2.3.2. nftables チェーンの基本

テーブルは、ルールのコンテナーであるチェーンで構成されます。次の 2 つのルールタイプが存在します。

ベースチェーンをテーブルに追加する場合に使用する形式は、ファイアウォールスクリプトにより異なります。

ネイティブ構文のスクリプトでは、以下を使用します。

table <table_address_family> <table_name> {
  chain <chain_name> {
    type <type> hook <hook> priority <priority>
    policy <policy> ;
  }
}

シェルスクリプトで、以下を使用します。
```
nft add chain <table_address_family> <table_name> <chain_name> { type <type> hook <hook> priority <priority> \; policy <policy> \; }
```
シェルがセミコロンをコマンドの最後として解釈しないようにするには、セミコロンの前にエスケープ文字 \ を配置します。

どちらの例でも、ベースチェーン を作成します。通常のチェーン を作成する場合、中括弧内にパラメーターを設定しないでください。

チェーンタイプとそれらを使用できるアドレスファミリーとフックの概要を以下に示します。

型	アドレスファミリー	フック	説明
`filter`	all	all	標準のチェーンタイプ
`nat`	`ip`、`ip6`、`inet`	`prerouting`、`input`、`output`、`postrouting`	このタイプのチェーンは、接続追跡エントリーに基づいてネイティブアドレス変換を実行します。最初のパケットのみがこのチェーンタイプをトラバースします。
`route`	`ip`、`ip6`	`output`	このチェーンタイプを通過する許可済みパケットは、IP ヘッダーの関連部分が変更された場合に、新しいルートルックアップを引き起こします。

priority パラメーターは、パケットが同じフック値を持つチェーンを通過する順序を指定します。このパラメーターは、整数値に設定することも、標準の priority 名を使用することもできます。

以下のマトリックスは、標準的な priority 名とその数値の概要、それらを使用できるファミリーおよびフックの概要です。

テキストの値	数値	アドレスファミリー	フック
`raw`	`-300`	`ip`、`ip6`、`inet`	all
`mangle`	`-150`	`ip`、`ip6`、`inet`	all
`dstnat`	`-100`	`ip`、`ip6`、`inet`	`prerouting`
`dstnat`	`-300`	`bridge`	`prerouting`
`filter`	`0`	`ip`、`ip6`、`inet`、`arp`、`netdev`	all
`filter`	`-200`	`bridge`	all
`security`	`50`	`ip`、`ip6`、`inet`	all
`srcnat`	`100`	`ip`、`ip6`、`inet`	`postrouting`
`srcnat`	`300`	`bridge`	`postrouting`
`out`	`100`	`bridge`	`output`

チェーンポリシーは、このチェーンのルールでアクションが指定されていない場合に、nftables がパケットを受け入れるかドロップするかを定義します。チェーンには、以下のいずれかのポリシーを設定できます。

Select Your Language