流程

1. 验证 firewalld 服务的永久配置：

   # firewall-cmd --check-config
   success

   如果永久配置有效，该命令将返回 成功。在其他情况下，命令返回一个带有更多详情的错误，如下所示：

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

流程

1. 查看服务的状态：

   # firewall-cmd --state

2. 如需有关服务状态的更多信息，请使用 systemctl status 子命令：

   # systemctl status firewalld
   firewalld.service - firewalld - dynamic firewall daemon
      Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor pr
      Active: active (running) since Mon 2017-12-18 16:05:15 CET; 50min ago
        Docs: man:firewalld(1)
    Main PID: 705 (firewalld)
       Tasks: 2 (limit: 4915)
      CGroup: /system.slice/firewalld.service
              └─705 /usr/bin/python3 -Es /usr/sbin/firewalld --nofork --nopid

流程

1. 要立即禁用网络流量，请切换 panic 模式：

   # firewall-cmd --panic-on

   重要

   启用 panic 模式可停止所有网络流量。因此，只有当您具有对机器的物理访问权限或使用串行控制台登录时，才应使用它。

2. 关闭 panic 模式会使防火墙恢复到其永久设置。要关闭 panic 模式，请输入：

   # firewall-cmd --panic-off

流程

1. 检查该服务是否还未被允许：

   # firewall-cmd --list-services
   ssh dhcpv6-client

2. 列出所有预定义的服务：

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...
   [trimmed for clarity]

3. 在允许的服务中添加服务：

   # firewall-cmd --add-service=<service-name>

4. 使新设置持久：

   # firewall-cmd --runtime-to-permanent

流程

1. 启用或禁用预定义或自定义服务：

   1. 启动 firewall-config 工具并选择要配置的服务的网络区。
   2. 选择 Services 选项卡。
   3. 选择您要信任的每种服务类型的复选框，或者清除要阻断服务的复选框。

2. 编辑服务：

   1. 启动 firewall-config 工具。
   2. 从标为 Configuration 的菜单中选择 Permanent 。其它图标和菜单按钮会出现在服务窗口底部。
   3. 选择您要配置的服务。

1. 运行以下命令以添加新和空服务：

   $ firewall-cmd --new-service=service-name --permanent

2. 要使用本地文件添加新服务，请使用以下命令：

   $ firewall-cmd --new-service-from-file=service-name.xml --permanent

   您可以使用 --name=service-name 选项来更改服务名称。

3. 更改服务设置后，服务的更新副本放在 /etc/firewalld/services/ 中。

   作为 root 用户，您可以输入以下命令来手动复制服务：

   # cp /usr/lib/firewalld/services/service-name.xml /etc/firewalld/services/service-name.xml

流程

1. 启动 firewall-config 工具并选择要更改的网络区。
2. 选择 Ports 选项卡，然后点击右侧的 Add 按钮。此时会打开 端口和协议 窗口。
3. 输入要允许的端口号或者端口范围。
4. 从列表中选择 tcp 或 udp。

流程

1. 启动 firewall-config 工具并选择要更改的网络区。
2. 选择 Protocols 选项卡，然后点击右侧的 Add 按钮。此时会打开 协议 窗口。
3. 从列表中选择协议，或者选择 Other Protocol 复选框，并在字段中输入协议。

流程

1. 启动 firewall-config 工具并选择要更改的网络区。
2. 选择 Source Port 选项卡，然后点击右侧的 Add 按钮。源端口 窗口将打开。
3. 输入要允许的端口号或者端口范围。从列表中选择 tcp 或 udp。

1. 列出所有允许的端口：

   # firewall-cmd --list-ports

2. 在允许的端口中添加一个端口，以便为入站流量打开这个端口：

   # firewall-cmd --add-port=port-number/port-type

   端口类型为 tcp、udp、sctp 或 dccp。这个类型必须与网络通信的类型匹配。

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   端口类型为 tcp、udp、sctp 或 dccp。这个类型必须与网络通信的类型匹配。

1. 列出所有允许的端口：

   # firewall-cmd --list-ports

   警告

   这个命令只为您提供已打开作为端口的端口列表。您将无法看到作为服务打开的任何打开端口。因此，您应该考虑使用 --list-all 选项，而不是 --list-ports。

2. 从允许的端口中删除端口，以便对传入的流量关闭：

   # firewall-cmd --remove-port=port-number/port-type

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 查看系统中有哪些可用区：

   # firewall-cmd --get-zones

   firewall-cmd --get-zones 命令显示系统上所有可用的区，但不显示特定区的任何详情。

2. 查看所有区的详细信息：

   # firewall-cmd --list-all-zones

3. 查看特定区的详细信息：

   # firewall-cmd --zone=zone-name --list-all

1. 显示当前的默认区：

   # firewall-cmd --get-default-zone

2. 设置新的默认区：

   # firewall-cmd --set-default-zone zone-name

   注意

   遵循此流程后，该设置是永久设置，即使没有 --permanent 选项。

1. 列出活跃区以及分配给它们的接口：

   # firewall-cmd --get-active-zones

2. 为不同的区分配接口：

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

流程

1. 将区分配到 NetworkManager 连接配置文件：

   # nmcli connection modify profile connection.zone zone_name

2. 重新加载连接：

   # nmcli connection up profile

流程

1. 创建一个新区：

   # firewall-cmd --new-zone=zone-name

2. 检查是否在您的永久设置中添加了新的区：

   # firewall-cmd --get-zones

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

1. 列出特定区的信息以查看默认目标：

   $ firewall-cmd --zone=zone-name --list-all

2. 在区中设置一个新目标：

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones

2. 将源 IP 添加到持久性模式的信任区中：

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 列出所需区的允许源：

   # firewall-cmd --zone=zone-name --list-sources

2. 从区永久删除源：

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones
   block dmz drop external home internal public trusted work

2. 将 IP 范围添加到 internal 区，以将来自源的流量路由到区：

   # firewall-cmd --zone=internal --add-source=192.0.2.0/24

3. 将http 服务添加到 internal 区中：

   # firewall-cmd --zone=internal --add-service=http

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 要检查是否启用了 IP 伪装（例如，对于 external 区），以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --query-masquerade

   如果已启用，命令将会打印 yes，且退出状态为 0。否则，将打印 no ，且退出状态为 1。如果省略了 zone，则将使用默认区。

2. 要启用 IP 伪装，请以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --add-masquerade

3. 要使此设置持久化，请重复添加了 --permanent 选项的命令。

流程

1. 将端口重新指向另一个端口：

   # firewall-cmd --add-forward-port=port=port-number:proto=tcp|udp|sctp|dccp:toport=port-number

2. 将端口重定向到不同 IP 地址的另一个端口：

   1. 添加要转发的端口：

      # firewall-cmd --add-forward-port=port=port-number:proto=tcp|udp:toport=port-number:toaddr=IP

   2. 启用伪装：

      # firewall-cmd --add-masquerade

流程

1. 将端口 80 重定向到 TCP 流量的端口 88:

   # firewall-cmd --add-forward-port=port=80:proto=tcp:toport=88

2. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

3. 检查是否重定向了端口：

   # firewall-cmd --list-all

流程

1. 要删除重定向的端口：

   # firewall-cmd --remove-forward-port=port=port-number:proto=<tcp|udp>:toport=port-number:toaddr=<IP>

2. 要删除重定向到不同地址的转发端口：

   1. 删除转发的端口：

      # firewall-cmd --remove-forward-port=port=port-number:proto=<tcp|udp>:toport=port-number:toaddr=<IP>

   2. 禁用伪装：

      # firewall-cmd --remove-masquerade

流程

1. 列出重定向的端口：

   ~]# firewall-cmd --list-forward-ports
   port=80:proto=tcp:toport=88:toaddr=

2. 从防火墙中删除重定向的端口：

   ~]# firewall-cmd  --remove-forward-port=port=80:proto=tcp:toport=88:toaddr=

3. 使新设置具有持久性：

   ~]# firewall-cmd --runtime-to-permanent

1. 将区的目标设为 DROP ：

   # firewall-cmd --permanent --set-target=DROP

2. 添加 ICMP block inversion 以一次阻止所有 ICMP 请求：

   # firewall-cmd --add-icmp-block-inversion

3. 为您要允许的 ICMP 请求添加 ICMP 块：

   # firewall-cmd --add-icmp-block=<icmptype>

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

1. 将区的目标设置为 default 或 ACCEPT:

   # firewall-cmd --permanent --set-target=default

2. 删除 ICMP 请求的所有添加的块：

   # firewall-cmd --remove-icmp-block=<icmptype>

3. 删除 ICMP block inversion：

   # firewall-cmd --remove-icmp-block-inversion

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 添加一个带有非常低优先级的丰富规则来记录未由其他规则匹配的所有流量：

   # firewall-cmd --add-rich-rule='rule priority=32767 log prefix="UNEXPECTED: " limit value="5/m"'

   命令还将日志条目的数量限制为每分钟 5 个。

2. 另外，还可显示上一步中命令创建的 nftables 规则：

   # nft list chain inet firewalld filter_IN_public_post
   table inet firewalld {
     chain filter_IN_public_post {
       log prefix "UNEXPECTED: " limit rate 5/minute
     }
   }

流程

1. 编辑 /etc/sysconfig/nftables.conf 文件。

   • 如果您在安装 nftables 软件包时增强了在 /etc/nftables/ 中创建的 *.nft 脚本，请取消对这些脚本的 include 语句的注释。

   • 如果您从头开始编写脚本，请添加 include 语句来包含这些脚本。例如，要在 nftables 服务启动时载入 /etc/nftables/example.nft 脚本，请添加：

     include "/etc/nftables/example.nft"

2. （可选）启动 nftables 服务来载入防火墙规则，而不用重启系统：

   # systemctl start nftables

3. 启用 nftables 服务。

   # systemctl enable nftables

流程

1. 使用 nft add table 命令来创建新表。例如，要创建一个名为 example_table 、用来处理 IPv4 和 IPv6 数据包的表：

   # nft add table inet example_table

2. 另外，还可列出规则集中的所有表：

   # nft list tables
   table inet example_table

流程

1. 使用 nft add chain 命令来创建新链。例如，要在 example_table 中创建一个名为 example_chain 的链：

   # nft add chain inet example_table example_chain { type filter hook input priority 0 \; policy accept \; }

   重要

   为避免 shell 将分号解析为命令的结尾，请在分号前加上 \ 转义字符。

   这个链过滤传入的数据包。priority 参数指定 nftables 进程处理相同 hook 值的链的顺序。较低优先级的值优先于优先级更高的值。policy 参数设置此链中规则的默认操作。请注意，如果您远程登录到服务器，并将默认策略设置为 drop，如果没有其他规则允许远程访问，则会立即断开连接。

2. 另外，还可以显示所有链：

   # nft list chains
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
     }
   }

流程

1. 要添加新的规则，请使用 nft add rule 命令。例如，要在 example_table 的 example_chain 中添加一条允许端口 22 上 TCP 流量的规则：

   # nft add rule inet example_table example_chain tcp dport 22 accept

   您可以选择指定服务名称而不是端口号。在该示例中，您可以使用 ssh 而不是端口号 22。请注意，会根据其在 /etc/services 文件中的条目将服务名称解析为端口号。

2. 另外，还可在 example_table 中显示所有的链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ...
       tcp dport ssh accept
     }
   }

流程

1. 要插入新规则，请使用 nft insert rule 命令。例如，要在 example_table 的 example_chain 中插入一条允许端口 22 上 TCP 流量的规则：

   # nft insert rule inet example_table example_chain tcp dport 22 accept

   您还可以指定服务名称而不是端口号。在该示例中，您可以使用 ssh 而不是端口号 22。请注意，会根据其在 /etc/services 文件中的条目将服务名称解析为端口号。

2. 另外，还可在 example_table 中显示所有的链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept
       ...
     }
   }

流程

1. 使用 nft -a list ruleset 命令显示 example_table 中的所有的链及其规则，包括它们的句柄：

   # nft -a list table inet example_table
   table inet example_table { # handle 1
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       tcp dport 389 accept # handle 4
     }
   }

   使用 -a 显示句柄。您需要此信息才能在后续步骤中定位新规则。

2. 在 example_table 的 example_chain 链中插入新规则 ：

   • 要在句柄 3 前插入一条允许端口 636 上TCP 流量的规则，请输入：

     # nft insert rule inet example_table example_chain position 3 tcp dport 636 accept

   • 要在句柄 3 后添加一条允许端口 80 上 TCP 流量的规则，请输入：

     # nft add rule inet example_table example_chain position 3 tcp dport 80 accept

3. 另外，还可在 example_table 中显示所有的链及其规则：

   # nft -a list table inet example_table
   table inet example_table { # handle 1
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       tcp dport 389 accept # handle 4
     }
   }

流程

1. 创建一个表：

   # nft add table nat

2. 将 prerouting 和 postrouting 链添加到表中：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 prerouting 添加规则，nftables 框架也要求此链与传入的数据包回复匹配。

   请注意，您必须将 -- 选项传给 nft 命令，以避免 shell 将负优先级的值解析为 nft 命令的一个选项。

3. 在 postrouting 链中添加一条与 ens3 接口上的传出数据包匹配的规则：

   # nft add rule nat postrouting oifname "ens3" masquerade

流程

1. 创建一个表：

   # nft add table nat

2. 将 prerouting 和 postrouting 链添加到表中：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 postrouting 链添加规则，nftables 框架也要求此链与传出的数据包回复匹配。

   请注意，您必须将 -- 选项传给 nft 命令，以避免 shell 将负优先级的值解析为 nft 命令的一个选项。

3. 在 postrouting 链中添加一条规则，其将通过 ens3 传出的数据包的源 IP 替换为 192.0.2.1 ：

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

流程

1. 创建一个表：

   # nft add table nat

2. 将 prerouting 和 postrouting 链添加到表中：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 postrouting 链添加规则，nftables 框架也要求此链与传出的数据包回复匹配。

   请注意，您必须将 -- 选项传给 nft 命令，以避免 shell 将负优先级的值解析为 nft 命令的一个选项。

3. 在 prerouting 链中添加一条规则，将发送到端口 80 和 443 的 ens3 接口上的传入流量重定向到 IP 为 192.0.2.1 的主机：

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 根据您的环境，添加 SNAT 或伪装规则以更改源地址：

   1. 如果 ens3 接口使用动态 IP 地址，请添加一条伪装规则：

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. 如果 ens3 接口使用静态 IP 地址，请添加一条 SNAT 规则。例如，如果 ens3 使用 198.51.100.1 IP 地址：

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

流程

1. 创建一个表：

   # nft add table nat

2. 在表中添加 prerouting 链:

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   请注意，您必须将 -- 选项传给 nft 命令，以避免 shell 将负优先级的值解析为 nft 命令的一个选项。

3. 在 prerouting 链中添加一条规则，将端口 22 上的传入流量重定向到端口 2222 ：

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

流程

1. 例如，在 example_table 中的 example_chain 中添加一条规则，允许传入流量流到端口 22、80 和 443 ：

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

2. 另外，还可在 example_table 中显示所有的链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

流程

1. 创建一个空集。以下示例为 IPv4 地址创建了一个集合：

   • 要创建可存储多个独立 IPv4 地址的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • 要创建可存储 IPv4 地址范围的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   重要

   要避免 shell 认为分号作为命令结尾，您必须用反斜杠转义分号。

2. 另外，还可创建使用该集合的规则。例如，以下命令向 example_table 中的 example_chain 添加一条规则，该规则将丢弃来自 example_set 中 IPv4 地址的所有数据包。

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   因为 example_set 仍然为空，因此该规则目前无效。

3. 在 example_set 中添加 IPv4 地址：

   • 如果您创建存储单个 IPv4 地址的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   • 如果您创建存储 IPv4 范围的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     当指定 IP 地址范围时，你也可以使用无类别域间路由(CIDR)标记，如上例中的 192.0.2.0/24。

流程

1. 创建 example_table:

   # nft add table inet example_table

2. 在 example_table 中创建 tcp_packets 链：

   # nft add chain inet example_table tcp_packets

3. 在 tcp_packets 中添加一条计算此链中流量的规则：

   # nft add rule inet example_table tcp_packets counter

4. 在 example_table 中创建 udp_packets 链

   # nft add chain inet example_table udp_packets

5. 在udp_packets 中添加一条计算此链中流量的规则：

   # nft add rule inet example_table udp_packets counter

6. 为传入的流量创建一个链。例如，在 example_table 中创建一个名为 incoming_traffic 的链，用于过滤传入的流量：

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. 在incoming_traffic 中添加一条带有匿名映射的规则：

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   匿名映射区分数据包，并根据它们的协议将它们发送到不同的计数链。

8. 要列出流量计数器，请显示 example_table:

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }

   tcp_packets 和 udp_packets 链中的计数器会显示收到的数据包数和字节数。

流程

1. 创建表。例如，要创建一个名为 example_table 的表来处理 IPv4 数据包：

   # nft add table ip example_table

2. 创建链。例如，要在 example_table 中创建一个名为 example_chain 的链：

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   重要

   要避免 shell 认为分号作为命令结尾，您必须用反斜杠转义分号。

3. 创建一个空的映射。例如，要为 IPv4 地址创建映射：

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. 创建使用该映射的规则。例如，以下命令向 example_table 中的 example_chain 添加了一条规则，它把操作应用到 example_map 中定义的 IPv4 地址上：

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. 在 example_map 中添加 IPv4 地址和相应的操作：

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   这个示例定义了 IPv4 地址到操作的映射。结合上面创建的规则，防火墙会接受来自 192.0.2.1 的数据包，而丢弃来自 192.0.2.2 的数据包。

6. 另外，还可添加另一个 IP 地址和 action 语句来增强映射：

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. （可选）从映射中删除条目：

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. 另外，还可显示规则集：

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }

流程

1. 使用 ip 地址系列创建一个名为 nat 的表：

   # nft add table ip nat

2. 将 prerouting 和 postrouting 链添加到表中：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }

   注意

   将 -- 选项传给 nft 命令，以避免 shell 将负优先级的值解析为 nft 命令的一个选项。

3. 在 prerouting 链中添加一条规则，将端口 8022 上传入的数据包重定向到本地端口 22 ：

   # nft add rule ip nat prerouting tcp dport 8022 redirect to :22

流程

1. 使用 ip 地址系列创建一个名为 nat 的表：

   # nft add table ip nat

2. 将 prerouting 和 postrouting 链添加到表中：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }

   注意

   将 -- 选项传给 nft 命令，以避免 shell 将负优先级的值解析为 nft 命令的一个选项。

3. 在 prerouting 链中添加一条规则，将端口 443 上传入的数据包重定向到 192.0.2.1 上的同一端口：

   # nft add rule ip nat prerouting tcp dport 443 dnat to 192.0.2.1

4. 在 postrouting 链中添加一条规则来伪装传出的流量：

   # nft add rule ip daddr 192.0.2.1 masquerade

5. 启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

流程

1. 添加一条规则，该规则只允许从 IPv4 地址同时连接到 SSH 端口（22），并从同一 IP 拒绝所有后续连接：

   # nft add rule ip example_table example_chain tcp dport ssh meter example_meter { ip saddr ct count over 2 } counter reject

2. 另外，还可以显示上一步中创建的 meter：

   # nft list meter ip example_table example_meter
   table ip example_table {
     meter example_meter {
       type ipv4_addr
       size 65535
       elements = { 192.0.2.1 : ct count over 2 , 192.0.2.2 : ct count over 2  }
     }
   }

   elements 条目显示目前与该规则匹配的地址。在本例中，elements 列出了与 SSH 端口有活动连接的 IP 地址。请注意，输出不会显示活跃连接的数量，或者连接是否被拒绝。

流程

1. 使用 ip 地址系列创建 filter 表：

   # nft add table ip filter

2. 在 filter 表中添加 input 链：

   # nft add chain ip filter input { type filter hook input priority 0 \; }

3. 在 filter 表中添加名为 denylist 的集合：

   # nft add set ip filter denylist { type ipv4_addr \; flags dynamic, timeout \; timeout 5m \; }

   这个命令为 IPv4 地址创建动态设置。timeout 5m 参数定义了 nftables 在 5 分钟后自动删除集合中的条目。

4. 添加一条规则，该规则会将在一分钟内试图建立十多个新 TCP 连接的主机的源 IP 地址添加到 denylist 集合中：

   # nft add rule ip filter input ip protocol tcp ct state new, untracked limit rate over 10/minute add @denylist { ip saddr }

5. 添加一条规则，其丢弃来自 denylist 集合中的 IP 地址的所有连接：

   # nft add rule ip filter input ip saddr @denylist drop

流程

1. 在链中添加带有 counter 参数的新规则。以下示例添加一个带有计数器的规则，它允许端口 22 上的 TCP 流量，并计算与这个规则匹配的数据包和网络数据的数量：

   # nft add rule inet example_table example_chain tcp dport 22 counter accept

2. 显示计数器值：

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

流程

1. 在链中显示规则及其句柄：

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. 通过将规则替换为 counter 参数来添加计数器。以下示例替换了上一步中显示的规则并添加计数器：

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 counter accept

3. 显示计数器值：

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

流程

1. 在链中显示规则及其句柄：

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. 通过将规则替换为 meta nftrace set 1 参数来添加追踪功能。以下示例替换了上一步中显示的规则并启用追踪：

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 meta nftrace set 1 accept

3. 使用 nft monitor 命令来显示追踪。以下示例过滤命令的输出，来显示只包含 inet example_table example_chain 的条目：

   # nft monitor | grep "inet example_table example_chain"
   trace id 3c5eb15e inet example_table example_chain packet: iif "enp1s0" ether saddr 52:54:00:17:ff:e4 ether daddr 52:54:00:72:2f:6e ip saddr 192.0.2.1 ip daddr 192.0.2.2 ip dscp cs0 ip ecn not-ect ip ttl 64 ip id 49710 ip protocol tcp ip length 60 tcp sport 56728 tcp dport ssh tcp flags == syn tcp window 64240
   trace id 3c5eb15e inet example_table example_chain rule tcp dport ssh nftrace set 1 accept (verdict accept)
   ...

   警告

   根据启用追踪的规则的数量以及匹配的流量数量，nft monitor 命令可能产生大量的输出。使用 grep 或其他工具来过滤输出。