手順

1. 利用可能なファイアウォールゾーンをリスト表示します。

   # firewall-cmd --get-zones

   firewall-cmd --get-zones コマンドは、システムで利用可能なすべてのゾーンを表示し、特定のゾーンの詳細は表示しません。すべてのゾーンの詳細情報を表示するには、firewall-cmd --list-all-zones コマンドを使用します。

2. この設定に使用するゾーンを選択します。

3. 選択したゾーンのファイアウォール設定を変更します。たとえば、SSH サービスを許可し、ftp サービスを削除するには、次のようにします。

   # firewall-cmd --add-service=ssh --zone=<your_chosen_zone>
   # firewall-cmd --remove-service=ftp --zone=<same_chosen_zone>

4. ネットワークインターフェイスをファイアウォールゾーンに割り当てます。

   1. 使用可能なネットワークインターフェイスをリスト表示します。

      # firewall-cmd --get-active-zones

      ゾーンがアクティブかどうかは、その設定と一致するネットワークインターフェイスまたはソースアドレス範囲の存在によって決定します。デフォルトゾーンは、未分類のトラフィックに対してアクティブですが、ルールに一致するトラフィックがない場合は常にアクティブになるわけではありません。

   2. 選択したゾーンにネットワークインターフェイスを割り当てます。

      # firewall-cmd --zone=<your_chosen_zone> --change-interface=<interface_name> --permanent

      ネットワークインターフェイスをゾーンに割り当てることは、特定のインターフェイス (物理または仮想) 上のすべてのトラフィックに一貫したファイアウォール設定を適用する場合に適しています。

      firewall-cmd コマンドを --permanent オプションとともに使用すると、多くの場合、NetworkManager 接続プロファイルが更新され、ファイアウォール設定に対する変更が永続化します。この firewalld と NetworkManager の統合により、ネットワークとファイアウォールの設定に一貫性が確保されます。

検証

1. 選択したゾーンの更新後の設定を表示します。

   # firewall-cmd --zone=<your_chosen_zone> --list-all

   コマンド出力には、割り当てられたサービス、ネットワークインターフェイス、ネットワーク接続 (ソース) を含むすべてのゾーン設定が表示されます。

1. 現在のデフォルトゾーンを表示します。

   # firewall-cmd --get-default-zone

2. 新しいデフォルトゾーンを設定します。

   # firewall-cmd --set-default-zone <zone_name>

   注記

   この手順では、--permanent オプションを使用しなくても、設定は永続化します。

1. アクティブゾーン、およびそのゾーンに割り当てられているインターフェイスをリスト表示します。

   # firewall-cmd --get-active-zones

2. 別のゾーンにインターフェイスを割り当てます。

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

手順

1. ゾーンを NetworkManager 接続プロファイルに割り当てます。

   # nmcli connection modify profile connection.zone zone_name

2. 接続をアクティベートします。

   # nmcli connection up profile

手順

1. 接続プロファイルへのパスとその形式を決定します。

   # nmcli -f NAME,FILENAME connection
   NAME    FILENAME
   enp1s0  /etc/NetworkManager/system-connections/enp1s0.nmconnection
   enp7s0  /etc/sysconfig/network-scripts/ifcfg-enp7s0

   NetworkManager は、さまざまな接続プロファイル形式に対して個別のディレクトリーとファイル名を使用します。

   • /etc/NetworkManager/system-connections/<connection_name>.nmconnection ファイル内のプロファイルは、キーファイル形式を使用します。
   • /etc/sysconfig/network-scripts/ifcfg-<interface_name> ファイル内のプロファイルは ifcfg 形式を使用します。

2. 形式に応じて、対応するファイルを更新します。

   • ファイルがキーファイル形式を使用している場合は、/etc/NetworkManager/system-connections/<connection_name>.nmconnection ファイルの [connection] セクションに zone=<name> を追加します。

     [connection]
     ...
     zone=internal

   • ファイルが ifcfg 形式を使用している場合は、/etc/sysconfig/network-scripts/ifcfg-<interface_name> ファイルに ZONE=<name> を追加します。

     ZONE=internal

3. 接続プロファイルを再読み込みします。

   # nmcli connection reload

4. 接続プロファイルを再度アクティベートします。

   # nmcli connection up <profile_name>

手順

1. 新しいゾーンを作成します。

   # firewall-cmd --permanent --new-zone=zone-name

2. 新しいゾーンを使用可能にします。

   # firewall-cmd --reload

   このコマンドは、すでに実行中のネットワークサービスを中断することなく、最近の変更をファイアウォール設定に適用します。

1. 特定ゾーンに対する情報をリスト表示して、デフォルトゾーンを確認します。

   # firewall-cmd --zone=zone-name --list-all

2. ゾーンに新しいターゲットを設定します。

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

手順

1. firewalld のサービスがまだ許可されていないことを確認します。

   # firewall-cmd --list-services
   ssh dhcpv6-client

   このコマンドは、デフォルトゾーンで有効になっているサービスをリスト表示します。

2. firewalld のすべての事前定義サービスをリスト表示します。

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...

   このコマンドは、デフォルトゾーンで利用可能なサービスのリストを表示します。

3. firewalld が許可するサービスのリストにサービスを追加します。

   # firewall-cmd --add-service=<service_name>

   このコマンドは、指定したサービスをデフォルトゾーンに追加します。

4. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

   このコマンドは、これらのランタイムの変更をファイアウォールの永続的な設定に適用します。デフォルトでは、これらの変更はデフォルトゾーンの設定に適用されます。

検証

1. すべての永続的なファイアウォールのルールをリスト表示します。

   # firewall-cmd --list-all --permanent
   public
     target: default
     icmp-block-inversion: no
     interfaces:
     sources:
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     forward: no
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:

   このコマンドは、デフォルトのファイアウォールゾーン (public) の永続的なファイアウォールのルールを含む完全な設定を表示します。

2. firewalld サービスの永続的な設定の有効性を確認します。

   # firewall-cmd --check-config
   success

   永続的な設定が無効な場合、コマンドは詳細を含むエラーを返します。

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

   永続的な設定ファイルを手動で検査して設定を確認することもできます。メインの設定ファイルは /etc/firewalld/firewalld.conf です。ゾーン固有の設定ファイルは /etc/firewalld/zones/ ディレクトリーにあり、ポリシーは /etc/firewalld/policies/ ディレクトリーにあります。

手順

1. 事前定義したサービスまたはカスタマイズしたサービスを有効または無効にするには、以下を行います。

   1. firewall-config ユーティリティーを起動して、サービスを設定するネットワークゾーンを選択します。
   2. Zones タブを選択してから、下の Services タブを選択します。
   3. 信頼するサービスのタイプごとにチェックボックスをオンにするか、チェックボックスをオフにして、選択したゾーンのサービスをブロックします。

2. サービスを編集するには、以下を行います。

   1. firewall-config ユーティリティーを起動します。
   2. Configuration メニューから Permanent を選択します。Services ウィンドウの下部に、その他のアイコンおよびメニューボタンが表示されます。
   3. 設定するサービスを選択します。

手順

1. 現在アクティブなファイアウォールゾーンを確認します。

   # firewall-cmd --get-active-zones

2. HTTPS サービスを適切なゾーンに追加します。

   # firewall-cmd --zone=<zone_name> --add-service=https --permanent

3. ファイアウォール設定を再読み込みします。

   # firewall-cmd --reload

検証

1. firewalld でポートが開いているかどうかを確認します。

   • ポート番号を指定してポートを開いた場合は、次のように入力します。

     # firewall-cmd --zone=<zone_name> --list-all

   • サービス定義を指定してポートを開いた場合は、次のように入力します。

     # firewall-cmd --zone=<zone_name> --list-services

手順

1. 許可されているポートのリストを表示します。

   # firewall-cmd --list-ports

   デフォルトでは、このコマンドはデフォルトゾーンで有効になっているポートをリスト表示します。

   注記

   このコマンドでは、ポートとして開かれているポートのみが表示されます。サービスとして開かれているポートは表示されません。その場合は、--list-ports の代わりに --list-all オプションの使用を検討してください。

2. 許可されているポートのリストからポートを削除し、着信トラフィックに対して閉じます。

   # firewall-cmd --remove-port=port-number/port-type

   このコマンドは、ゾーンからポートを削除します。ゾーンを指定しない場合は、デフォルトゾーンからポートが削除されます。

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

   ゾーンを指定しない場合、このコマンドは、ランタイムの変更をデフォルトゾーンの永続的な設定に適用します。

検証

1. アクティブなゾーンをリスト表示し、検査するゾーンを選択します。

   # firewall-cmd --get-active-zones

2. 選択したゾーンで現在開いているポートをリスト表示し、不使用または不要なポートが閉じているかどうかを確認します。

   # firewall-cmd --zone=<zone_to_inspect> --list-ports

手順

1. ネットワークトラフィックを直ちに無効にするには、パニックモードをオンにします。

   # firewall-cmd --panic-on

2. パニックモードをオフにし、ファイアウォールを永続設定に戻します。パニックモードを無効にするには、次のコマンドを実行します。

   # firewall-cmd --panic-off

手順

1. firewall-config ツールを起動し、設定を変更するネットワークゾーンを選択します。
2. 右側で Protocols タブを選択し、Add ボタンをクリックします。Protocol ウィンドウが開きます。
3. リストからプロトコルを選択するか、Other Protocol チェックボックスを選択し、そのフィールドにプロトコルを入力します。

手順

1. 利用可能なすべてのゾーンをリストします。

   # firewall-cmd --get-zones

2. 永続化モードで、信頼ゾーンにソース IP を追加します。

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 必要なゾーンに対して許可されているソースのリストを表示します。

   # firewall-cmd --zone=zone-name --list-sources

2. ゾーンからソースを永続的に削除します。

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 利用可能なすべてのゾーンをリストします。

   # firewall-cmd --get-zones
   block dmz drop external home internal public trusted work

2. IP 範囲を internal ゾーンに追加し、ソースから発信されるトラフィックをゾーン経由でルーティングします。

   # firewall-cmd --zone=internal --add-source=192.0.2.0/24

3. http サービスを internal ゾーンに追加します。

   # firewall-cmd --zone=internal --add-service=http

4. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 新しいファイアウォールポリシーを作成します。

   # firewall-cmd --permanent --new-policy podmanToAny

2. Podman から他のゾーンへのすべてのトラフィックをブロックし、Podman で必要なサービスのみを許可します。

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

3. 新しい Podman ゾーンを作成します。

   # firewall-cmd --permanent --new-zone=podman

4. ポリシーのイングレスゾーンを定義します。

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

5. 他のすべてのゾーンのエグレスゾーンを定義します。

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   エグレスゾーンを ANY に設定すると、Podman と他のゾーンの間でフィルタリングすることになります。ホストに対してフィルタリングする場合は、エグレスゾーンを HOST に設定します。

6. firewalld サービスを再起動します。

   # systemctl restart firewalld

手順

1. ファイアウォールポリシーを作成します。

   # firewall-cmd --permanent --new-policy <example_policy>

   ポリシーは、ゾーンとは対照的に、入力、出力、および転送されるトラフィックのパケットフィルタリングを許可します。ローカルで実行されている Web サーバー、コンテナー、または仮想マシン上のエンドポイントにトラフィックを転送するには、このような機能が必要になるため、これは重要です。

2. イングレストラフィックとエグレストラフィックのシンボリックゾーンを設定して、ルーター自体がローカル IP アドレスに接続し、このトラフィックを転送できるようにします。

   # firewall-cmd --permanent --policy=<example_policy> --add-ingress-zone=HOST
   # firewall-cmd --permanent --policy=<example_policy> --add-egress-zone=ANY

   --add-ingress-zone=HOST オプションは、ローカルで生成され、ローカルホストから送信されるパケットを参照します。--add-egress-zone=ANY オプションは、任意のゾーンに向かうトラフィックを参照します。

3. トラフィックを Web サーバーに転送するリッチルールを追加します。

   # firewall-cmd --permanent --policy=<example_policy> --add-rich-rule='rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"'

   リッチルールは、ルーターの IP アドレス (192.0.2.1) のポート 443 から Web サーバーの IP アドレス (192.51.100.20) のポート 443 に TCP トラフィックを転送します。

4. ファイアウォール設定ファイルをリロードします。

   # firewall-cmd --reload
   success

5. カーネルで 127.0.0.0/8 のルーティングを有効にします。

   • 変更を永続化するには、次を実行します。

     # echo "net.ipv4.conf.all.route_localnet=1" > /etc/sysctl.d/90-enable-route-localnet.conf

     このコマンドは、route_localnet カーネルパラメーターを永続的に設定し、システムの再起動後も設定が確実に保持されるようにします。

   • システムを再起動することなく直ちに設定を適用するには、次のコマンドを実行します。

     # sysctl -p /etc/sysctl.d/90-enable-route-localnet.conf

     sysctl コマンドは、オンザフライで変更を適用するのに便利ですが、システムを再起動すると設定は元に戻ります。

検証

1. Web サーバーに転送したルーターの IP アドレスおよびポートに接続します。

   # curl https://192.0.2.1:443

2. オプション: net.ipv4.conf.all.route_localnet カーネルパラメーターがアクティブであることを確認します。

   # sysctl net.ipv4.conf.all.route_localnet
   net.ipv4.conf.all.route_localnet = 1

3. <example_policy> がアクティブであり、必要な設定 (特にソース IP アドレスとポート、使用するプロトコル、宛先 IP アドレスとポート) が含まれていることを確認します。

   # firewall-cmd --info-policy=<example_policy>
   example_policy (active)
     priority: -1
     target: CONTINUE
     ingress-zones: HOST
     egress-zones: ANY
     services:
     ports:
     protocols:
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:
   	rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"

手順

1. external ゾーンなどで IP マスカレーディングが有効かどうかを確認するには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --query-masquerade

   このコマンドでは、有効な場合は yes と出力され、終了ステータスは 0 になります。無効の場合は no と出力され、終了ステータスは 1 になります。zone を省略すると、デフォルトのゾーンが使用されます。

2. IP マスカレードを有効にするには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --add-masquerade

3. この設定を永続化するには、--permanent オプションをコマンドに渡します。

4. IP マスカレードを無効にするには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --remove-masquerade

   この設定を永続化するには、--permanent をコマンドラインに渡します。

手順

1. 次の内容を含む /etc/sysctl.d/90-enable-IP-forwarding.conf ファイルを作成します。

   net.ipv4.ip_forward=1

   この設定によって、カーネルでの IP 転送が有効になります。これにより、内部 RHEL サーバーがルーターとして機能し、ネットワークからネットワークへパケットを転送するようになります。

2. /etc/sysctl.d/90-enable-IP-forwarding.conf ファイルから設定をロードします。

   # sysctl -p /etc/sysctl.d/90-enable-IP-forwarding.conf

3. 着信 HTTP トラフィックを転送します。

   # firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toaddr=198.51.100.10:toport=8080 --permanent

   上記のコマンドは、次の設定で DNAT ルールを定義します。

   • --zone=public - DNAT ルールを設定するファイアウォールゾーン。必要なゾーンに合わせて調整できます。
   • --add-forward-port - ポート転送ルールを追加することを示すオプション。
   • port=80 - 外部宛先ポート。
   • proto=tcp - TCP トラフィックを転送することを示すプロトコル。
   • toaddr=198.51.100.10 - 宛先 IP アドレス。
   • toport=8080 - 内部サーバーの宛先ポート。
   • --permanent - 再起動後も DNAT ルールを永続化するオプション。

4. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

手順

1. 次の内容を含む /etc/sysctl.d/90-enable-IP-forwarding.conf ファイルを作成します。

   net.ipv4.ip_forward=1

   この設定によって、カーネルでの IP 転送が有効になります。

2. /etc/sysctl.d/90-enable-IP-forwarding.conf ファイルから設定をロードします。

   # sysctl -p /etc/sysctl.d/90-enable-IP-forwarding.conf

3. NAT リダイレクトルールを作成します。

   # firewall-cmd --zone=public --add-forward-port=port=<standard_port>:proto=tcp:toport=<non_standard_port> --permanent

   上記のコマンドは、次の設定で NAT リダイレクトルールを定義します。

   • --zone=public - ルールを設定するファイアウォールゾーン。必要なゾーンに合わせて調整できます。
   • --add-forward-port=port=<non_standard_port> - 着信トラフィックを最初に受信するソースポートを使用したポート転送 (リダイレクト) ルールを追加することを示すオプション。
   • proto=tcp - TCP トラフィックをリダイレクトすることを示すプロトコル。
   • toport=<standard_port> - 着信トラフィックがソースポートで受信された後にリダイレクトされる宛先ポート。
   • --permanent - 再起動後もルールを永続化するオプション。

4. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

手順

1. 利用可能な ICMP のタイプとコードをリスト表示します。

   # firewall-cmd --get-icmptypes
   address-unreachable bad-header beyond-scope communication-prohibited destination-unreachable echo-reply echo-request failed-policy fragmentation-needed host-precedence-violation host-prohibited host-redirect host-unknown host-unreachable
   ...

   この事前定義されたリストから、許可またはブロックする ICMP のタイプとコードを選択します。

2. 特定の ICMP タイプを次の方法でフィルタリングします。

   • 許可する ICMP タイプ:

     # firewall-cmd --zone=<target-zone> --remove-icmp-block=echo-request --permanent

     このコマンドは、エコーリクエスト ICMP タイプに対する既存のブロックルールを削除します。

   • ブロックする ICMP タイプ:

     # firewall-cmd --zone=<target-zone> --add-icmp-block=redirect --permanent

     このコマンドは、リダイレクトメッセージ ICMP タイプがファイアウォールによって確実にブロックされるようにします。

3. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

手順

1. 分かりやすい名前で IP セットを作成します。

   # firewall-cmd --permanent --new-ipset=allowlist --type=hash:ip

   この allowlist という新しい IP セットには、ファイアウォールで許可する IP アドレスが含まれています。

2. IP セットに動的更新を追加します。

   # firewall-cmd --permanent --ipset=allowlist --add-entry=198.51.100.10

   この設定により、新しく追加した、ネットワークトラフィックを渡すことがファイアウォールにより許可される IP アドレスで、allowlist の IP セットが更新されます。

3. 先に作成した IP セットを参照するファイアウォールのルールを作成します。

   # firewall-cmd --permanent --zone=public --add-source=ipset:allowlist

   このルールがない場合、IP セットはネットワークトラフィックに影響を与えません。デフォルトのファイアウォールポリシーが優先されます。

4. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

検証

1. すべての IP セットをリスト表示します。

   # firewall-cmd --get-ipsets
   allowlist

2. アクティブなルールをリスト表示します。

   # firewall-cmd --list-all
   public (active)
     target: default
     icmp-block-inversion: no
     interfaces: enp0s1
     sources: ipset:allowlist
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     ...

   コマンドライン出力の sources セクションでは、どのトラフィックの発信元 (ホスト名、インターフェイス、IP セット、サブネットなど) が、特定のファイアウォールゾーンへのアクセスを許可または拒否されているかについての洞察が得られます。上記の場合、allowlist IP セットに含まれる IP アドレスが、public ゾーンのファイアウォールを通してトラフィックを渡すことが許可されています。

3. IP セットの内容を調べます。

   # cat /etc/firewalld/ipsets/allowlist.xml
   <?xml version="1.0" encoding="utf-8"?>
   <ipset type="hash:ip">
     <entry>198.51.100.10</entry>
   </ipset>

手順

1. ロックダウンが有効かどうかをクエリーするには、以下を実行します。

   # firewall-cmd --query-lockdown

2. 次のいずれかの方法でロックダウン設定を管理します。

   • ロックダウンを有効にする場合:

     # firewall-cmd --lockdown-on

   • ロックダウンを無効にする場合:

     # firewall-cmd --lockdown-off

手順

1. カーネルでパケット転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

2. ゾーン内転送を有効にするインターフェイスが internal ゾーンにのみ割り当てられていることを確認します。

   # firewall-cmd --get-active-zones

3. 現在、インターフェイスが internal 以外のゾーンに割り当てられている場合は、以下のように再割り当てします。

   # firewall-cmd --zone=internal --change-interface=interface_name --permanent

4. enp1s0 および wlp0s20 インターフェイスを internal ゾーンに追加します。

   # firewall-cmd --zone=internal --add-interface=enp1s0 --add-interface=wlp0s20

5. ゾーン内転送を有効にします。

   # firewall-cmd --zone=internal --add-forward

1. ゾーン転送を有効にしたホストの enp1s0 インターフェイスと同じネットワーク上にあるホストにログインします。

2. ncat で echo サービスを起動し、接続をテストします。

   # ncat -e /usr/bin/cat -l 12345

3. wlp0s20 インターフェイスと同じネットワークにあるホストにログインします。

4. enp1s0 と同じネットワークにあるホスト上で実行している echo サーバーに接続します。

   # ncat <other_host> 12345

5. 何かを入力して Enter を押します。テキストが返送されることを確認します。

手順

1. ~/reset-firewalld.yml などの Playbook ファイルを次の内容で作成します。

   ---
   - name: Reset firewalld example
     hosts: managed-node-01.example.com
     tasks:
     - name: Reset firewalld
       include_role:
         name: rhel-system-roles.firewall
   
       vars:
         firewall:
           - previous: replaced

2. Playbook の構文を検証します。

   # ansible-playbook ~/configure-ethernet-device-with-ethtoolcoalesce-settings.yml --syntax-check

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   # ansible-playbook ~/reset-firewalld.yml

手順

1. ~/port_forwarding.yml などの Playbook ファイルを次の内容で作成します。

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
     - name: Forward incoming traffic on port 8080 to 443
       include_role:
         name: rhel-system-roles.firewall
   
       vars:
         firewall:
           - { forward_port: 8080/tcp;443;, state: enabled, runtime: true, permanent: true }

2. Playbook の構文を検証します。

   # ansible-playbook ~/port_forwarding.yml --syntax-check

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   # ansible-playbook ~/port_forwarding.yml

手順

1. ~/opening-a-port.yml などの Playbook ファイルを次の内容で作成します。

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
     - name: Allow incoming HTTPS traffic to the local host
       include_role:
         name: rhel-system-roles.firewall
   
       vars:
         firewall:
           - port: 443/tcp
             service: http
             state: enabled
             runtime: true
             permanent: true

   permanent: true オプションを使用すると、再起動後も新しい設定が維持されます。

2. Playbook の構文を検証します。

   # ansible-playbook ~/opening-a-port.yml --syntax-check

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   # ansible-playbook ~/opening-a-port.yml

手順

1. ~/configuring-a-dmz.yml などの Playbook ファイルを次の内容で作成します。

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
     - name: Creating a DMZ with access to HTTPS port and masquerading for hosts in DMZ
       include_role:
         name: rhel-system-roles.firewall
   
       vars:
         firewall:
           - zone: dmz
             interface: enp1s0
             service: https
             state: enabled
             runtime: true
             permanent: true

2. Playbook の構文を検証します。

   # ansible-playbook ~/configuring-a-dmz.yml --syntax-check

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   # ansible-playbook ~/configuring-a-dmz.yml

手順

1. iptables ルールおよび ip6tables ルールをファイルに書き込みます。

   # iptables-save >/root/iptables.dump
   # ip6tables-save >/root/ip6tables.dump

2. ダンプファイルを nftables 命令に変換します。

   # iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft
   # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft

3. 必要に応じて、生成された nftables ルールを手動で更新して、確認します。

4. nftables サービスが生成されたファイルをロードできるようにするには、以下を /etc/sysconfig/nftables.conf ファイルに追加します。

   include "/etc/nftables/ruleset-migrated-from-iptables.nft"
   include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"

5. iptables サービスを停止し、無効にします。

   # systemctl disable --now iptables

   カスタムスクリプトを使用して iptables ルールを読み込んだ場合は、スクリプトが自動的に開始されなくなったことを確認し、再起動してすべてのテーブルをフラッシュします。

6. nftables サービスを有効にして起動します。

   # systemctl enable --now nftables

手順

1. /etc/sysconfig/nftables.conf ファイルを編集します。

   • nftables パッケージのインストールで /etc/nftables/ に作成された *.nft スクリプトを変更した場合は、これらのスクリプトの include ステートメントのコメントを解除します。

   • 新しいスクリプトを作成した場合は、include ステートメントを追加してこれらのスクリプトを含めます。たとえば、nftables サービスの起動時に /etc/nftables/example.nft スクリプトを読み込むには、以下を追加します。

     include "/etc/nftables/_example_.nft"

2. オプション: nftables サービスを開始して、システムを再起動せずにファイアウォールルールを読み込みます。

   # systemctl start nftables

3. nftables サービスを有効にします。

   # systemctl enable nftables

手順

1. テーブルが IPv4 パケットと IPv6 パケットの両方を処理できるように、inet アドレスファミリーを使用して nftables_svc という名前のテーブルを作成します。

   # nft add table inet nftables_svc

2. 受信ネットワークトラフィックを処理する INPUT という名前のベースチェーンを inet nftables_svc テーブルに追加します。

   # nft add chain inet nftables_svc INPUT { type filter hook input priority filter \; policy accept \; }

   シェルがセミコロンをコマンドの最後として解釈しないようにするには、\ 文字を使用してセミコロンをエスケープします。

3. INPUT チェーンにルールを追加します。たとえば、INPUT チェーンの最後のルールとして、ポート 22 および 443 で着信 TCP トラフィックを許可し、Internet Control Message Protocol (ICMP)ポートに到達できないメッセージで他の着信トラフィックを拒否します。

   # nft add rule inet nftables_svc INPUT tcp dport 22 accept
   # nft add rule inet nftables_svc INPUT tcp dport 443 accept
   # nft add rule inet nftables_svc INPUT reject with icmpx type port-unreachable

   ここで示されたように nft add rule コマンドを実行すると、nft はコマンド実行と同じ順序でルールをチェーンに追加します。

4. ハンドルを含む現在のルールセットを表示します。

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

5. ハンドル 3 で既存ルールの前にルールを挿入します。たとえば、ポート 636 で TCP トラフィックを許可するルールを挿入するには、以下を入力します。

   # nft insert rule inet nftables_svc INPUT position 3 tcp dport 636 accept

6. ハンドル 3 で、既存ルールの後ろにルールを追加します。たとえば、ポート 80 で TCP トラフィックを許可するルールを追加するには、以下を入力します。

   # nft add rule inet nftables_svc INPUT position 3 tcp dport 80 accept

7. ハンドルでルールセットを再表示します。後で追加したルールが指定の位置に追加されていることを確認します。

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       reject # handle 4
     }
   }

8. ハンドル 6 でルールを削除します。

   # nft delete rule inet nftables_svc INPUT handle 6

   ルールを削除するには、ハンドルを指定する必要があります。

9. ルールセットを表示し、削除されたルールがもう存在しないことを確認します。

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

10. INPUT チェーンから残りのルールをすべて削除します。

    # nft flush chain inet nftables_svc INPUT

11. ルールセットを表示し、INPUT チェーンが空であることを確認します。

    # nft list table inet nftables_svc
    table inet nftables_svc {
      chain INPUT {
        type filter hook input priority filter; policy accept
      }
    }

12. INPUT チェーンを削除します。

    # nft delete chain inet nftables_svc INPUT

    このコマンドを使用して、まだルールが含まれているチェーンを削除することもできます。

13. ルールセットを表示し、INPUT チェーンが削除されたことを確認します。

    # nft list table inet nftables_svc
    table inet nftables_svc {
    }

14. nftables_svc テーブルを削除します。

    # nft delete table inet nftables_svc

    このコマンドを使用して、まだルールが含まれているテーブルを削除することもできます。

    注記

    ルールセット全体を削除するには、個別のコマンドですべてのルール、チェーン、およびテーブルを手動で削除するのではなく、nft flush ruleset コマンドを使用します。

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   prerouting チェーンにルールを追加しなくても、nftables フレームワークでは、着信パケット返信に一致するようにこのチェーンが必要になります。

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. postrouting チェーンに、ens3 インターフェイスの出力パケットに一致するルールを追加します。

   # nft add rule nat postrouting oifname "ens3" masquerade

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   postrouting チェーンにルールを追加しなくても、nftables フレームワークでは、このチェーンが発信パケット返信に一致するようにする必要があります。

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. ens3 を介した発信パケットのソース IP を 192.0.2.1 に置き換えるルールを postrouting チェーンに追加します。

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   postrouting チェーンにルールを追加しなくても、nftables フレームワークでは、このチェーンが発信パケット返信に一致するようにする必要があります。

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. prerouting チェーンに、ルーターの ens3 インターフェイスのポート 80 および 443 への受信トラフィックを、IP アドレス 192.0.2.1 の Web サーバーにリダイレクトするルールを追加します。

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 環境に応じて、SNAT ルールまたはマスカレードルールを追加して、Web サーバーから返されるパケットのソースアドレスを送信者に変更します。

   1. ens3 インターフェイスが動的 IP アドレスを使用している場合は、マスカレードルールを追加します。

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. ens3 インターフェイスが静的 IP アドレスを使用する場合は、SNAT ルールを追加します。たとえば、ens3 が IP アドレス 198.51.100.1 を使用している場合は、以下のようになります。

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

5. パケット転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに prerouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. 22 ポートの着信トラフィックを 2222 ポートにリダイレクトするルールを prerouting チェーンに追加します。

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

手順

1. inet ファミリーの example-table テーブルを追加します。

   # nft add table inet <example-table>

2. 優先度タイプとして ingress フックと filter を含む example-flowtable フローテーブルを追加します。

   # nft add flowtable inet <example-table> <example-flowtable> { hook ingress priority filter \; devices = { enp1s0, enp7s0 } \; }

3. example-forwardchain フローをパケット処理テーブルからフローテーブルに追加します。

   # nft add chain inet <example-table> <example-forwardchain> { type filter hook forward priority filter \; }

   このコマンドは、forward フックと filter 優先度を備えた filter タイプのフローテーブルを追加します。

4. established 接続追跡状態を含むルールを追加して、example-flowtable フローをオフロードします。

   # nft add rule inet <example-table> <example-forwardchain> ct state established flow add @<example-flowtable>

手順

1. たとえば、ポート 22、80、および 443 に着信トラフィックを許可するルールを、example_table の example_chain に追加するには、次のコマンドを実行します。

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

2. オプション: example_table 内のすべてのチェーンとそのルールを表示します。

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

手順

1. 空のファイルを作成します。以下の例では、IPv4 アドレスのセットを作成します。

   • 複数の IPv4 アドレスを格納することができるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • IPv4 アドレス範囲を保存できるセットを作成するには、次のコマンドを実行します。

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   重要

   シェルがセミコロンをコマンドの終わりとして解釈しないようにするには、バックスラッシュでセミコロンをエスケープする必要があります。

2. オプション: セットを使用するルールを作成します。たとえば、次のコマンドは、example_set の IPv4 アドレスからのパケットをすべて破棄するルールを、example_table の example_chain に追加します。

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   example_set が空のままなので、ルールには現在影響がありません。

3. IPv4 アドレスを example_set に追加します。

   • 個々の IPv4 アドレスを保存するセットを作成する場合は、次のコマンドを実行します。

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   • IPv4 範囲を保存するセットを作成する場合は、次のコマンドを実行します。

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     IP アドレス範囲を指定する場合は、上記の例の 192.0.2.0/24 のように、CIDR (Classless Inter-Domain Routing) 表記を使用することもできます。

手順

1. 新しいテーブルを作成します。

   # nft add table inet example_table

2. example_table に tcp_packets チェーンを作成します。

   # nft add chain inet example_table tcp_packets

3. このチェーンのトラフィックをカウントする tcp_packets にルールを追加します。

   # nft add rule inet example_table tcp_packets counter

4. example_table で udp_packets チェーンを作成します。

   # nft add chain inet example_table udp_packets

5. このチェーンのトラフィックをカウントする udp_packets にルールを追加します。

   # nft add rule inet example_table udp_packets counter

6. 着信トラフィックのチェーンを作成します。たとえば、example_table に、着信トラフィックをフィルタリングする incoming_traffic という名前のチェーンを作成するには、次のコマンドを実行します。

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. 匿名マップを持つルールを incoming_traffic に追加します。

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   匿名マップはパケットを区別し、プロトコルに基づいて別のカウンターチェーンに送信します。

8. トラフィックカウンターの一覧を表示する場合は、example_table を表示します。

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }

   tcp_packets チェーンおよび udp_packets チェーンのカウンターは、受信パケットとバイトの両方を表示します。

手順

1. テーブルを作成します。たとえば、IPv4 パケットを処理する example_table という名前のテーブルを作成するには、次のコマンドを実行します。

   # nft add table ip example_table

2. チェーンを作成します。たとえば、example_table に、example_chain という名前のチェーンを作成するには、次のコマンドを実行します。

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   重要

   シェルがセミコロンをコマンドの終わりとして解釈しないようにするには、バックスラッシュでセミコロンをエスケープする必要があります。

3. 空のマップを作成します。たとえば、IPv4 アドレスのマッピングを作成するには、次のコマンドを実行します。

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. マップを使用するルールを作成します。たとえば、次のコマンドは、両方とも example_map で定義されている IPv4 アドレスにアクションを適用するルールを、 example_table の example_chain に追加します。

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. IPv4 アドレスと対応するアクションを example_map に追加します。

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   以下の例では、IPv4 アドレスのアクションへのマッピングを定義します。上記で作成したルールと組み合わせて、ファイアウォールは 192.0.2.1 からのパケットを許可し、192.0.2.2 からのパケットを破棄します。

6. オプション: 別の IP アドレスおよび action ステートメントを追加してマップを拡張します。

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. オプション: マップからエントリーを削除します。

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. オプション: ルールセットを表示します。

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }

手順

1. 以下の内容で /etc/rsyslog.d/nftables.conf ファイルを作成します。

   :msg, startswith, "nft drop" -/var/log/nftables.log
   & stop

   この設定を使用すると、rsyslog サービスはドロップされたパケットを /var/log/messages ではなく /var/log/nftables.log ファイルに記録します。

2. rsyslog サービスを再起動します。

   # systemctl restart rsyslog

3. サイズが 10 MB を超える場合は、以下の内容で /etc/logrotate.d/nftables ファイルを作成し、/var/log/nftables.log をローテーションします。

   /var/log/nftables.log {
     size +10M
     maxage 30
     sharedscripts
     postrotate
       /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
     endscript
   }

   maxage 30 設定は、次のローテーション操作中に logrotate が 30 日経過したローテーション済みログを削除することを定義します。

手順

1. 以下の内容で /etc/nftables/firewall.nft スクリプトを作成します。

   # Remove all rules
   flush ruleset
   
   
   # Table for both IPv4 and IPv6 rules
   table inet nftables_svc {
   
     # Define variables for the interface name
     define INET_DEV = enp1s0
     define LAN_DEV  = enp7s0
     define DMZ_DEV  = enp8s0
   
   
     # Set with the IPv4 addresses of admin PCs
     set admin_pc_ipv4 {
       type ipv4_addr
       elements = { 10.0.0.100, 10.0.0.200 }
     }
   
   
     # Chain for incoming trafic. Default policy: drop
     chain INPUT {
       type filter hook input priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept incoming traffic on loopback interface
       iifname lo accept
   
       # Allow request from LAN and DMZ to local DNS server
       iifname { $LAN_DEV, $DMZ_DEV } meta l4proto { tcp, udp } th dport 53 accept
   
       # Allow admins PCs to access the router using SSH
       iifname $LAN_DEV ip saddr @admin_pc_ipv4 tcp dport 22 accept
   
       # Last action: Log blocked packets
       # (packets that were not accepted in previous rules in this chain)
       log prefix "nft drop IN : "
     }
   
   
     # Chain for outgoing traffic. Default policy: drop
     chain OUTPUT {
       type filter hook output priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept outgoing traffic on loopback interface
       oifname lo accept
   
       # Allow local DNS server to recursively resolve queries
       oifname $INET_DEV meta l4proto { tcp, udp } th dport 53 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop OUT: "
     }
   
   
     # Chain for forwarding traffic. Default policy: drop
     chain FORWARD {
       type filter hook forward priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # IPv4 access from LAN and internet to the HTTPS server in the DMZ
       iifname { $LAN_DEV, $INET_DEV } oifname $DMZ_DEV ip daddr 198.51.100.5 tcp dport 443 accept
   
       # IPv6 access from internet to the HTTPS server in the DMZ
       iifname $INET_DEV oifname $DMZ_DEV ip6 daddr 2001:db8:b::5 tcp dport 443 accept
   
       # Access from LAN and DMZ to HTTPS servers on the internet
       iifname { $LAN_DEV, $DMZ_DEV } oifname $INET_DEV tcp dport 443 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop FWD: "
     }
   
   
     # Postrouting chain to handle SNAT
     chain postrouting {
       type nat hook postrouting priority srcnat; policy accept;
   
       # SNAT for IPv4 traffic from LAN to internet
       iifname $LAN_DEV oifname $INET_DEV snat ip to 203.0.113.1
     }
   }

2. /etc/nftables/firewall.nft スクリプトを /etc/sysconfig/nftables.conf ファイルに追加します。

   include "/etc/nftables/firewall.nft"

3. IPv4 転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

4. nftables サービスを有効にして起動します。

   # systemctl enable --now nftables

検証

1. オプション: nftables ルールセットを確認します。

   # nft list ruleset
   ...

2. ファイアウォールが阻止するアクセスの実行を試みます。たとえば、DMZ から SSH を使用してルーターにアクセスします。

   # ssh router.example.com
   ssh: connect to host router.example.com port 22: Network is unreachable

3. ロギング設定に応じて、以下を検索します。

   • ブロックされたパケットの systemd ジャーナル:

     # journalctl -k -g "nft drop"
     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

   • ブロックされたパケットの /var/log/nftables.log ファイル:

     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

手順

1. ip アドレスファミリーを使用して、nat という名前のテーブルを作成します。

   # nft add table ip nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }

   注記

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにします。

3. 8022 ポートの着信パケットを、ローカルポート 22 にリダイレクトするルールを prerouting チェーンに追加します。

   # nft add rule ip nat prerouting tcp dport 8022 redirect to :22

手順

1. ip アドレスファミリーを使用して、nat という名前のテーブルを作成します。

   # nft add table ip nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }

   注記

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにします。

3. 443 ポートの着信パケットを 192.0.2.1 上の同じポートにリダイレクトするルールを prerouting チェーンに追加します。

   # nft add rule ip nat prerouting tcp dport 443 dnat to 192.0.2.1

4. 出力トラフィックをマスカレードするルールを postrouting チェーンに追加します。

   # nft add rule ip nat postrouting daddr 192.0.2.1 masquerade

5. パケット転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

手順

1. IPv4 アドレスの動的セットを作成します。

   # nft add set inet example_table example_meter { type ipv4_addr\; flags dynamic \;}

2. IPv4 アドレスから SSH ポート (22) への 2 つの同時接続のみを許可し、同じ IP からのすべての接続を拒否するルールを追加します。

   # nft add rule ip example_table example_chain tcp dport ssh meter example_meter { ip saddr ct count over 2 } counter reject

3. オプション: 前の手順で作成したセットを表示します。

   # nft list set inet example_table example_meter
   table inet example_table {
     meter example_meter {
       type ipv4_addr
       size 65535
       elements = { 192.0.2.1 ct count over 2 , 192.0.2.2 ct count over 2  }
     }
   }

   elements エントリーは、現時点でルールに一致するアドレスを表示します。この例では、elements は、SSH ポートへのアクティブな接続がある IP アドレスを一覧表示します。出力には、アクティブな接続の数を表示しないため、接続が拒否された場合は表示されないことに注意してください。

手順

1. ip アドレスファミリーを使用して filter テーブルを作成します。

   # nft add table ip filter

2. input チェーンを filter テーブルに追加します。

   # nft add chain ip filter input { type filter hook input priority 0 \; }

3. denylist という名前のセットを filter テーブルに追加します。

   # nft add set ip filter denylist { type ipv4_addr \; flags dynamic, timeout \; timeout 5m \; }

   このコマンドは、IPv4 アドレスの動的セットを作成します。timeout 5m パラメーターは、nftables が、セットが古いエントリーで一杯にならないように、5 分後にエントリーを自動的に削除することを定義します。

4. 1 分以内に 11 個以上の新しい TCP 接続を確立しようとするホストのソース IP アドレスを denylist セットに自動的に追加するルールを追加します。

   # nft add rule ip filter input ip protocol tcp ct state new, untracked add @denylist { ip saddr limit rate over 10/minute } drop

手順

1. counter パラメーターで新しいルールをチェーンに追加します。以下の例では、ポート 22 で TCP トラフィックを許可し、このルールに一致するパケットとトラフィックをカウントするカウンターを使用するルールを追加します。

   # nft add rule inet example_table example_chain tcp dport 22 counter accept

2. カウンター値を表示するには、次のコマンドを実行します。

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

手順

1. チェーンのルール (ハンドルを含む) を表示します。

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. ルールの代わりに、counter パラメーターを使用してカウンターを追加します。以下の例は、前の手順で表示したルールの代わりに、カウンターを追加します。

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 counter accept

3. カウンター値を表示するには、次のコマンドを実行します。

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

手順

1. チェーンのルール (ハンドルを含む) を表示します。

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. ルールを置き換えてトレース機能を追加しますが、meta nftrace set 1 パラメーターを使用します。以下の例は、前の手順で表示したルールの代わりに、トレースを有効にします。

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 meta nftrace set 1 accept

3. nft monitor コマンドを使用して、トレースを表示します。以下の例は、コマンドの出力をフィルタリングして、inet example_table example_chain が含まれるエントリーのみを表示します。

   # nft monitor | grep "inet example_table example_chain"
   trace id 3c5eb15e inet example_table example_chain packet: iif "enp1s0" ether saddr 52:54:00:17:ff:e4 ether daddr 52:54:00:72:2f:6e ip saddr 192.0.2.1 ip daddr 192.0.2.2 ip dscp cs0 ip ecn not-ect ip ttl 64 ip id 49710 ip protocol tcp ip length 60 tcp sport 56728 tcp dport ssh tcp flags == syn tcp window 64240
   trace id 3c5eb15e inet example_table example_chain rule tcp dport ssh nftrace set 1 accept (verdict accept)
   ...

   警告

   nft monitor コマンドは、トレースが有効になっているルールの数と、一致するトラフィックの量に応じて、大量の出力を表示できます。grep などのユーティリティーを使用して出力をフィルタリングします。