流程

1. 验证 firewalld 服务的永久配置：

   # firewall-cmd --check-config
   success

   如果永久配置有效，则该命令返回 success。在其他情况下，命令返回一个带有更多详情的错误，如下所示：

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

流程

1. 查看服务的状态：

   # firewall-cmd --state

2. 如需有关服务状态的更多信息，请使用 systemctl status 子命令：

   # systemctl status firewalld
   firewalld.service - firewalld - dynamic firewall daemon
      Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor pr
      Active: active (running) since Mon 2017-12-18 16:05:15 CET; 50min ago
        Docs: man:firewalld(1)
    Main PID: 705 (firewalld)
       Tasks: 2 (limit: 4915)
      CGroup: /system.slice/firewalld.service
              └─705 /usr/bin/python3 -Es /usr/sbin/firewalld --nofork --nopid

流程

1. 要立即禁用网络流量，请切换 panic 模式：

   # firewall-cmd --panic-on

   重要

   启用 panic 模式可停止所有网络流量。因此，只有当您具有对机器的物理访问权限或使用串行控制台登录时，才应使用它。

2. 关闭 panic 模式会使防火墙恢复到其永久设置。要关闭 panic 模式，请输入：

   # firewall-cmd --panic-off

流程

1. 检查该服务是否还未被允许：

   # firewall-cmd --list-services
   ssh dhcpv6-client

2. 列出所有预定义的服务：

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...
   [trimmed for clarity]

3. 在允许的服务中添加服务：

   # firewall-cmd --add-service=<service-name>

4. 使新设置持久：

   # firewall-cmd --runtime-to-permanent

流程

1. 启用或禁用预定义或自定义服务：

   1. 启动 firewall-config 工具，并选择要配置其服务的网络区。
   2. 选择 Zones 选项卡，然后选择下面的 Services 选项卡。
   3. 选择您要信任的每种服务类型的复选框，或者清除复选框以阻止所选区中的服务。

2. 编辑服务：

   1. 启动 firewall-config 工具。
   2. 从标有 Configuration 的菜单中选择 Permanent。其它图标和菜单按钮会出现在服务窗口底部。
   3. 选择您要配置的服务。

1. 运行以下命令以添加新和空服务：

   $ firewall-cmd --new-service=service-name --permanent

2. 要使用本地文件添加新服务，请使用以下命令：

   $ firewall-cmd --new-service-from-file=service-name.xml --permanent

   您可以使用额外的 --name=service-name 选项来更改服务名称。

3. 更改服务设置后，服务的更新副本放在 /etc/firewalld/services/ 中。

   作为 root 用户，您可以输入以下命令来手动复制服务：

   # cp /usr/lib/firewalld/services/service-name.xml /etc/firewalld/services/service-name.xml

流程

1. 启动 firewall-config 工具，并选择要更改其设置的网络区。
2. 选择 Ports 选项卡，然后点击右侧的 Add 按钮。此时会打开 端口和协议 窗口。
3. 输入要允许的端口号或者端口范围。
4. 从列表中选择 tcp 或 udp。

流程

1. 启动 firewall-config 工具，并选择要更改其设置的网络区。
2. 选择 Protocols 选项卡，然后点击右侧的 Add 按钮。此时会打开 协议 窗口。
3. 从列表中选择协议，或者选择 Other Protocol 复选框，并在字段中输入协议。

流程

1. 启动 firewall-config 工具并选择要更改的网络区。
2. 选择 Source Port 选项卡，然后点击右侧的 Add 按钮。源端口 窗口将打开。
3. 输入要允许的端口号或者端口范围。从列表中选择 tcp 或 udp。

1. 列出所有允许的端口：

   # firewall-cmd --list-ports

2. 在允许的端口中添加一个端口，以便为入站流量打开这个端口：

   # firewall-cmd --add-port=port-number/port-type

   端口类型为 tcp、udp、sctp 或 dccp。这个类型必须与网络通信的类型匹配。

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   端口类型为 tcp、udp、sctp 或 dccp。这个类型必须与网络通信的类型匹配。

1. 列出所有允许的端口：

   # firewall-cmd --list-ports

   警告

   这个命令只为您提供已打开作为端口的端口列表。您将无法看到作为服务打开的任何打开端口。因此，您应该考虑使用 --list-all 选项而不是 --list-ports。

2. 从允许的端口中删除端口，以便对传入的流量关闭：

   # firewall-cmd --remove-port=port-number/port-type

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 查看系统中有哪些可用区：

   # firewall-cmd --get-zones

   firewall-cmd --get-zones 命令显示系统上所有可用的区，但不显示特定区的详情。

2. 查看所有区的详细信息：

   # firewall-cmd --list-all-zones

3. 查看特定区的详细信息：

   # firewall-cmd --zone=zone-name --list-all

1. 显示当前的默认区：

   # firewall-cmd --get-default-zone

2. 设置新的默认区：

   # firewall-cmd --set-default-zone zone-name

   注意

   按照此流程，设置是一个永久设置，即使没有 --permanent 选项。

1. 列出活跃区以及分配给它们的接口：

   # firewall-cmd --get-active-zones

2. 为不同的区分配接口：

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

流程

1. 将区分配给 NetworkManager 连接配置文件：

   # nmcli connection modify profile connection.zone zone_name

2. 激活连接：

   # nmcli connection up profile

流程

1. 创建一个新区：

   # firewall-cmd --permanent --new-zone=zone-name

2. 检查是否在您的永久设置中添加了新的区：

   # firewall-cmd --get-zones

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

1. 列出特定区的信息以查看默认目标：

   # firewall-cmd --zone=zone-name --list-all

2. 在区中设置一个新目标：

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones

2. 将源 IP 添加到持久性模式的信任区中：

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 列出所需区的允许源：

   # firewall-cmd --zone=zone-name --list-sources

2. 从区永久删除源：

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones
   block dmz drop external home internal public trusted work

2. 将 IP 范围添加到 internal 区，来将来自源的流量通过区：

   # firewall-cmd --zone=internal --add-source=192.0.2.0/24

3. 在 internal 区中添加 http 服务：

   # firewall-cmd --zone=internal --add-service=http

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 创建新策略。

   # firewall-cmd --permanent --new-policy podmanToHost

2. 阻止所有流量。

   # firewall-cmd --permanent --policy podmanToHost --set-target REJECT
   
   # firewall-cmd --permanent --policy podmanToHost --add-service dhcp
   
   # firewall-cmd --permanent --policy podmanToHost --add-service dns

   注意

   红帽建议您默认阻止到主机的所有流量，然后有选择地打开主机所需的服务。

3. 定义与策略一起使用的 ingress 区域。

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

4. 定义与策略一起使用的 egress 区域。

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

流程

1. 要检查是否启用了 IP 伪装（例如，对于 external 区），以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --query-masquerade

   如果已启用，命令将会打印 yes，且退出状态为 0。否则，将打印 no ，退出状态为 1。如果省略了 zone，则将使用默认区。

2. 要启用 IP 伪装，请以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --add-masquerade

3. 要使此设置持久，请将 --permanent 选项传给命令。

4. 要禁用 IP 伪装，请以 root 身份输入以下命令：

   # firewall-cmd --zone=external --remove-masquerade

   要使此设置永久生效，请将 --permanent 选项传给命令。

1. 将区的目标设为 DROP ：

   # firewall-cmd --permanent --set-target=DROP

2. 添加 ICMP 块反转以一次性阻止所有 ICMP 请求：

   # firewall-cmd --add-icmp-block-inversion

3. 为这些您要允许的 ICMP 请求添加 ICMP 块：

   # firewall-cmd --add-icmp-block=<icmptype>

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

1. 将区的目标设为 default 或 ACCEPT ：

   # firewall-cmd --permanent --set-target=default

2. 删除 ICMP 请求的所有添加的块：

   # firewall-cmd --remove-icmp-block=<icmptype>

3. 删除 ICMP 块反转:

   # firewall-cmd --remove-icmp-block-inversion

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 添加一个带有非常低优先级的丰富规则来记录未由其他规则匹配的所有流量：

   # firewall-cmd --add-rich-rule='rule priority=32767 log prefix="UNEXPECTED: " limit value="5/m"'

   这个命令还将日志条目数量限制为每分钟 5 条。

2. 另外，还显示命令在上一步中创建的 nftables 规则：

   # nft list chain inet firewalld filter_IN_public_post
   table inet firewalld {
     chain filter_IN_public_post {
       log prefix "UNEXPECTED: " limit rate 5/minute
     }
   }

流程

1. 在内核中启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

2. 确保您要在它们之间启用区内转发的接口没有分配给不是 internal 区的区：

   # firewall-cmd --get-active-zones

3. 如果接口当前被分配给了不是 internal 的区，请重新分配它：

   # firewall-cmd --zone=internal --change-interface=interface_name --permanent

4. 将 enp1s0 和 wlp0s20 接口添加到 internal 区：

   # firewall-cmd --zone=internal --add-interface=enp1s0 --add-interface=wlp0s20

5. 启用区域内部转发：

   # firewall-cmd --zone=internal --add-forward

1. 登录到与您启用了区转发的主机的 enp1s0 接口在同一网络的主机。

2. 使用 ncat 启动 echo 服务来测试连接：

   # ncat -e /usr/bin/cat -l 12345

3. 登录到与 wlp0s20 接口在同一网络的主机。

4. 连接到在与 enp1s0 在同一网络的主机上运行的 echo 服务器：

   # ncat <other host> 12345

5. 输入一些内容，并按 Enter，然后验证文本是否发送回来。

流程

1. 如果您要在其上执行 playbook 中指令的主机还没有被列入清单，请将此主机的 IP 或名称添加到 /etc/ansible/hosts Ansible 清单文件中：

   node.example.com

2. 使用以下内容创建 ~/reset-firewalld.yml playbook：

   - name: Reset firewalld example
     hosts: node.example.com
     tasks:
       - name: Reset firewalld
         include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - previous: replaced

3. 运行 playbook：

   1. 以 root 用户身份连接到受管节点：

      # ansible-playbook -u root ~/reset-firewalld.yml

   2. 以用户身份连接到受管节点：

      # ansible-playbook -u user_name --ask-become-pass ~/reset-firewalld.yml

      ask-become-pass 选项可确保 ansible-playbook 命令提示输入 -u user_name 选项中定义的用户的 sudo 密码。

流程

1. 创建包含以下内容的 playbook 文件，如 ~/port_forwarding.yml ：

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
     - name: Forward incoming traffic on port 8080 to 443
       include_role:
         name: rhel-system-roles.firewall
   
       vars:
         firewall:
           - { forward_port: 8080/tcp;443;, state: enabled, runtime: true, permanent: true }

2. 运行 playbook：

   # ansible-playbook ~/port_forwarding.yml

流程

1. 创建包含以下内容的 playbook 文件，如 ~/opening-a-a-port.yml ：

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
     - name: Allow incoming HTTPS traffic to the local host
       include_role:
         name: rhel-system-roles.firewall
   
       vars:
         firewall:
           - port: 443/tcp
             service: http
             state: enabled
             runtime: true
             permanent: true

   permanent: true 选项可使新设置在重启后保持不变。

2. 运行 playbook：

   # ansible-playbook ~/opening-a-port.yml

流程

1. 创建包含以下内容的 playbook 文件，如 ~/configuring-a-dmz.yml ：

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
     - name: Creating a DMZ with access to HTTPS port and masquerading for hosts in DMZ
       include_role:
         name: rhel-system-roles.firewall
   
       vars:
         firewall:
           - zone: dmz
             interface: enp1s0
             service: https
             state: enabled
             runtime: true
             permanent: true

2. 运行 playbook：

   # ansible-playbook ~/configuring-a-dmz.yml

流程

1. 将 iptables 和 ip6tables 规则写入一个文件：

   # iptables-save >/root/iptables.dump
   # ip6tables-save >/root/ip6tables.dump

2. 将转储文件转换为 nftables 指令：

   # iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft
   # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft

3. 检查，如果需要，手动更新生成的 nftables 规则。

4. 要启用 nftables 服务来加载生成的文件，请在 /etc/sysconfig/nftables.conf 文件中添加以下内容：

   include "/etc/nftables/ruleset-migrated-from-iptables.nft"
   include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"

5. 停止并禁用 iptables 服务：

   # systemctl disable --now iptables

   如果您使用自定义脚本加载 iptables 规则，请确保脚本不再自动启动并重新引导以刷新所有表。

6. 启用并启动 nftables 服务：

   # systemctl enable --now nftables

流程

1. 编辑 /etc/sysconfig/nftables.conf 文件。

   • 如果您使用 nftables 软件包的安装修改了在 /etc/nftables/ 中创建的 *.nft 脚本，请取消对这些脚本的 include 语句的注释。

   • 如果您编写了新脚本，请添加 include 语句以包含这些脚本。例如，要在 nftables 服务启动时加载 /etc/nftables/example.nft 脚本，请添加：

     include "/etc/nftables/example.nft"

2. 可选：启动 nftables 服务来加载防火墙规则，而无需重启系统：

   # systemctl start nftables

3. 启用 nftables 服务。

   # systemctl enable nftables

流程

1. 使用 inet 地址系列创建一个名为 nftables_svc 的表，以便表可以处理 IPv4 和 IPv6 数据包：

   # nft add table inet nftables_svc

2. 将名为 INPUT 的基本链（用于处理传入的网络流量）添加到 inet nftables_svc 表中：

   # nft add chain inet nftables_svc INPUT { type filter hook input priority filter \; policy accept \; }

   为了避免 shell 将分号解释为命令的结尾，请使用 \ 字符转义分号。

3. 向 INPUT 链中添加规则。例如，允许端口 22 和 443 上的传入 TCP 流量，以及作为 INPUT 链的最后一个规则，拒绝其他带有互联网控制消息协议(ICMP)端口无法访问的消息的流量：

   # nft add rule inet nftables_svc INPUT tcp dport 22 accept
   # nft add rule inet nftables_svc INPUT tcp dport 443 accept
   # nft add rule inet nftables_svc INPUT reject with icmpx type port-unreachable

   如果您输入 nft add rule 命令，nft 会将规则按与运行命令相同的顺序添加规则。

4. 显示包括句柄的当前规则集：

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

5. 在带有句柄 3 的现有规则前面插入规则。例如，要插入一个允许端口 636 上 TCP 流量的规则，请输入：

   # nft insert rule inet nftables_svc INPUT position 3 tcp dport 636 accept

6. 使用句柄 3 在现有规则后面附加规则。例如，要插入一个允许端口 80 上 TCP 流量的规则，请输入：

   # nft add rule inet nftables_svc INPUT position 3 tcp dport 80 accept

7. 再次使用 handle 显示规则集。验证后续添加的规则是否已添加到指定位置：

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       reject # handle 4
     }
   }

8. 删除带有句柄 6 的规则：

   # nft delete rule inet nftables_svc INPUT handle 6

   要删除规则，您必须指定句柄。

9. 显示规则集，并验证删除的规则不再存在：

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

10. 从 INPUT 链中删除所有剩余的规则：

    # nft flush chain inet nftables_svc INPUT

11. 显示规则集，并验证 INPUT 链是否为空：

    # nft list table inet nftables_svc
    table inet nftables_svc {
      chain INPUT {
        type filter hook input priority filter; policy accept
      }
    }

12. 删除 INPUT 链：

    # nft delete chain inet nftables_svc INPUT

    您还可以使用此命令删除仍然包含规则的链。

13. 显示规则集，并验证 INPUT 链已被删除：

    # nft list table inet nftables_svc
    table inet nftables_svc {
    }

14. 删除 nftables_svc 表：

    # nft delete table inet nftables_svc

    您还可以使用此命令删除仍然包含链的表。

    注意

    要删除整个规则集，请使用 nft flush ruleset 命令，而不是手动删除独立命令中的所有规则、链和表。

流程

1. 创建一个表：

   # nft add table nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 prerouting 链中添加规则，nftables 框架也会要求此链与传入的数据包回复匹配。

   请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

3. 向 postrouting 链中添加一条规则，来匹配 ens3 接口上传出的数据包：

   # nft add rule nat postrouting oifname "ens3" masquerade

流程

1. 创建一个表：

   # nft add table nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 postrouting 链添加规则，nftables 框架也会要求此链与传出数据包回复相匹配。

   请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

3. 向 postrouting 链中添加一条规则，该规则将使用 192.0.2.1 替换通过ens3 的传出数据包的源 IP ：

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

流程

1. 创建一个表：

   # nft add table nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 postrouting 链添加规则，nftables 框架也会要求此链与传出数据包回复相匹配。

   请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

3. 向 prerouting 链中添加一条规则，该规则将到路由器的 ens3 接口上端口 80 和 443 的传入流量重定向到 IP 地址为 192.0.2.1 的 Web 服务器：

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 根据您的环境，添加 SNAT 或伪装规则，将从 Web 服务器返回的数据包的源地址改为发送者：

   1. 如果 ens3 接口使用动态 IP 地址，请添加一条伪装规则：

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. 如果 ens3 接口使用静态 IP 地址，请添加一条 SNAT 规则。例如，如果 ens3 使用 198.51.100.1 IP 地址：

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

5. 启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

流程

1. 创建一个表：

   # nft add table nat

2. 向表中添加 prerouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

3. 向 prerouting 链中添加一条规则，其将端口 22 上的传入流量重定向到端口 2222 ：

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

流程

1. 例如，要向 example_table 中的 example_chain 添加一条规则，其允许传入流量到端口 22、80 和 443 ：

   # nft add rule inet example_table example_chain tcp dport { 22, 80, 443 } accept

2. 可选： 在 example_table 中显示所有链及其规则：

   # nft list table inet example_table
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport { ssh, http, https } accept
     }
   }

流程

1. 创建一个空集。以下示例为 IPv4 地址创建了一个集合：

   • 要创建可存储多个独立 IPv4 地址的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; }

   • 要创建可存储 IPv4 地址范围的集合：

     # nft add set inet example_table example_set { type ipv4_addr \; flags interval \; }

   重要

   要防止 shell 将分号解释为命令结尾，您必须使用反斜杠转义分号。

2. 可选：创建使用集合的规则。例如，以下命令向 example_table 中的 example_chain 中添加一条规则，该规则将丢弃 example_set 中来自 IPv4 地址的所有数据包。

   # nft add rule inet example_table example_chain ip saddr @example_set drop

   由于 example_set 仍为空，所以该规则目前不起作用。

3. 向 example_set 中添加 IPv4 地址：

   • 如果您创建存储单个 IPv4 地址的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.1, 192.0.2.2 }

   • 如果您创建存储 IPv4 范围的集合，请输入：

     # nft add element inet example_table example_set { 192.0.2.0-192.0.2.255 }

     当您指定 IP 地址范围时，您可以使用无类别域间路由(CIDR)表示法，如上例中的 192.0.2.0/24。

流程

1. 创建新表：

   # nft add table inet example_table

2. 在 example_table 中创建 tcp_packets 链：

   # nft add chain inet example_table tcp_packets

3. 向统计此链中流量的 tcp_packets 中添加一条规则：

   # nft add rule inet example_table tcp_packets counter

4. 在 example_table 中创建 udp_packets 链

   # nft add chain inet example_table udp_packets

5. 向统计此链中流量的 udp_packets 中添加一条规则：

   # nft add rule inet example_table udp_packets counter

6. 为传入的流量创建一个链。例如，要在过滤传入的流量的 example_table 中创建一个名为 incoming_traffic 的链：

   # nft add chain inet example_table incoming_traffic { type filter hook input priority 0 \; }

7. 添加一条带有到 incoming_traffic 匿名映射的规则 ：

   # nft add rule inet example_table incoming_traffic ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }

   匿名映射区分数据包，并根据它们的协议将它们发送到不同的计数链。

8. 要列出流量计数器，请显示 example_table ：

   # nft list table inet example_table
   table inet example_table {
     chain tcp_packets {
       counter packets 36379 bytes 2103816
     }
   
     chain udp_packets {
       counter packets 10 bytes 1559
     }
   
     chain incoming_traffic {
       type filter hook input priority filter; policy accept;
       ip protocol vmap { tcp : jump tcp_packets, udp : jump udp_packets }
     }
   }

   tcp_packets 和 udp_packets 链中的计数器显示两者接收的数据包和字节数。

流程

1. 创建表。例如，要创建一个处理 IPv4 数据包的、名为 example_table 的表：

   # nft add table ip example_table

2. 创建链。例如，要在 example_table 中创建一个名为 example_chain 的链：

   # nft add chain ip example_table example_chain { type filter hook input priority 0 \; }

   重要

   要防止 shell 将分号解释为命令结尾，您必须使用反斜杠转义分号。

3. 创建一个空的映射。例如，要为 IPv4 地址创建映射：

   # nft add map ip example_table example_map { type ipv4_addr : verdict \; }

4. 创建使用该映射的规则。例如，以下命令向 example_table 中的 example_chain 添加了一条规则，该规则将操作应用到在 example_map 中定义的 IPv4 地址：

   # nft add rule example_table example_chain ip saddr vmap @example_map

5. 向 example_map 添加 IPv4 地址和相应的操作：

   # nft add element ip example_table example_map { 192.0.2.1 : accept, 192.0.2.2 : drop }

   这个示例定义了 IPv4 地址到操作的映射。与以上创建的规则相结合，防火墙接受来自 192.0.2.1 的数据包，丢弃来自 192.0.2.2 的数据包。

6. 可选：通过添加另一个 IP 地址和 action 语句来增强映射：

   # nft add element ip example_table example_map { 192.0.2.3 : accept }

7. 可选：从映射中删除条目：

   # nft delete element ip example_table example_map { 192.0.2.1 }

8. 可选：显示规则集：

   # nft list ruleset
   table ip example_table {
     map example_map {
       type ipv4_addr : verdict
       elements = { 192.0.2.2 : drop, 192.0.2.3 : accept }
     }
   
     chain example_chain {
       type filter hook input priority filter; policy accept;
       ip saddr vmap @example_map
     }
   }

流程

1. 使用以下内容创建 /etc/rsyslog.d/nftables.conf 文件：

   :msg, startswith, "nft drop" -/var/log/nftables.log
   & stop

   使用这个配置，rsyslog 服务会将数据包丢弃到 /var/log/nftables.log 文件中，而不是 /var/log/messages。

2. 重启 rsyslog 服务：

   # systemctl restart rsyslog

3. 使用以下内容创建 /etc/logrotate.d/nftables 文件，以便在大小超过 10 MB 时轮转 /var/log/nftables.log ：

   /var/log/nftables.log {
     size +10M
     maxage 30
     sharedscripts
     postrotate
       /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
     endscript
   }

   maxage 30 设置定义了 logrotate 在下一次轮转操作期间删除超过 30 天的轮转日志。

流程

1. 使用以下内容创建 /etc/nftables/firewall.nft 脚本：

   # Remove all rules
   flush ruleset
   
   
   # Table for both IPv4 and IPv6 rules
   table inet nftables_svc {
   
     # Define variables for the interface name
     define INET_DEV = enp1s0
     define LAN_DEV  = enp7s0
     define DMZ_DEV  = enp8s0
   
   
     # Set with the IPv4 addresses of admin PCs
     set admin_pc_ipv4 {
       type ipv4_addr
       elements = { 10.0.0.100, 10.0.0.200 }
     }
   
   
     # Chain for incoming trafic. Default policy: drop
     chain INPUT {
       type filter hook input priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept incoming traffic on loopback interface
       iifname lo accept
   
       # Allow request from LAN and DMZ to local DNS server
       iifname { $LAN_DEV, $DMZ_DEV } meta l4proto { tcp, udp } th dport 53 accept
   
       # Allow admins PCs to access the router using SSH
       iifname $LAN_DEV ip saddr @admin_pc_ipv4 tcp dport 22 accept
   
       # Last action: Log blocked packets
       # (packets that were not accepted in previous rules in this chain)
       log prefix "nft drop IN : "
     }
   
   
     # Chain for outgoing traffic. Default policy: drop
     chain OUTPUT {
       type filter hook output priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # Accept outgoing traffic on loopback interface
       oifname lo accept
   
       # Allow local DNS server to recursively resolve queries
       oifname $INET_DEV meta l4proto { tcp, udp } th dport 53 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop OUT: "
     }
   
   
     # Chain for forwarding traffic. Default policy: drop
     chain FORWARD {
       type filter hook forward priority filter
       policy drop
   
       # Accept packets in established and related state, drop invalid packets
       ct state vmap { established:accept, related:accept, invalid:drop }
   
       # IPv4 access from LAN and Internet to the HTTPS server in the DMZ
       iifname { $LAN_DEV, $INET_DEV } oifname $DMZ_DEV ip daddr 198.51.100.5 tcp dport 443 accept
   
       # IPv6 access from Internet to the HTTPS server in the DMZ
       iifname $INET_DEV oifname $DMZ_DEV ip6 daddr 2001:db8:b::5 tcp dport 443 accept
   
       # Access from LAN and DMZ to HTTPS servers on the Internet
       iifname { $LAN_DEV, $DMZ_DEV } oifname $INET_DEV tcp dport 443 accept
   
       # Last action: Log blocked packets
       log prefix "nft drop FWD: "
     }
   
   
     # Postrouting chain to handle SNAT
     chain postrouting {
       type nat hook postrouting priority srcnat; policy accept;
   
       # SNAT for IPv4 traffic from LAN to Internet
       iifname $LAN_DEV oifname $INET_DEV snat ip to 203.0.113.1
     }
   }

2. 在 /etc/sysconfig/nftables.conf 文件中包括 /etc/nftables/firewall.nft 脚本：

   include "/etc/nftables/firewall.nft"

3. 启用 IPv4 转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

4. 启用并启动 nftables 服务：

   # systemctl enable --now nftables

验证

1. 可选：验证 nftables 规则集：

   # nft list ruleset
   ...

2. 尝试执行防火墙阻止的访问。例如，尝试使用 DMZ 中的 SSH 访问路由器：

   # ssh router.example.com
   ssh: connect to host router.example.com port 22: Network is unreachable

3. 根据您的日志记录设置，搜索：

   • 阻塞的数据包的 systemd 日志：

     # journalctl -k -g "nft drop"
     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

   • 阻塞的数据包的 /var/log/nftables.log 文件：

     Oct 14 17:27:18 router kernel: nft drop IN : IN=enp8s0 OUT= MAC=... SRC=198.51.100.5 DST=198.51.100.1 ... PROTO=TCP SPT=40464 DPT=22 ... SYN ...

流程

1. 创建一个名为 nat 、具有 ip 地址系列的表：

   # nft add table ip nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }

   注意

   将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解析为 nft 命令的选项。

3. 向 prerouting 链中添加一条规则，将端口 8022 上的传入数据包重定向到本地端口 22 ：

   # nft add rule ip nat prerouting tcp dport 8022 redirect to :22

流程

1. 创建一个名为 nat 、具有 ip 地址系列的表：

   # nft add table ip nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }

   注意

   将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解析为 nft 命令的选项。

3. 向 prerouting 链添加一条规则，该规则将端口 443 上的传入数据包重定向到 192.0.2.1 上的同一端口：

   # nft add rule ip nat prerouting tcp dport 443 dnat to 192.0.2.1

4. 向 postrouting 链中添加一条规则来伪装出站流量：

   # nft add rule ip nat postrouting daddr 192.0.2.1 masquerade

5. 启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

流程

1. 为 IPv4 地址创建动态集合：

   # nft add set inet example_table example_meter { type ipv4_addr\; flags dynamic \;}

2. 添加一条规则，该规则只允许从 IPv4 地址同时连接到 SSH 端口（22），并从同一 IP 拒绝所有后续连接：

   # nft add rule ip example_table example_chain tcp dport ssh meter example_meter { ip saddr ct count over 2 } counter reject

3. 可选：显示上一步中创建的集合：

   # nft list set inet example_table example_meter
   table inet example_table {
     meter example_meter {
       type ipv4_addr
       size 65535
       elements = { 192.0.2.1 ct count over 2 , 192.0.2.2 ct count over 2  }
     }
   }

   elements 条目显示当前与该规则匹配的地址。在本例中，elements 列出了与 SSH 端口有活动连接的 IP 地址。请注意，输出不会显示活跃连接的数量，或者连接是否被拒绝。

流程

1. 创建具有 ip 地址系列的 filter 表：

   # nft add table ip filter

2. 向 filter 表中添加 input 链：

   # nft add chain ip filter input { type filter hook input priority 0 \; }

3. 添加一条规则，其丢弃来自源地址的所有数据包，并尝试在一分钟内建立十个 TCP 连接：

   # nft add rule ip filter input ip protocol tcp ct state new, untracked meter ratemeter { ip saddr timeout 5m limit rate over 10/minute } drop

   timeout 5m 参数定义 nftables 在五分钟后自动删除条目，以防止计量被过时的条目填满。

流程

1. 向链中添加一条带有 counter 参数的新规则。以下示例添加一个带有计数器的规则，它允许端口 22 上的 TCP 流量，并计算与这个规则匹配的数据包和网络数据的数量：

   # nft add rule inet example_table example_chain tcp dport 22 counter accept

2. 显示计数器值：

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

流程

1. 在链中显示规则及其句柄：

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. 通过使用 counter 参数替换规则来添加计数器。以下示例替换了上一步中显示的规则并添加计数器：

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 counter accept

3. 显示计数器值：

   # nft list ruleset
   table inet example_table {
     chain example_chain {
       type filter hook input priority filter; policy accept;
       tcp dport ssh counter packets 6872 bytes 105448565 accept
     }
   }

流程

1. 在链中显示规则及其句柄：

   # nft --handle list chain inet example_table example_chain
   table inet example_table {
     chain example_chain { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport ssh accept # handle 4
     }
   }

2. 通过使用 meta nftrace set 1 参数替换规则来添加追踪功能。以下示例替换了上一步中显示的规则并启用追踪：

   # nft replace rule inet example_table example_chain handle 4 tcp dport 22 meta nftrace set 1 accept

3. 使用 nft monitor 命令来显示追踪。以下示例过滤了命令的输出，来只显示包含 inet example_table example_chain 的条目：

   # nft monitor | grep "inet example_table example_chain"
   trace id 3c5eb15e inet example_table example_chain packet: iif "enp1s0" ether saddr 52:54:00:17:ff:e4 ether daddr 52:54:00:72:2f:6e ip saddr 192.0.2.1 ip daddr 192.0.2.2 ip dscp cs0 ip ecn not-ect ip ttl 64 ip id 49710 ip protocol tcp ip length 60 tcp sport 56728 tcp dport ssh tcp flags == syn tcp window 64240
   trace id 3c5eb15e inet example_table example_chain rule tcp dport ssh nftrace set 1 accept (verdict accept)
   ...

   警告

   根据启用了追踪的规则数量以及匹配流量的数量，nft monitor 命令可以显示很多输出。使用 grep 或其他工具来过滤输出。