Dotaz: nftables - používáte někdo ?

[Jirka]

Ahoj,
používáte tu někdo aktivně nftables nebo stále jedete iptables (debian/ubuntu/arch) ?

Případně, jak vypadá váš firewall ? Sháním vzor

Jirka

Odpovědi

[X]

RTFM

[multi]

Ano

[bigBRAMBOR]

pouzivam na par strojich, na daleko vice iptables. Ale example je tezka vec, na to? Na stanici, na server, na router?

[elenril]

Příloha:

• firewall.nft (18311 bytů)

Před časem jsem konvertoval firewall domácí sítě na nftables. Přikládám lehce anonymizovaný sloučený (skutečné zdrojáky jsou pro přehlednost ve více souborech) výsledek. Používat na vlastní nebezpečí. Bugreports welcome.

[👻]

hele krčmářův seriál na rootu ;D

[otasomil]

Nedavno jsem tu resil nastaveni iptables ip6tables a radili mi pouzit nftables ktery je moderni, s vicero moznostma ale na muj ucel plne postacuje stary ip(6)tables ktery je soucasti instalaci takze jsem u nej zustal.

[kolemjdoucí]

Ano používám, na debianu 10. Řekl jsem si, že než mít na systému nftables a používat je v režimu maskovaném za iptables, tak se vyburcuji a přejdu do nativního režimu. Snažím se u jedné služby řešit i max. počet spojení od klientů a connection rate. Zde mi připadá dokumentace poměrně slabá a nekompletní. Objevuje se i syntaxe z nějaké starší implementace programu nft. A byl jsem tak postupně nucen obrátit se na google a opisovat a zkoušet postupy jiných uživatelů.

[Andrej]

Zdá se, že tohle je otázka z roku 2015, která byla omylem postnutá dnes.

Firewall na Linuxu se jmenuje (už minimálně půl dekády) nftables.

Žádný one-size-fits-all vzor podle mě neexistuje. Na webu se povalují asi tak stovky příkladů pro různé, ba nejrůznější situace (desktop, router, server, přenosné počítače, psací stroje, mlýnky na kávu). Podstatná část konfigurace je spíš věc názorů a preferencí kolem používaných služeb než cokoliv jiného.

table ip nat {
        chain prerouting {
                type nat hook prerouting priority filter; policy accept;
        }

        chain postrouting {
                type nat hook postrouting priority srcnat; policy accept;
                oifgroup 72 snat to XXX.XXX.XXX.XXX
        }
}
table inet filter {
        chain input {
                type filter hook input priority filter; policy accept;
                ip6 nexthdr esp meta mark set meta mark | 0x00000101
                ip protocol esp meta mark set meta mark | 0x00000101
                meta mark & 0x00000101 == 0x00000101 accept
                ct state { established, related } accept
                ct state invalid drop
                iif "lo" accept
                iifgroup 99 accept
                iifgroup 72 jump outer_spoof
                tcp dport { 22, 25, 53, 80, 110, 143, 443, 465, 853, 993, 5222, 5269, 9418, 22200-22202 } accept
                udp dport { 53, 500, 546, 4500 } accept
                udp sport 547 accept
                udp sport 123 udp dport 123 accept
                ip6 nexthdr ipv6-icmp accept
                ip protocol icmp accept
                udp sport 67 udp dport 68 accept
                ip6 saddr fe80::/10 tcp dport 546 accept
                ip6 saddr fe80::/10 udp dport 546 accept
                reject
        }

        chain forward {
                type filter hook forward priority filter; policy accept;
                ip6 nexthdr esp meta mark set meta mark | 0x00000101
                ip protocol esp meta mark set meta mark | 0x00000101
                meta mark & 0x00000101 == 0x00000101 accept
                ct state { established, related } accept
                ct state invalid drop
                iifgroup 99 accept
                iifgroup 72 jump outer_spoof
                oifgroup 72 tcp flags syn tcp option maxseg size set rt mtu
                tcp dport { 22 } accept
                ip6 nexthdr ipv6-icmp accept
                ip protocol icmp accept
                reject
        }

        chain output {
                type filter hook output priority filter; policy accept;
        }

        chain outer_spoof {
                ip saddr 10.79.0.0/16 drop
                ip6 saddr XXXX:XXXX:XXXX::/48 drop
                return
        }
}

[...]

Na webu se sice něco povaluje, ale žádná velká sláva to není. Pro zařízení s jedním interfacem si zájemce příklady najde. Ale pro jiné případy je to slabší. Zato jsem zaznamenal dotazy typu: "Existuje něco, čím by se dal firewall z nftables sestavit? Něco jako shorewall." Ale nic takového, zdá se, není. Dokumentace k nftables není zase tak podrobná, zato možnosti konfigurace jsou dost rozsáhlé, takže se vsadím, že firewall na linuxu se dnes jmenuje převážně iptables.

[bigBRAMBOR]

firewalld - pak mas pravidla porad stejna, jestli je pod tim iptables, nftables nebo kombinace. A ja ho vsude vypinam a resim bude pres iptables nebo nftables.