Linux-nftables

https://netfilter.org/
https://netfilter.org/projects/iptables/index.html
https://netfilter.org/projects/nftables/index.html
https://www.netfilter.org/projects/nftables/manpage.html
https://wiki.nftables.org/wiki-nftables/index.php/Main_Page
https://wiki.nftables.org/wiki-nftables/index.php/Quick_reference-nftables_in_10_minutes
https://wiki.archlinux.org/index.php/Nftables
https://wiki.gentoo.org/wiki/Nftables
https://wiki.gentoo.org/wiki/Nftables/Examples
https://kernelnewbies.org/nftables_examples

1. Linux防火墙简介
2. nftables介绍
3. 为什么要使用nftables
4. Netfilter日志框架
5. nft命令介绍
6. nft基础操作
7. 更多规则选项

1. Linux防火墙简介

Linux系统较早使用的防火墙是(约1996年的Linux 2.0) ipfwadm 和(约1999年的Linux 2.2) ipchains。
基于以上版本经过重新设计和大幅改进后出现了(约2001年的Linux 2.4)的netfilter。一直应用到现在。

  • 包过滤框架：netfilter (约2001年Linux 2.4) 该框架内的软件支持包过滤，网络地址[和端口]转换(NA[P]T)和其他数据包重整。是Linux内核中的一组钩子，允许内核模块向网络堆栈注册回调函数。然后，对于遍历网络堆栈内的相应挂钩的每个数据包，回调注册的回调函数。
  • 用户工具集：iptables, nftables等
    • iptables (约2001年Linux 2.4) 是用户空间命令行程序，用于配置netfilter包过滤规则集。
    • nftables (约2013年Linux 3.13) 旨在取代现有iptables的{ip，ip6，arp，eb}表框架。（iptables,ip6tables,arptables,etables用于以太网桥过滤的功能。）


补充：firewalld也是Linux的防火墙，同时支持iptables和nftables，最新版本默认使用nftables。简单的说firewalld是基于nftfilter防火墙的用户界面工具。而iptables和nftables是命令行工具。firewalld引入区域的概念，可以动态配置，让防火墙配置及使用变得简便。详见firewalld.org

netfilter, iptables, nftables 都是netfilter项目。nftables 用于替代 iptables。
netfilter的功能很强大，远远超越防火墙的范围，详见项目主页。

2. nftables介绍

本文主要记录较新的nftables的特性及nft工具的使用。
nftables 提供了一个新的包过滤框架，该框架基于特定于网络的虚拟机（VM），一个新的用户空间实用程序（nft）和一个用于{ip，ip6}表的兼容层。
它使用现有的钩子，连接跟踪系统，用户空间排队组件和netfilter的日志子系统。
它由三个主要组件组成：内核实现，libnl netlink通信和nftables用户空间前端。
内核提供了netlink配置接口，以及运行时规则集评估，
libnl包含用于与内核通信的低级函数，
而nftables前端是用户通过nft进行交互的内容。

从Linux内核3.13版本开始(2013)，nftables已经成为Linux内核主线的一部分。正在逐渐替换iptables。

3. 为什么要使用nftables

https://developers.redhat.com/blog/2016/10/28/what-comes-after-iptables-its-successor-of-course-nftables/
nftables对旧iptables提供的最显着的功能有：
支持查找表 - 无需进行线性规则评估
不再强制执行隐式规则计数器和地址/接口匹配的开销
拥有使用额外脚本的能力。
nftables不包含任何内置表。

可用性：
事务规则更新 - 所有规则都以原子方式应用
应用程序可以订阅nfnetlink通知，以便在添加或删除新规则时接收规则更新
nft命令行工具可以显示正在匹配的规则的实时日志，以便于规则集调试

nftables重用了netfilter框架的许多部分，例如连接跟踪和NAT设施。它还保留了命名法和基本iptables设计的几个部分，例如表格，链条和规则。
就像使用iptables一样，表充当链的容器，链包含单独的规则，可以执行诸如丢弃数据包，移动到下一个规则或跳转到新链的操作。

什么被替换？
从用户的角度来看，nftables添加了一个名为nft的新工具，它取代了iptables，arptables和ebtables中的所有其他工具。从架构的角度来看，它还取代了处理包过滤规则集的运行时评估的内核部分。

允许监控规则更新。nft工具可用于监视规则集中的更改，例如“nft monitor”显示从内核添加和删除的每个规则。
它还提供“跟踪模式”，系统管理员可以在此处执行“添加规则修改” prerouting ip saddr 10.2.3.4 meta nftrace set 1'。
然后，“nft monitor trace”将显示与来自IP地址10.2.3.4的数据包匹配的每个规则。

4. Netfilter日志框架

Nftables 7 : Nftables Logging
http://computer-outlines.over-blog.com/article-nftables-7-nftables-logging-123303629.html
/proc/net/netfilter/nf_log
从Linux 2.6.14开始，可以通过内核数据包过滤器记录的用户空间数据包进行传递。
有两个工具：
QUEUE et NFQUEUE：外部应用程序用于决策（SNORT IDS / IPS，NuFW，ulogd，...）
LOG et NFLOG：用于外部日志记录（Wireshark，Syslog，...）

NFlog是一个新的iptables和Nftables的目标是通过虚拟设备记录数据包。
NFLOG目标会复制数据包并将其发送到指定的netlink套接字。

$ sudo cat /proc/net/netfilter/nf_log
 0 NONE ()
 1 NONE ()
 2 NONE ()// IPv4
 3 NONE ()
 4 NONE ()// Novell IPX
 5 NONE ()
 6 NONE ()
 7 NONE ()
 8 NONE ()
 9 NONE ()
10 NONE ()// IPv6
11 NONE ()
12 NONE ()
// 行号是协议。
比如启用IPv6 nfnetlink_log：
echo "nfnetlink_log" > /proc/sys/net/netfilter/nf_log/10
$ ls /proc/net/netfilter/nf_log
/proc/net/netfilter/nf_log
$ ls /proc/sys/net/netfilter/nf_log
0  1  10  11  12  2  3  4  5  6  7  8  9
$ sudo cat /proc/net/netfilter/nf_log
...
10 nfnetlink_log（nfnetlink_log）

5. nft命令介绍

不同与iptables，nftables不包含任何内置表。还拥有使用额外脚本的能力, 拥有一些高级的类似编程语言的能力，例如定义变量和包含外部文件。
与iptables类似的是，表层次结构：表包含链，链里是具体的过滤规则。处理规则则由 地址，接口，端口或包含当前处理数据包中的其他数据等表达式以及诸如drop, queue, continue等声明组成。
可以用于多种地址族的过滤和处理：

  • ip: IPv4 地址
  • ip6: IPv6 地址
  • inet: IPv4 和 IPv6 地址
  • arp: 地址解析协议(ARP)地址
  • bridge: 处理桥接数据包


注：当没有指定地址族时，默认为IP。

特定的地址族包含钩子，对ip,ipv6,和inet地址族来说，可以应用如下钩子

  • prerouting: 刚到达并且未被处理过的数据包
  • input: 已经被接收并且已经经过prerouting钩子的传入数据包
  • forward: 如果数据包将被发送到另一个设备，他将会通过forward钩子
  • output: 从本地系统传出的数据包
  • postrouting: 仅仅在离开系统之前


ARP地址族只能使用input和output钩子。

$ nft -h
  -h, --help 显示帮书
  -v, --version 显示版本信息

  -c, --check 检查命令的有效性，而不实际应用更改。
  -f, --file <filename> 包含文件内容<filename>
  -i, --interactive 从命令行读取输入

  -j, --json 以JSON格式化输出
  -n, --numeric 指定一次后，以数字方式显示网络地址（默认行为）。
  指定两次以数字方式显示Internet服务（端口号）。
指定三次以数字方式显示协议，用户ID和组ID。
  -s, --stateless 省略规则集的有状态信息。
  -N 将IP地址转换为名称。
  -a, --handle 显示规则句柄handle.
  -e, --echo Echo what has been added, inserted or replaced.
  -I, --includepath <directory> 添加<directory>目录到包含文件的搜索路径中。默认为: /usr/share
  --debug <level [,level...]> 添加调试,在level处(scanner, parser, eval, netlink, mnl, proto-ctx, segtree, all)

# nft 操作符 操作目标 操作内容
操作符: 增,删,改,查,清除,插入,创建
操作目标: 表,链(),规则()
表操作（add,delete,list,flush;
链操作（add,delete,rename,list,flush,create）;链类型（type:filter,route,nat）;链钩子（hook...）
规则（add,delete,insert;
操作内容：...

查询所有表名
nft list tables

查询某个表的内容
nft list table 表名

    \Subcmd→
cmd↓\		 表语法
table 		链语法
chain 		规则语法
rule 		备注
增 add ◉ ◉ ◉ 添加到末尾
create ◌ ◉ ◌ 除非已存在同名链
insert ◌ ◌ ◉ 插入到指定位置
删 delete ◉ ◉ ◉  
flush ◉ ◉ ◌  
改 rename ◌ ◉ ◌ 链名称
查 list ◉ ◉ ◌  

 

6. nft基础操作

https://yq.aliyun.com/articles/531207
1、增
增加表：nft add table fillter
增加链：nft add chain filter input { type filter hook input priority 0 \; } # 要和hook（钩子）相关连
增加规则：nft add rule filter input tcp dport 22 accept
2、删
只需要把上面的 add 改为 delete 即可
3、改
更改链名用rename
更改规则用replace
4、查
nft list ruleset # 列出所有规则
nft list tables # 列出所有表
nft list table filter # 列出filter表
nft chain filter input # 列出filter表input链
以上命令后面也可以加 -nn  用于不解析ip地址和端口
加 -a 用于显示 handles

7. 更多规则选项

声明

1 accept 接受 接受 包 停止处理
2 drop 丢弃 丢弃 包 停止处理
3 reject 拒绝 驳回 包 停止处理
4 queue 队列 发送包 到用户空间程序 停止处理
5 continue 继续 继续处理包  
6 return 返回 发送到调用的规则链进行处理  
7 jump
<chain>		 跳跃 发送到指定的规则链进行处理 当完成时或执行了返回的声明，返回到调用的规则链
8 goto
<chain>		 转到 发送到指定的规则链进行处理 不返回到调用的规则链
9 limit limit 达到接收包的匹配限制， 则根据规则处理包
10 log log 日志记录 包 继续处理

meta 元表达式

66 meta rtclassid Routing realm 路由领域          
67 length Length of the packet in bytes: meta length > 1000 以字节为单位的数据包长度：元长度> 1000          
68 protocol ethertype protocol: meta protocol vlan ethertype协议：元协议vlan          
69 priority TC packet priority TC包优先级          
70 mark Packet mark 包标记          
71 iif Input interface index 输入接口索引 76 meta oif Output interface index 输出接口索引
72 iifname Input interface name 输入接口名称 77 oifname Output interface name 输出接口名称
73 iiftype Input interface type 输入接口类型 78 oiftype Output interface hardware type 输出接口硬件类型
74 skuid UID associated with originating socket 与原始套接字关联的UID 79 skgid GID associated with originating socket 与原始套接字关联的GID
75 iifgroup Input interface group 输入接口组 80 oifgroup Output interface group 输出接口组

ct 连接跟踪

54 ct direction Direction of the packet relative to the connection 数据包相对于连接的方向          
55 mark Connection mark 连接标记          
56 expiration Connection expiration time 连接到期时间          
57 helper Helper associated with the connection 辅助与连接相关联          
58 l3proto Layer 3 protocol of the connection 连接的第3层协议          
59 protocol Layer 4 protocol of the connection for the given direction 给定方向的连接的第4层协议          
60 state State of the connection 连接状态 63 ct status Status of the connection 连接状态
61 saddr Source address of the connection for the given direction 给定方向的连接的源地址 64 daddr Destination address of the connection for the given direction 给定方向的连接的目标地址
62 proto-src Layer 4 protocol source for the given direction 给定方向的第4层协议源 65 proto-dst Layer 4 protocol destination for the given direction 给定方向的第4层协议目的地

IPv4 IPv6 报头表达式

1 ip hdrlength IP header length IP标头长度          
2 tos Type of Service 服务类型          
3 id IP ID IP ID          
4 frag-off Fragmentation offset 碎片偏移          
5 ttl Time to live 生存的时间          
6 protocol Upper layer protocol 上层协议          
7 checksum IP header checksum IP头校验和          
8 version Ip Header version Ip Header版本 12 ip6 version IP header version IP标头版本
9 saddr Source address 来源地址 13 saddr Source Address 来源地址
10 daddr Destination address 目的地址 14 daddr Destination Address 目的地址
11 length Total packet length 总包长度 15 length Payload length 有效载荷长度
          16 priority   优先
          17 nexthdr Next header type (Upper layer protocol number) 下一个标题类型
(上层协议号)
          18 flowlabel Flow label 流标签
          19 hoplimit Hop limit 跳限制

TCP UDP 报头表达式

20 tcp sequence Sequence number 序列号          
21 ackseq Acknowledgement number 致谢号码          
22 doff Data offset 数据偏移          
23 flags TCP flags TCP标志          
24 window Window 窗口          
25 urgptr Urgent pointer 紧急指针          
26 sport Source port 源端口 29 udp sport Source port 源端口
27 dport Destination port 目的端口 30 dport destination port 目的端口
28 checksum Checksum 校验 31 checksum Checksum 校验
          32 length Total packet length 总包长度

其他匹配项目

33 udplite sport Source port 源端口
34 dport destination port 目的端口
35 cscov Checksum coverage 校验和覆盖范围
36 checksum Checksum 校验
37 sctp sport Source port 源端口
38 dport destination port 目的端口
39 vtag Verification tag 验证标签
40 checksum Checksum 校验
41 dccp sport Source port 源端口
42 dport destination port 目的端口
43 ah nexthdr Next header protocol (Upper layer protocol) 下一个标头协议（上层协议）
44 hdrlength AH header length AH标头长度
45 spi Security Parameter Index 安全参数索引
46 sequence Sequence Number 序列号
47 esp spi Security Parameter Index 安全参数索引
48 sequence Sequence Number 序列号
49 ipcomp nexthdr Next header protocol (Upper layer protocol) 下一个标头协议（上层协议）
50 flags Flags 旗
51 cfi Compression Parameter Index 压缩参数索引
52 icmp type icmp packet type icmp数据包类型
53 icmpv6 type icmpv6 packet type icmpv6数据包类型