Linux nftables 命令使用详解

简介

nftablesiptables、ip6tables、arptables和ebtables 的继承者,用于管理 Linux 中的包过滤和网络地址转换。它提供了一种更现代、更灵活和更有效的方式来配置防火墙,取代了旧的工具。

nftablesLinux 内核 3.13 及以上版本中可用,它是 nft 包的一部分。用于配置 nftables 的主要命令行工具是 nft

基本概念

  • Tables:用于组织规则的容器。每个表可以有一个或多个链,并且链可以处理不同类型的数据包(输入、输出、转发)

  • Chains:链包含处理数据包的规则。链的示例包括输入、输出、转发等

  • Rules:规则定义如何处理匹配的数据包(例如,接受、丢弃或记录)

  • Sets:集合是 IP 地址或端口等值的集合,使规则定义更加高效

  • Hooks:这些指定在数据包流(输入、输出、转发)的哪个点应用链

命令结构

shell 复制代码
sudo nft [add|delete|list] [table family] [object] [options]
  • add:添加规则、表或链

  • delete:删除规则、表或链

  • list:列出当前规则集

示例用法

检查当前 nftables 配置

列出当前的完整规则集,包括表、链和规则

shell 复制代码
sudo nft list ruleset

创建新表

将在 inet 系列(支持 IPv4 和 IPv6)中创建一个名为 filter 的表

shell 复制代码
sudo nft add table inet filter
  • inet:包含了 ipv4 和 ipv6

  • ip:对于 IPv4

  • ip6:对于 IPv6

  • arp:对于 ARP 数据包

  • bridge:对于以太网帧

向表添加链

shell 复制代码
sudo nft add chain inet filter input { type filter hook input priority 0 \; }
  • input:链的名称

  • type filter:链类型(可以是filter,nat,mangle等等)

  • hook input:链与数据包流(例如,输入、输出、转发)相连接的点

  • priority 0:链的优先级(当一个钩子上有多个链可用时使用)

向链中添加规则

此规则允许端口 22 (SSH) 上的传入 TCP 流量

shell 复制代码
sudo nft add rule inet filter input tcp dport 22 accept
  • tcp dport 22:匹配目标端口为 22 的 TCP 数据包

  • accept:对匹配的数据包采取的操作

删除规则

要从链中删除特定规则

shell 复制代码
sudo nft delete rule inet filter input handle 5

删除链

shell 复制代码
sudo nft delete chain inet filter input

删除表

shell 复制代码
sudo nft delete table inet filter

刷新表中的所有规则

要删除特定表中的所有规则

shell 复制代码
sudo nft flush table inet filter

保存当前 nftables 配置

shell 复制代码
sudo nft list ruleset > /etc/nftables.conf

要在启动时应用保存的配置

shell 复制代码
sudo systemctl enable nftables
sudo systemctl start nftables

立即应用更改

shell 复制代码
sudo nft -f /etc/nftables.conf

使用集合

集合是一组可用于规则的值(例如 IP 地址、端口)。通过将多个值组合在一起,可以提高性能和可读性

  • 创建一组 IP 地址
shell 复制代码
sudo nft add set inet filter my_ips { type ipv4_addr \; }
  • 要将 IP 地址添加到此集合
shell 复制代码
sudo nft add element inet filter my_ips { 192.168.1.1, 192.168.1.2 }
  • 在规则中引用此集合
shell 复制代码
sudo nft add rule inet filter input ip saddr @my_ips accept

NAT(网络地址转换)

  • 创建 NAT 表
shell 复制代码
sudo nft add table ip nat
  • 为 NAT 添加后路由链
shell 复制代码
sudo nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }
  • 添加规则在访问互联网时伪装(隐藏)内部 IP
shell 复制代码
sudo nft add rule ip nat postrouting oifname "eth0" masquerade

使用日志操作记录特定的数据包

这会记录输入链中发往 192.168.1.100 的所有数据包

shell 复制代码
sudo nft add rule inet filter input ip daddr 192.168.1.100 log

阻止传入的 SSH 连接

shell 复制代码
sudo nft add rule inet filter input tcp dport 22 drop

允许 HTTP 和 HTTPS 流量

shell 复制代码
sudo nft add rule inet filter input tcp dport { 80, 443 } accept

允许特定 IP 地址

shell 复制代码
sudo nft add rule inet filter input ip saddr 192.168.1.100 accept

丢弃所有传入流量(默认拒绝)

shell 复制代码
sudo nft add rule inet filter input drop
相关推荐
牧以南歌〆3 小时前
在Ubuntu主机中修改ARM Linux开发板的根文件系统
linux·arm开发·驱动开发·ubuntu
夜月yeyue4 小时前
设计模式分析
linux·c++·stm32·单片机·嵌入式硬件
kfepiza5 小时前
Debian的`/etc/network/interfaces`的`allow-hotplug`和`auto`对比讲解 笔记250704
linux·服务器·网络·笔记·debian
cuijiecheng20186 小时前
Ubuntu下布署mediasoup-demo
linux·运维·ubuntu
独行soc7 小时前
2025年渗透测试面试题总结-2025年HW(护网面试) 33(题目+回答)
linux·科技·安全·网络安全·面试·职场和发展·护网
java龙王*8 小时前
开放端口,开通数据库连接权限,无法连接远程数据库 解决方案
linux
bcbobo21cn9 小时前
Linux命令的命令历史
linux·histsize·histfile
jingyu飞鸟9 小时前
linux系统源代码安装apache、编译隐藏版本号
linux·运维·apache
世事如云有卷舒9 小时前
Ubunt20.04搭建GitLab服务器,并借助cpolar实现公网访问
linux·服务器·gitlab
2401_8582861110 小时前
OS15.【Linux】gdb调试器的简单使用
linux·运维·服务器·开发语言·gdb