一框架 - 规则会以一个整体被应用，而不是分为抓取、更新和存储完整的规则集的步骤
-
支持在规则集(
nftrace)和监控追踪事件（nft）中调试和追踪 - 更加一致和压缩的语法，没有特定协议的扩展
- 用于第三方应用程序的 Netlink API
nftables 框架使用表来存储链。链包含执行动作的独立规则。nft 工具替换了之前数据包过滤框架中的所有工具。您可以使用 libnftnl 库通过 libmnl 库来处理 nftables Netlink API 的低级别交互。
要显示规则集变化的影响，请使用 nft list ruleset 命令。由于这些工具向 nftables 规则集添加表、链、规则、集合和其他对象，请注意 nftables 规则集的操作（如 nft flush ruleset 命令）可能会影响使用 iptables 命令安装的规则集。
2.1. 从 iptables 迁移到 nftables
如果您的防火墙配置仍然使用 iptables 规则，则您可以将 iptables 规则迁移到 nftables。
ipset 和 iptables-nft 软件包已在 Red Hat Enterprise Linux 9 中弃用。这包括 nft-variants （如 iptables、ip6tables、arptables 和 ebtables 工具）的弃用。如果您使用其中任何一个工具，例如，因为您从早期的 RHEL 版本升级，红帽建议迁移到 nftables 软件包提供的 nft 命令行工具。
2.1.1. 使用 firewalld、nftables 或者 iptables 时
以下是您应该使用以下工具之一的概述：
-
firewalld:使用firewalld实用程序进行简单防火墙用例。此工具易于使用，并涵盖了这些场景的典型用例。 -
nftables:使用nftables实用程序设置复杂和高性能的防火墙，如为整个网络设置。 -
iptables:Red Hat Enterprise Linux 上的iptables工具使用nf_tables内核 API 而不是legacy后端。nf_tablesAPI 提供了向后兼容性，以便使用iptables命令的脚本仍可在 Red Hat Enterprise Linux 上工作。对于新的防火墙脚本，红帽建议使用nftables。
要防止不同的与防火墙相关的服务(firewalld、nftables 或 iptables)相互影响，请在 RHEL 主机上仅运行其中一个服务，并禁用其他服务。
2.1.2. 将 iptables 和 ip6tables 规则集转换为 nftables
使用 iptables-restore-translate 和 ip6tables-restore-translate 实用程序将 iptables 和 ip6tables 规则集转换为 nftables。
先决条件
-
已安装
nftables和iptables软件包。 -
系统配置了
iptables和ip6tables规则。
流程
将
iptables和ip6tables规则写入一个文件：# iptables-save >/root/iptables.dump # ip6tables-save >/root/ip6tables.dump
将转储文件转换为
nftables指令：# iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft
-
检查，如果需要，手动更新生成的
nftables规则。 要启用
nftables服务来加载生成的文件，请在/etc/sysconfig/nftables.conf文件中添加以下内容：include "/etc/nftables/ruleset-migrated-from-iptables.nft" include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"
停止并禁用
iptables服务：# systemctl disable --now iptables如果您使用自定义脚本加载
iptables规则，请确保脚本不再自动启动并重新引导以刷新所有表。启用并启动
nftables服务：# systemctl enable --now nftables
验证
显示
nftables规则集：# nft list ruleset
2.1.3. 将单个 iptables 和 ip6tables 规则转换为 nftables
Red Hat Enterprise Linux 提供了 iptables-translate 和 ip6tables-translate 工具来将 iptables 或 ip6tables 规则转换为与 nftables 相等的规则。
先决条件
-
已安装
nftables软件包。
流程
使用
iptables-translate或ip6tables-translate程序而不是iptables或ip6tables显示对应的nftables规则，例如：# iptables-translate -A INPUT -s 192.0.2.0/24 -j ACCEPT nft add rule ip filter INPUT ip saddr 192.0.2.0/24 counter accept
请注意，一些扩展可能缺少响应的转换支持。在这些情况下，实用程序会输出以
#符号为前缀的未转换规则，例如：# iptables-translate -A INPUT -j CHECKSUM --checksum-fill nft # -A INPUT -j CHECKSUM --checksum-fill
其他资源
-
iptables-translate --help
2.1.4. 常见的 iptables 和 nftables 命令的比较
以下是常见 iptables 和 nftables 命令的比较：
列出所有规则：
iptables nftables iptables-savenft list ruleset列出某个表和链：
iptables nftables iptables -Lnft list table ip filteriptables -L INPUTnft list chain ip filter INPUTiptables -t nat -L PREROUTINGnft list chain ip nat PREROUTINGnft命令不会预先创建表和链。只有当用户手动创建它们时它们才会存在。列出 firewalld 生成的规则：
# nft list table inet firewalld # nft list table ip firewalld # nft list table ip6 firewalld
