手順

1. firewalld サービスの永続的な設定を確認します。

   # firewall-cmd --check-config
   success

   永続的な設定が有効になると、コマンドが success を返します。その他の場合は、以下のような詳細で、コマンドがエラーを返します。

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

手順

1. サービスの状況を表示するには、次のコマンドを実行します。

   # firewall-cmd --state

2. サービスの状況の詳細は、systemctl status サブコマンドを実行します。

   # systemctl status firewalld
   firewalld.service - firewalld - dynamic firewall daemon
      Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor pr
      Active: active (running) since Mon 2017-12-18 16:05:15 CET; 50min ago
        Docs: man:firewalld(1)
    Main PID: 705 (firewalld)
       Tasks: 2 (limit: 4915)
      CGroup: /system.slice/firewalld.service
              └─705 /usr/bin/python3 -Es /usr/sbin/firewalld --nofork --nopid

手順

1. ネットワークトラフィックを直ちに無効にするには、パニックモードをオンにします。

   # firewall-cmd --panic-on

   重要

   パニックモードを有効にすると、ネットワークトラフィックがすべて停止します。したがって、そのマシンへの物理アクセスがある場合、またはシリアルコンソールを使用してログインする場合に限り使用してください。

2. パニックモードをオフにし、ファイアウォールを永続設定に戻します。パニックモードを無効にするには、以下のコマンドを実行します。

   # firewall-cmd --panic-off

手順

1. サービスが許可されていないことを確認します。

   # firewall-cmd --list-services
   ssh dhcpv6-client

2. 事前定義したサービスの一覧を表示します。

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...
   [trimmed for clarity]

3. サービスを、許可されたサービスに追加します。

   # firewall-cmd --add-service=<service-name>

4. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 事前定義したサービスまたはカスタマイズしたサービスを有効または無効にするには、以下を行います。

   1. firewall-config ツールを起動して、サービスを設定するネットワークゾーンを選択します。
   2. Zones タブを選択してから、下の Services タブを選択します。
   3. 信頼するサービスのタイプごとにチェックボックスをオンにするか、チェックボックスをオフにして、選択したゾーンのサービスをブロックします。

2. サービスを編集するには、以下を行います。

   1. firewall-config ツールを起動します。
   2. Configuration メニューから Permanent を選択します。Services ウィンドウの下部に、その他のアイコンおよびメニューボタンが表示されます。
   3. 設定するサービスを選択します。

1. 新しい、空のサービスを追加するには、次のコマンドを実行します。

   $ firewall-cmd --new-service=service-name --permanent

2. ローカルファイルを使用して新規サービスを追加するには、次のコマンドを使用します。

   $ firewall-cmd --new-service-from-file=service-name.xml --permanent

   追加オプション --name=service-name を指定して、サービス名を変更できます。

3. サービス設定を変更すると、直ちにサービスの更新コピーが /etc/firewalld/services/ に作成できます。

   root で次のコマンドを実行して、サービスを手動でコピーします。

   # cp /usr/lib/firewalld/services/service-name.xml /etc/firewalld/services/service-name.xml

手順

1. firewall-config ツールを起動して、設定を変更するネットワークゾーンを選択します。
2. 右側の Ports タブを選択し、Add ボタンをクリックします。Port and Protocol ウィンドウが開きます。
3. 許可するポート番号またはポートの範囲を入力します。
4. リストから tcp または udp を選択します。

手順

1. firewall-config ツールを起動して、設定を変更するネットワークゾーンを選択します。
2. 右側で Protocols タブを選択し、Add ボタンをクリックします。Protocol ウィンドウが開きます。
3. リストからプロトコルを選択するか、Other Protocol チェックボックスを選択し、そのフィールドにプロトコルを入力します。

手順

1. firewall-config ツールを起動し、設定を変更するネットワークゾーンを選択します。
2. 右側の Source Port タブを選択し、Add ボタンをクリックします。Source Port ウィンドウが開きます。
3. 許可するポート番号またはポートの範囲を入力します。リストから tcp または udp を選択します。

1. 許可されているポートの一覧を表示します。

   # firewall-cmd --list-ports

2. 許可されているポートにポートを追加して、着信トラフィックに対してそのポートを開きます。

   # firewall-cmd --add-port=port-number/port-type

   ポートタイプは、tcp、udp、sctp、または dccp になります。このタイプは、ネットワーク接続の種類と一致させる必要があります。

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

   ポートタイプは、tcp、udp、sctp、または dccp になります。このタイプは、ネットワーク接続の種類と一致させる必要があります。

1. 許可されているポートの一覧を表示します。

   # firewall-cmd --list-ports

   警告

   このコマンドにより、ポートとして開かれているポートのみが表示されます。サービスとして開いているポートは表示されません。したがって、--list-ports ではなく --list-all オプションの使用を検討してください。

2. 「許可されているポート」からポートを削除し、着信トラフィックに対して閉じます。

   # firewall-cmd --remove-port=port-number/port-type

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. システムで利用可能なゾーンを確認するには、次のコマンドを実行します。

   # firewall-cmd --get-zones

   firewall-cmd --get-zones コマンドは、システムで利用可能な全てのゾーンを表示し、特定ゾーンの詳細は表示しません。

2. すべてのゾーンで詳細情報を表示する場合は、次のコマンドを実行します。

   # firewall-cmd --list-all-zones

3. 特定ゾーンに関する詳細情報を表示する場合は、次のコマンドを実行します。

   # firewall-cmd --zone=zone-name --list-all

1. 現在のデフォルトゾーンを表示します。

   # firewall-cmd --get-default-zone

2. 新しいデフォルトゾーンを設定します。

   # firewall-cmd --set-default-zone zone-name

   注記

   この手順では、--permanent オプションを使用しなくても、設定は永続化します。

1. アクティブゾーン、およびそのゾーンに割り当てられているインターフェースを一覧表示します。

   # firewall-cmd --get-active-zones

2. 別のゾーンにインターフェースを割り当てます。

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

手順

1. ゾーンを NetworkManager 接続プロファイルに割り当てます。

   # nmcli connection modify profile connection.zone zone_name

2. 接続をアクティベートします。

   # nmcli connection up profile

手順

1. 新しいゾーンを作成します。

   # firewall-cmd --permanent --new-zone=zone-name

2. 作成したゾーンが永続設定に追加されたかどうかを確認します。

   # firewall-cmd --get-zones

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

1. 特定ゾーンに対する情報を一覧表示して、デフォルトゾーンを確認します。

   # firewall-cmd --zone=zone-name --list-all

2. ゾーンに新しいターゲットを設定します。

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

手順

1. すべての利用可能なゾーンを一覧表示します。

   # firewall-cmd --get-zones

2. 永続化モードで、信頼ゾーンにソース IP を追加します。

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 必要なゾーンに対して許可されているソースの一覧を表示します。

   # firewall-cmd --zone=zone-name --list-sources

2. ゾーンからソースを永続的に削除します。

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. すべての利用可能なゾーンを一覧表示します。

   # firewall-cmd --get-zones
   block dmz drop external home internal public trusted work

2. IP 範囲を internal ゾーンに追加し、ソースから発信されるトラフィックをゾーン経由でルーティングします。

   # firewall-cmd --zone=internal --add-source=192.0.2.0/24

3. http サービスを internal ゾーンに追加します。

   # firewall-cmd --zone=internal --add-service=http

4. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 新しいポリシーを作成します。

   # firewall-cmd --permanent --new-policy podmanToHost

2. すべてのトラフィックをブロックします。

   # firewall-cmd --permanent --policy podmanToHost --set-target REJECT
   
   # firewall-cmd --permanent --policy podmanToHost --add-service dhcp
   
   # firewall-cmd --permanent --policy podmanToHost --add-service dns

   注記

   Red Hat では、デフォルトでホストへのすべてのトラフィックをブロックしてから、ホストに必要なサービスを選択的に開くことを推奨しています。

3. ポリシーで使用する入力ゾーンを定義します。

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

4. ポリシーで使用する出力ゾーンを定義します。

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

手順

1. external ゾーンなどで IP マスカレーディングが有効かどうかを確認するには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --query-masquerade

   このコマンドでは、有効な場合は yes と出力され、終了ステータスは 0 になります。無効の場合は no と出力され、終了ステータスは 1 になります。zone を省略すると、デフォルトのゾーンが使用されます。

2. IP マスカレードを有効にするには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --add-masquerade

3. この設定を永続化するには、--permanent オプションをコマンドに渡します。

4. IP マスカレードを無効にするには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --remove-masquerade

   この設定を永続化するには、--permanent をコマンドラインに渡します。

手順

1. ポートを別のポートにリダイレクトする場合は、次のコマンドを実行します。

   # firewall-cmd --add-forward-port=port=port-number:proto=tcp|udp|sctp|dccp:toport=port-number

2. 別の IP アドレスで、別のポートにポートをリダイレクトする場合は、次のコマンドを実行します。

   1. 転送するポートを追加します。

      # firewall-cmd --add-forward-port=port=port-number:proto=tcp|udp:toport=port-number:toaddr=IP

   2. マスカレードを有効にします。

      # firewall-cmd --add-masquerade

手順

1. TCP トラフィックに対して、ポート 80 からポート 88 へリダイレクトします。

   # firewall-cmd --add-forward-port=port=80:proto=tcp:toport=88

2. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

3. そのポートがリダイレクトされていることを確認します。

   # firewall-cmd --list-all

手順

1. リダイレクトしているポートを削除するには、次のコマンドを実行します。

   # firewall-cmd --remove-forward-port=port=port-number:proto=<tcp|udp>:toport=port-number:toaddr=<IP>

2. 別のアドレスにリダイレクトした転送ポートを削除するには、以下を実行します。

   1. 転送したポートを削除するには、以下を行います。

      # firewall-cmd --remove-forward-port=port=port-number:proto=<tcp|udp>:toport=port-number:toaddr=<IP>

   2. マスカレードを無効にするには、次のコマンドを実行します。

      # firewall-cmd --remove-masquerade

手順

1. リダイレクトしたポートの一覧を表示します。

   ~]# firewall-cmd --list-forward-ports
   port=80:proto=tcp:toport=88:toaddr=

2. ファイアウォールからリダイレクトしたポートを削除します。

   ~]# firewall-cmd  --remove-forward-port=port=80:proto=tcp:toport=88:toaddr=

3. 新しい設定を永続化します。

   ~]# firewall-cmd --runtime-to-permanent

1. ゾーンのターゲットを DROP に設定します。

   # firewall-cmd --permanent --set-target=DROP

2. すべての ICMP リクエストを一度にブロックする、ICMP ブロックの反転を追加します。

   # firewall-cmd --add-icmp-block-inversion

3. 許可する ICMP リクエストに ICMP ブロックを追加する場合は、次のコマンドを実行します。

   # firewall-cmd --add-icmp-block=<icmptype>

4. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

1. ゾーンのターゲットを default または ACCEPT に戻すには、次のコマンドを設定します。

   # firewall-cmd --permanent --set-target=default

2. ICMP リクエストに追加したすべてのブロックを削除します。

   # firewall-cmd --remove-icmp-block=<icmptype>

3. ICMP ブロックの反転を削除します。

   # firewall-cmd --remove-icmp-block-inversion

4. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 優先度が非常に低いルールを追加して、他のルールと一致していないすべてのトラフィックをログに記録します。

   # firewall-cmd --add-rich-rule='rule priority=32767 log prefix="UNEXPECTED: " limit value="5/m"'

   このコマンドでは、ログエントリーの数を、毎分 5 に制限します。

2. 必要に応じて、前の手順のコマンドで作成した nftables ルールを表示します。

   # nft list chain inet firewalld filter_IN_public_post
   table inet firewalld {
     chain filter_IN_public_post {
       log prefix "UNEXPECTED: " limit rate 5/minute
     }
   }

手順

1. カーネルでパケット転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

2. ゾーン内転送を有効にするインターフェースが、internal ゾーンと異なるゾーンに割り当てられていないことを確認してください。

   # firewall-cmd --get-active-zones

3. 現在、インターフェースが internal 以外のゾーンに割り当てられている場合は、以下のように再割り当てします。

   # firewall-cmd --zone=internal --change-interface=interface_name --permanent

4. enp1s0 および wlp0s20 インターフェースを internal ゾーンに追加します。

   # firewall-cmd --zone=internal --add-interface=enp1s0 --add-interface=wlp0s20

5. ゾーン内転送を有効にします。

   # firewall-cmd --zone=internal --add-forward

1. ゾーン転送を有効にしたホストの enp1s0 インターフェースと同じネットワーク内にあるホストにログインします。

2. ncat で echo サービスを起動し、接続をテストします。

   # ncat -e /usr/bin/cat -l 12345

3. wlp0s20 インターフェースと同じネットワークにあるホストにログインします。

4. enp1s0 と同じネットワークにあるホスト上で実行している echo サーバーに接続します。

   # ncat <other host> 12345

5. 試しに何かを入力して Enter キーを押し、テキストが返送されることを確認します。

手順

1. ~/port_forwarding.yml ファイルを作成し、以下の内容を追加します。

   ---
   - name: Forward incoming traffic on port 8080 to 443
     hosts: testingservers
   
     tasks:
       - include_role:
           name: rhel-system-roles.firewall
   
     vars:
       firewall:
         - { forward_port: 8080/tcp;443;, state: enabled, runtime: true, permanent: true }

   このファイルは Playbook を表し、通常は、inventory ファイルから選択した特定の管理対象ホストに対して実行される、プレイ とも呼ばれるタスクの順序付きリストが含まれます。この場合、Playbook は管理対象ホストの testingservers グループに対して実行されます。

   プレイの hosts キーは、プレイを実行するホストを指定します。このキーの値または値は、管理対象ホストの個別名または インベントリー ファイルで定義されているホストのグループとして指定できます。

   tasks セクションには include_role キーがあります。このキーは、vars セクションで説明されているパラメーターおよび値を設定するシステムロールを指定します。

   vars セクションには、firewall と呼ばれるロール変数が含まれます。この変数はディクショナリー値のリストで、管理対象ホストの firewalld に適用されるパラメーターを指定します。サンプルロールは、ポート 8080 に送信されるトラフィックを 443 ポートに転送します。この設定は即座に有効になり、再起動後も維持されます。

2. 必要に応じて、Playbook の構文が正しいことを確認します。

   # ansible-playbook --syntax-check ~/port_forwarding.yml
   
   playbook: port_forwarding.yml

   以下の例では、Playbook の検証が成功したことを示しています。

3. Playbook を実行します。

   # ansible-playbook ~/port_forwarding.yml

手順

1. Playbook の命令を実行するホストのインベントリーがまだ指定されていない場合は、そのホストの IP または名前を Ansible インベントリーファイル /etc/ansible/hosts に追加します。

   node.example.com

2. ~/adding-and-removing-ports.yml Playbook を以下の内容で作成します。

   ---
   - name: Allow incoming HTTPS traffic to the local host
     hosts: node.example.com
     become: true
   
     tasks:
       - include_role:
           name: linux-system-roles.firewall
   
         vars:
           firewall:
             - port: 443/tcp
               service: http
               state: enabled
               runtime: true
               permanent: true

   permanent: true オプションを使用すると、再起動後も新しい設定が維持されます。

3. Playbook を実行します。

   • root ユーザーとして管理対象ホストに接続するには、次のコマンドを実行します。

     # ansible-playbook -u root ~/adding-and-removing-ports.yml

   • 管理ホストにユーザーとして接続するには、次のコマンドを実行します。

     # ansible-playbook -u user_name --ask-become-pass ~/adding-and-removing-ports.yml

     --ask-become-pass オプションは、ansible-playbook コマンドが -u user_name オプションで定義したユーザーの sudo パスワードを要求するようにします。

   -u user_name オプションを指定しないと、ansible-playbook は、コントロールノードに現在ログインしているユーザーとして管理ホストに接続します。

検証

1. 管理ノードに接続します。

   $ ssh user_name@node.example.com

2. HTTPS サービスに関連付けられた 443/tcp ポートが開いていることを確認します。

   $ sudo firewall-cmd --list-ports
   443/tcp

手順

1. ~/configuring-a-dmz-using-the-firewall-system-role.yml Playbook を以下の内容で作成します。

   ---
   - name: Creating a DMZ with access to HTTPS port and masquerading for hosts in DMZ
     hosts: node.example.com
     become: true
   
     tasks:
       - include_role:
           name: linux-system-roles.firewall
   
         vars:
           firewall:
             - zone: dmz
               interface: enp1s0
               service: https
               state: enabled
               runtime: true
               permanent: true

2. Playbook を実行します。

   • root ユーザーとして管理対象ホストに接続するには、次のコマンドを実行します。

     $ ansible-playbook -u root ~/configuring-a-dmz-using-the-firewall-system-role.yml

   • 管理ホストにユーザーとして接続するには、次のコマンドを実行します。

     $ ansible-playbook -u user_name --ask-become-pass ~/configuring-a-dmz-using-the-firewall-system-role.yml

     --ask-become-pass オプションは、ansible-playbook コマンドが -u user_name オプションで定義したユーザーの sudo パスワードを要求するようにします。

   -u user_name オプションを指定しないと、ansible-playbook は、コントロールノードに現在ログインしているユーザーとして管理ホストに接続します。

手順

1. iptables ルールおよび ip6tables ルールをファイルに書き込みます。

   # iptables-save >/root/iptables.dump
   # ip6tables-save >/root/ip6tables.dump

2. ダンプファイルを nftables 命令に変換します。

   # iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft
   # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft

3. 必要に応じて、生成された nftables ルールを手動で更新して、確認します。

4. nftables サービスが生成されたファイルをロードできるようにするには、以下を /etc/sysconfig/nftables.conf ファイルに追加します。

   include "/etc/nftables/ruleset-migrated-from-iptables.nft"
   include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"

5. iptables サービスを停止し、無効にします。

   # systemctl disable --now iptables

   カスタムスクリプトを使用して iptables ルールを読み込みた場合は、スクリプトが自動的に起動しなくなり、すべてのテーブルをフラッシュするために再起動するようにしてください。

6. nftables サービスを有効にして起動します。

   # systemctl enable --now nftables

手順

1. /etc/sysconfig/nftables.conf ファイルを編集します。

   • nftables パッケージをインストールしたときに /etc/nftables/ に作成された *.nft スクリプトを拡張する場合は、そのスクリプトの include ステートメントのコメントを解除します。

   • スクリプトを新規に作成する場合は、そのスクリプトを含む include ステートメントを追加します。たとえば、nftables サービスの起動時に /etc/nftables/example.nft スクリプトを読み込むには、以下を追加します。

     include "/etc/nftables/example.nft"

2. 必要に応じて、nftables サービスを開始して、システムを再起動せずにファイアウォールルールを読み込みます。

   # systemctl start nftables

3. nftables サービスを有効にします。

   # systemctl enable nftables

手順

1. nft add table コマンドを使用してテーブルを新規作成します。たとえば、IPv4 パケットおよび IPv6 パケットを処理する example_table という名前のテーブルを作成するには、次のコマンドを実行します。

   # nft add table inet example_table

2. 必要に応じて、ルールセットのテーブルを一覧表示します。

   # nft list tables
   table inet example_table

手順

1. nft add chain コマンドを使用してチェーンを新規作成します。たとえば、example_table に、example_chain という名前のチェーンを作成するには、次のコマンドを実行します。

   # nft add chain inet example_table example_chain { type filter hook input priority 0 \; policy accept \; }

   重要

   シェルでセミコロンがコマンドの最後として解釈されるのを回避するには、セミコロンの前に \ エスケープ文字を付けます。

   このチェーンは、着信パケットをフィルタリングします。priority パラメーターは、nftables プロセスが同じフック値を持つチェーンを処理する順序を指定します。優先度の値が低いほど優先されます。policy パラメーターは、このチェーン内のルールのデフォルトアクションを設定します。サーバーにリモートでログインし、デフォルトのポリシーを drop に設定すると、他のルールでリモートアクセスが許可されていなければ、すぐに切断されることに注意してください。

2. 必要に応じて、すべてのチェーンを表示します。

   # nft list chains
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
     }
   }

手順

1. 新規ルールを追加するには、nft add rule コマンドを使用します。たとえば、example_table の example_chain に、ポート 22 の TCP トラフィックを許可するルールを追加するには、次のコマンドを実行します。

   # nft add rule inet example_table example_chain tcp dport 22 accept

   ポート番号の代わりに、サービス名を指定することもできます。この例では、ポート番号 22 の代わりに ssh を使用できます。サービス名は、/etc/services ファイルのエントリーに基づいてポート番号に解決されることに注意してください。

2. 必要に応じて、example_table ですべてのチェーンとそのルールを表示します。

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ...
       tcp dport ssh accept
     }
   }

手順

1. 新しいルールを追加するには、nft insert rule コマンドを使用します。たとえば、ポート 22 で TCP トラフィックを許可するルールを example_table の example_chain に追加するには、次のコマンドを実行します。

   # nft insert rule inet example_table example_chain tcp dport 22 accept

   代わりに、ポート番号の代わりにサービスの名前を指定することもできます。この例では、ポート番号 22 の代わりに ssh を使用できます。サービス名は、/etc/services ファイルのエントリーに基づいてポート番号に解決されることに注意してください。

2. 必要に応じて、example_table ですべてのチェーンとそのルールを表示します。

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept
       ...
     }
   }

手順

1. nft -a list ruleset コマンドを使用して、ハンドルなど、example_table 内のすべてのチェーンとそのルールを表示します。

   # nft -a list table inet example_table
   table inet example_table { # handle 1
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       tcp dport 389 accept # handle 4
     }
   }

   -a を使用すると、ハンドルが表示されます。次の手順で新しいルールを配置するときに、この情報が必要です。

2. example_table の example_chain チェーンに新しいルールを挿入します。

   • ハンドル 3 の前に、ポート 636 で TCP トラフィックを許可するルールを挿入するには、次のコマンドを実行します。

     # nft insert rule inet example_table example_chain position 3 tcp dport 636 accept

   • ハンドル 3 の後ろに、ポート 80 で TCP トラフィックを許可するルールを追加するには、次のコマンドを実行します。

     # nft add rule inet example_table example_chain position 3 tcp dport 80 accept

3. 必要に応じて、example_table ですべてのチェーンとそのルールを表示します。

   # nft -a list table inet example_table
   table inet example_table { # handle 1
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       tcp dport 389 accept # handle 4
     }
   }

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   prerouting チェーンにルールを追加しなくても、nftables フレームワークでは、着信パケット返信に一致するようにこのチェーンが必要になります。

   nft コマンドに -- オプションを渡すと、シェルが優先度の負の値を nft コマンドのオプションとして解釈する必要がなくなります。

3. postrouting チェーンに、ens3 インターフェースの出力パケットに一致するルールを追加します。

   # nft add rule nat postrouting oifname "ens3" masquerade

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   postrouting チェーンにルールを追加しなくても、nftables フレームワークでは、このチェーンが発信パケット返信に一致するようにする必要があります。

   nft コマンドに -- オプションを渡すと、シェルが優先度の負の値を nft コマンドのオプションとして解釈する必要がなくなります。

3. ens3 を介した発信パケットのソース IP を 192.0.2.1 に置き換えるルールを postrouting チェーンに追加します。

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1