流程

1. 验证 firewalld 服务的永久配置：

   # firewall-cmd --check-config
   success

   如果永久配置有效，该命令将返回 成功。在其他情况下，命令返回一个带有更多详情的错误，如下所示：

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

流程

1. 查看服务的状态：

   # firewall-cmd --state

2. 如需有关服务状态的更多信息，请使用 systemctl status 子命令：

   # systemctl status firewalld
   firewalld.service - firewalld - dynamic firewall daemon
      Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor pr
      Active: active (running) since Mon 2017-12-18 16:05:15 CET; 50min ago
        Docs: man:firewalld(1)
    Main PID: 705 (firewalld)
       Tasks: 2 (limit: 4915)
      CGroup: /system.slice/firewalld.service
              └─705 /usr/bin/python3 -Es /usr/sbin/firewalld --nofork --nopid

流程

1. 要立即禁用网络流量，请切换 panic 模式：

   # firewall-cmd --panic-on

   重要

   启用 panic 模式可停止所有网络流量。因此，它应该只在对机器有物理访问权限或使用串行控制台登录时才使用。

2. 关闭 panic 模式会使防火墙恢复到其永久设置。要关闭 panic 模式，请输入：

   # firewall-cmd --panic-off

流程

1. 检查该服务是否还未被允许：

   # firewall-cmd --list-services
   ssh dhcpv6-client

2. 列出所有预定义的服务：

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...
   [trimmed for clarity]

3. 在允许的服务中添加服务：

   # firewall-cmd --add-service=<service-name>

4. 使新设置持久：

   # firewall-cmd --runtime-to-permanent

流程

1. 启用或禁用预定义或自定义服务：

   1. 启动 firewall-config 工具并选择要配置的服务的网络区。
   2. 选择" 服务" 选项卡。
   3. 选择您要信任的每种服务类型的复选框，或者清除要阻断服务的复选框。

2. 编辑服务：

   1. 启动 firewall-config 工具。
   2. 从标记为 Configuration 的菜单中选择 永久。其它图标和菜单按钮会出现在服务窗口底部。
   3. 选择您要配置的服务。

1. 运行以下命令以添加新和空服务：

   $ firewall-cmd --new-service=service-name --permanent

2. 要使用本地文件添加新服务，请使用以下命令：

   $ firewall-cmd --new-service-from-file=service-name.xml --permanent

   您可以使用 additional --name=service-name 选项来更改服务名称。

3. 更改服务设置后，服务的更新副本将置于 /etc/firewalld/services/ 中。

   作为 root 用户，您可以输入以下命令手动复制服务：

   # cp /usr/lib/firewalld/services/service-name.xml /etc/firewalld/services/service-name.xml

流程

1. 启动 firewall-config 工具并选择要更改的网络区。
2. 选择 端口 选项卡，然后单击右侧的 添加 按钮。此时会打开 端口和协议 窗口。
3. 输入要允许的端口号或者端口范围。
4. 从列表中选择 tcp orudp。

流程

1. 启动 firewall-config 工具并选择要更改的网络区。
2. 选择 协议 选项卡，然后单击右侧的 添加 按钮。此时会打开 协议 窗口。
3. 从列表中选择协议，或者选择"其他协议 "复选框并在字段中输入协议。

流程

1. 启动 firewall-config 工具并选择要更改的网络区。
2. 选择"源端口 "选项卡，然后单击右侧的添加按钮。Source Port 窗口将打开。
3. 输入要允许的端口号或者端口范围。从列表中选择 tcp orudp。

1. 列出所有允许的端口：

   # firewall-cmd --list-ports

2. 在允许的端口中添加一个端口，以便为入站流量打开这个端口：

   # firewall-cmd --add-port=port-number/port-type

   端口类型为 tcp、udp、sctp 或 dccp。这个类型必须与网络通信的类型匹配。

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   端口类型为 tcp、udp、sctp 或 dccp。这个类型必须与网络通信的类型匹配。

1. 列出所有允许的端口：

   # firewall-cmd --list-ports

   警告

   这个命令只为您提供已打开作为端口的端口列表。您将无法看到作为服务打开的任何打开端口。因此，您应该考虑使用 --list-all 选项而不是 --list-ports。

2. 从允许的端口中删除端口，以便对传入的流量关闭：

   # firewall-cmd --remove-port=port-number/port-type

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 查看系统中有哪些可用区：

   # firewall-cmd --get-zones

   firewall-cmd --get-zones 命令显示系统上可用的所有区域，但不显示特定区域的任何详情。

2. 查看所有区的详细信息：

   # firewall-cmd --list-all-zones

3. 查看特定区的详细信息：

   # firewall-cmd --zone=zone-name --list-all

1. 显示当前的默认区：

   # firewall-cmd --get-default-zone

2. 设置新的默认区：

   # firewall-cmd --set-default-zone zone-name

   注意

   遵循此过程后，该设置是永久设置，即使没有 --permanent 选项。

1. 列出活跃区以及分配给它们的接口：

   # firewall-cmd --get-active-zones

2. 为不同的区分配接口：

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

流程

1. 为 NetworkManager 连接配置集分配区：

   # nmcli connection modify profile connection.zone zone_name

2. 重新加载连接：

   # nmcli connection up profile

流程

1. 创建一个新区：

   # firewall-cmd --new-zone=zone-name

2. 检查是否在您的永久设置中添加了新的区：

   # firewall-cmd --get-zones

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

1. 列出特定区的信息以查看默认目标：

   $ firewall-cmd --zone=zone-name --list-all

2. 在区中设置一个新目标：

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones

2. 将源 IP 添加到持久性模式的信任区中：

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 列出所需区的允许源：

   # firewall-cmd --zone=zone-name --list-sources

2. 从区永久删除源：

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones
   block dmz drop external home internal public trusted work

2. 将 IP 范围添加到内部区，以通过区路由来自源的流量：

   # firewall-cmd --zone=internal --add-source=192.0.2.0/24

3. 在内部区中添加 http 服务：

   # firewall-cmd --zone=internal --add-service=http

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 要检查 IP 伪装是否已启用（例如，对于 外部 区），以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --query-masquerade

   如果已启用，命令将打印 yes，退出状态为 0。否则，将不会 打印退出状态 1。如果省略 区域，则将使用默认区域。

2. 要启用 IP 伪装，以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --add-masquerade

3. 要使此设置持久，请重复添加 --permanent 选项的命令。

流程

1. 将端口重新指向另一个端口：

   # firewall-cmd --add-forward-port=port=port-number:proto=tcp|udp|sctp|dccp:toport=port-number

2. 将端口重定向到不同 IP 地址的另一个端口：

   1. 添加要转发的端口：

      # firewall-cmd --add-forward-port=port=port-number:proto=tcp|udp:toport=port-number:toaddr=IP

   2. 启用伪装：

      # firewall-cmd --add-masquerade

流程

1. 将端口 80 重定向到 TCP 流量的端口 88:

   # firewall-cmd --add-forward-port=port=80:proto=tcp:toport=88

2. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

3. 检查是否重定向了端口：

   # firewall-cmd --list-all

流程

1. 要删除重定向的端口：

   # firewall-cmd --remove-forward-port=port=port-number:proto=<tcp|udp>:toport=port-number:toaddr=<IP>

2. 要删除重定向到不同地址的转发端口：

   1. 删除转发的端口：

      # firewall-cmd --remove-forward-port=port=port-number:proto=<tcp|udp>:toport=port-number:toaddr=<IP>

   2. 禁用伪装：

      # firewall-cmd --remove-masquerade

流程

1. 列出重定向的端口：

   ~]# firewall-cmd --list-forward-ports
   port=80:proto=tcp:toport=88:toaddr=

2. 从防火墙中删除重定向的端口：

   ~]# firewall-cmd  --remove-forward-port=port=80:proto=tcp:toport=88:toaddr=

3. 使新设置具有持久性：

   ~]# firewall-cmd --runtime-to-permanent

1. 将区的目标设置为 DROP ：

   # firewall-cmd --permanent --set-target=DROP

2. 添加 ICMP 块 inversion 以阻止所有 ICMP 请求：

   # firewall-cmd --add-icmp-block-inversion

3. 为您要允许的 ICMP 请求添加 ICMP 块：

   # firewall-cmd --add-icmp-block=<icmptype>

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

1. 将区的目标设置为 default 或 ACCEPT:

   # firewall-cmd --permanent --set-target=default

2. 删除 ICMP 请求添加的所有块：

   # firewall-cmd --remove-icmp-block=<icmptype>

3. 删除 ICMP 块 inversion：

   # firewall-cmd --remove-icmp-block-inversion

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 添加一个带有非常低优先级的丰富规则来记录未由其他规则匹配的所有流量：

   # firewall-cmd --add-rich-rule='rule priority=32767 log prefix="UNEXPECTED: " limit value="5/m"'

   命令还会将日志条目的数量限制为每分钟 5 个。

2. 另外，还可显示上一步中命令创建的 nftables 规则：

   # nft list chain inet firewalld filter_IN_public_post
   table inet firewalld {
     chain filter_IN_public_post {
       log prefix "UNEXPECTED: " limit rate 5/minute
     }
   }

流程

1. 编辑 /etc/sysconfig/nftables.conf 文件。

   • 如果您在安装 nftables 软件包时增强了在 /etc/nftables/ 中创建的 *.nft 脚本，请取消注释这些脚本的 include 语句。

   • 如果您从头开始编写脚本，请添加 include 语句以包含这些脚本。例如，要在 nftables 服务启动时载入 /etc/nftables/example.nft 脚本，请添加：

     include "/etc/nftables/example.nft"

2. （可选）启动 nftables 服务在不重启系统的情况下载入防火墙规则：

   # systemctl start nftables

3. 启用 nftables 服务。

   # systemctl enable nftables

流程

1. 使用 nft add table 命令创建新表。例如，要创建一个名为 example_table 的表，用于处理 IPv4 和 IPv6 数据包：

   # nft add table inet example_table

2. 另外，还可列出规则集中的所有表：

   # nft list tables
   table inet example_table

流程

1. 使用 nft add chain 命令创建新链。例如，要在 example_table 中创建一个名为 example_chain 的链：

   # nft add chain inet example_table example_chain { type filter hook input priority 0 \; policy accept \; }

   重要

   为避免 shell 将分号解析为命令结尾，请在分号前加上 \ 转义字符。

   这个链过滤传入的数据包。priority 参数指定 nftables 进程使用相同 hook 值链的顺序。较低优先级的值优先于优先级更高的值。policy 参数设置此链中规则的默认操作。请注意，如果您远程登录服务器，并将默认策略设置为 drop，如果没有其他规则允许远程访问，您将立即断开连接。

2. 另外，还可以显示所有链：

   # nft list chains
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
     }
   }

流程

1. 要添加新的规则，请使用 nft add rule 命令。例如，在 example_table 中的 example_chain 中添加一条规则，允许端口 22 上的 TCP 流量：

   # nft add rule inet example_table example_chain tcp dport 22 accept

   您可以选择指定服务名称而不是端口号。在该示例中，您可以使用 ssh 而不是端口号 22。请注意，服务名称会根据在 /etc/services 文件中的条目解析为端口号。

2. 另外，还可在 example_table 中显示所有链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ...
       tcp dport ssh accept
     }
   }

流程

1. 要插入新规则，请使用 nft 插入规则命令。例如，要在 example_ table 中将规则插入到 example_chain，该规则允许端口 22 上的 TCP 流量：

   # nft insert rule inet example_table example_chain tcp dport 22 accept

   您还可以指定服务名称而不是端口号。在该示例中，您可以使用 ssh 而不是端口号 22。请注意，服务名称会根据在 /etc/services 文件中的条目解析为端口号。

2. 另外，还可在 example_table 中显示所有链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept
       ...
     }
   }

流程

1. 使用 nft -a list ruleset 命令显示 example_table 中的所有链及其规则，包括其句柄：

   # nft -a list table inet example_table
   table inet example_table { # handle 1
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       tcp dport 389 accept # handle 4
     }
   }

   使用 -a 可显示句柄。您需要此信息才能在后续步骤中定位新规则。

2. 在 example_table 中的 example_chain 链中插入新规则 ：

   • 要在处理 3 前插入允许 port636 上的 TCP 流量的规则，请输入 ：

     # nft insert rule inet example_table example_chain position 3 tcp dport 636 accept

   • 要在句柄 3 后添加允许端口 80 上的 TCP 流量的规则，请输入：

     # nft add rule inet example_table example_chain position 3 tcp dport 80 accept

3. 另外，还可在 example_table 中显示所有链及其规则：

   # nft -a list table inet example_table
   table inet example_table { # handle 1
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       tcp dport 389 accept # handle 4
     }
   }

流程

1. 创建一个表：

   # nft add table nat

2. 在表中添加 prerouting 和 postrouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向抢占链添加规则，nf tables 框架也要求此链与传入数据包回复匹配。

   请注意，您必须将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。

3. 在 postrouting 链中添加与 ens3 接口上的传出数据包匹配的规则：

   # nft add rule nat postrouting oifname "ens3" masquerade

流程

1. 创建一个表：

   # nft add table nat

2. 在表中添加 prerouting 和 postrouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 postrouting 链添加规则，nf tables 框架也要求此链与传出数据包回复匹配。

   请注意，您必须将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。

3. 在 postrouting 链中添加一条规则，通过 ens3 将传出数据包的源 IP 替换为 192.0.2.1 ：

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

流程

1. 创建一个表：

   # nft add table nat

2. 在表中添加 prerouting 和 postrouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 postrouting 链添加规则，nf tables 框架也要求此链与传出数据包回复匹配。

   请注意，您必须将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。

3. 在 prerouting 链中添加一条规则，将发送到端口 80 和 443 的 ens3 接口上传入的流量重定向到具有 192.0.2.1 IP 的主机：

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 根据您的环境，添加 SNAT 或伪装规则以更改源地址：

   1. 如果 ens3 接口使用动态 IP 地址，请添加一个伪装规则：

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. 如果 ens3 接口使用静态 IP 地址，请添加 SNAT 规则。例如，如果 ens3 使用 198.51.100.1 IP 地址：

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

流程

1. 创建一个表：

   # nft add table nat

2. 在表中添加 prerouting chain:

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   请注意，您必须将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。

3. 在 prerouting 链中添加一条规则，将端口 22 上传入的流量重定向到端口 2222 ：

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

流程

1. 例如，在 example_ table 中的 example_chain 中添加允许传入流量到端口 22、80 和 443 的规则：

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

2. 另外，还可在 example_table 中显示所有链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

流程

1. 创建一个空集。以下示例为 IPv4 地址创建了一个集合：

   • 要创建可存储多个独立 IPv4 地址的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • 要创建可存储 IPv4 地址范围的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   重要

   要避免 shell 认为分号作为命令结尾，您必须用反斜杠转义分号。

2. 另外，还可创建使用该集合的规则。例如，以下命令向 example_ table 中的 example_chain 添加一条规则，该规则将丢弃来自 example_ set 中的 IPv4 地址的所有数据包。

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   因为 example_set 仍然为空，因此该规则目前无效。

3. 在 example_set 中添加 IPv4 地址：

   • 如果您创建存储单个 IPv4 地址的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   • 如果您创建存储 IPv4 范围的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     当您指定 IP 地址范围时，也可以使用无类别域间路由(CIDR)标记，如上例中的 192.0.2.0/24。

流程

1. 创建 example_table:

   # nft add table inet example_table

2. 在 example_table 中创建 tcp_packets 链：

   # nft add chain inet example_table tcp_packets

3. 在 tcp_packets 中添加计算此链中流量的规则：

   # nft add rule inet example_table tcp_packets counter

4. 在 example _table 中创建 theudp_ packets链

   # nft add chain inet example_table udp_packets

5. 添加一条计算此链中流量的规则 toudp_packets ：

   # nft add rule inet example_table udp_packets counter

6. 为传入的流量创建一个链。例如，在 example_table 中创建一个名为 incoming_traffic 的链，用于过滤传入的流量：

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. 将带有匿名映射的规则添加到 incoming_traffic ：

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   匿名映射区分数据包，并根据它们的协议将它们发送到不同的计数链。

8. 要列出流量计数器，显示 example_table:

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }

   tcp_packets 和udp_packets 链中的计数器同时显示收到的数据包数和字节数。

流程

1. 创建表。例如，要创建一个名为 example_table 的表来处理 IPv4 数据包：

   # nft add table ip example_table

2. 创建链。例如，要在 example_table 中创建一个名为 example_chain 的链：

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   重要

   要避免 shell 认为分号作为命令结尾，您必须用反斜杠转义分号。

3. 创建一个空的映射。例如，要为 IPv4 地址创建映射：

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. 创建使用该映射的规则。例如，以下命令为 example_ table 中的 example_chain 添加了一个规则，它把操作应用到 example_map 中定义的 IPv4 地址：

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. 在 example_map 中添加 IPv4 地址和对应的操作：

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   这个示例定义了 IPv4 地址到操作的映射。根据上述规则，防火墙接受来自 192.0.2.1 的数据包并丢弃来自 192.0.2 的数据包。

6. 另外，还可添加另一个 IP 地址和 action 语句来增强映射：

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. （可选）从映射中删除条目：

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. 另外，还可显示规则集：

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }

流程

1. 使用 ip 地址系列创建一个名为 nat 的表：

   # nft add table ip nat

2. 在表中添加 prerouting 和 postrouting 链：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }

   注意

   将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。

3. 在 prerouting 链中添加一条规则，将端口 8022 上传入的数据包重定向到本地端口 22 ：

   # nft add rule ip nat prerouting tcp dport 8022 redirect to :22

流程

1. 使用 ip 地址系列创建一个名为 nat 的表：

   # nft add table ip nat

2. 在表中添加 prerouting 和 postrouting 链：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }

   注意

   将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。

3. 在 prerouting chain 中添加一条规则，将端口 443 上传入的数据包重新指向 192.0.2.1 上的同一端口：

   # nft add rule ip nat prerouting tcp dport 443 dnat to 192.0.2.1

4. 为 postrouting 链添加一条规则伪装出站流量：

   # nft add rule ip daddr 192.0.2.1 masquerade

5. 启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

流程

1. 添加一条规则，该规则只允许从 IPv4 地址同时连接到 SSH 端口（22），并从同一 IP 拒绝所有后续连接：

   # nft add rule ip example_table example_chain tcp dport ssh meter example_meter { ip saddr ct count over 2 } counter reject

2. 另外，还可以显示上一步中创建的 meter：

   # nft list meter ip example_table example_meter
   table ip example_table {
     meter example_meter {
       type ipv4_addr
       size 65535
       elements = { 192.0.2.1 : ct count over 2 , 192.0.2.2 : ct count over 2  }
     }
   }

   元素 条目显示目前与该规则匹配的地址。在本例中，元素 列出了已连接到 SSH 端口的 IP 地址。请注意，输出不会显示活跃连接的数量，或者连接是否被拒绝。

流程

1. 使用 ip 地址系列创建 过滤器 表：

   # nft add table ip filter

2. 在 过滤器 表中添加 输入 链：

   # nft add chain ip filter input { type filter hook input priority 0 \; }

3. 在 过滤器 表中添加名为 denylist 的集合：

   # nft add set ip filter denylist { type ipv4_addr \; flags dynamic, timeout \; timeout 5m \; }

   这个命令为 IPv4 地址创建动态设置。timeout 5m 参数定义 nftables 在 5 分钟后自动删除条目。

4. 添加一条规则，该规则会在一分钟内试图建立十个新的 TCP 连接的主机源 IP 地址添加到 denylist 集合中：

   # nft add rule ip filter input ip protocol tcp ct state new, untracked limit rate over 10/minute add @denylist { ip saddr }

5. 添加一条规则，丢弃来自 denylist 集中 IP 地址的所有连接：

   # nft add rule ip filter input ip saddr @denylist drop

流程

1. 向 链添加带有 counter 参数的新规则。以下示例添加一个带有计数器的规则，它允许端口 22 上的 TCP 流量，并计算与这个规则匹配的数据包和网络数据的数量：

   # nft add rule inet example_table example_chain tcp dport 22 counter accept

2. 显示计数器值：

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

流程

1. 在链中显示规则及其句柄：

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. 通过替换规则但替换为 counter 参数来添加计数器。以下示例替换了上一步中显示的规则并添加计数器：

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 counter accept

3. 显示计数器值：

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

流程

1. 在链中显示规则及其句柄：

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. 通过替换规则但使用 meta nftrace 设置 1 参数来添加追踪功能。以下示例替换了上一步中显示的规则并启用追踪：

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 meta nftrace set 1 accept

3. 使用 nft monitor 命令显示追踪。以下示例过滤命令的输出，仅显示包含 inet example_table example_chain 的条目：

   # nft monitor | grep "inet example_table example_chain"
   trace id 3c5eb15e inet example_table example_chain packet: iif "enp1s0" ether saddr 52:54:00:17:ff:e4 ether daddr 52:54:00:72:2f:6e ip saddr 192.0.2.1 ip daddr 192.0.2.2 ip dscp cs0 ip ecn not-ect ip ttl 64 ip id 49710 ip protocol tcp ip length 60 tcp sport 56728 tcp dport ssh tcp flags == syn tcp window 64240
   trace id 3c5eb15e inet example_table example_chain rule tcp dport ssh nftrace set 1 accept (verdict accept)
   ...

   警告

   根据启用追踪的规则数量以及匹配的流量数量，nft monitor 命令可以显示大量输出。使用 grep 或其他实用程序过滤输出。