nftables 是什么? 提供什么功能? 如何使用?

Nftables Wiki：https://wiki.nftables.org/wiki-nftables/index.php/Main_Page

Nftables HowTo: https://farkasity.gitbooks.io/nftables-howto-zh/content/

第一次看到nftables还是在Centos 8 What's New中，于是就开始研究下nftables到底是什么? 提供什么功能? 如何使用?

What is nftables?

　　nftables is the new packet classification framework that replaces the existing {ip,ip6,arp,eb}_tables infrastructure. 

　　Centos 8已将iptables替换为nftables，因此是时候学习nftables与iptables之间的差异。

　　Centos 8中Firewalld守护进程使用nftables作为默认后端，在Centos 7中使用的是iptables作为后端。

　　nftables简化了双堆栈IPv4/IPv6的管理，它提供了inet基链来允许同时管理IPv4和IPv6流量。

　　nftables基于链式布局比iptables数组布局有更好的性能。

nftables hook

跟netfilter一样，也有下面5个钩子，常用的也就 input/output/forward 三个hook。

                                             Local
                                            process
                                              ^  |      .-----------.
                   .-----------.              |  |      |  Routing  |
                   |           |-----> input /    ---> |  Decision |----> output 
--> prerouting --->|  Routing  |                        .-----------.              
                   | Decision  |                                                     --> postrouting
                   |           |                                                    /
                   .-----------.---------------> forward --------------------------- 

Linux kernel 4.2 中新增了ingress hook，This new hook basically provides an alternative to tc ingress filtering. You still need tc for traffic shaping/queue management.

                                 .-----------.             
                                 |           |-----> input ...
---> ingress ---> prerouting --->|  Routing  |
                                 | Decision  |
                                 |           |
                                 |-----------|-----> forward ...

nftables三个概念：

　　table - 指包含chain的一个容器, 没有特定语义

　　chain - 指包含在一个table里的rule容器

　　rule - 指包含在chain里的action

1、Table

　　table语法

　　　　$ nft list tables [<family>]

　　　　$ nft list table [<family>] <name> [-n] [-a]

　　　　$ nft (add | delete | flush) table [<family>] <name>

　　table语法示例

　　　　- 查询所有表

　　　　　　$ nft list tables

　　　　- 创建inet表

　　　　　　$ nft add table inet tb_01

　　　　- 查询指定表

　　　　　　$ nft list table tb_01 -an

　　　　- 删除表

　　　　　　$ nft delete table inet tb_01

　　　　- 清除表

　　　　　　$ nft flush table inet tb_01

2、Chain

　　Chian可以创建的Type:

　　　　- filter

　　　　- router

　　　　- nat

　　Family支持的Hook:

　　　　- ip/ipv6/inet: prerouting, input, forward, output, postrouting

　　　　- arp: input, output

　　　　- netdev: ingress

　　Priority 参考值：

　　　　- NF_IP_PRI_NAT_DST (-100): destination NAT
            - NF_IP_PRI_FILTER (0): filtering operation, the filter table
            - NF_IP_PRI_SECURITY (50): Place of security table where secmark can be set for example
            - NF_IP_PRI_NAT_SRC (100): source NAT

　　Policy是控制Chian中Flow的默认判决语句:

　　　　- accept

　　　　- drop

　　　　- queue

　　　　- continue

　　　　- return

　　chain语法

　　　　$ nft (add | create) chain [<family>] <table> <name> [ { type <filter|router|nat> hook <hook> [device <device>] priority <priority> ; [policy <policy> ; ] } ]

　　　　$ nft (delete | list | flush) chain [<family>] <table> <name>

            $ nft rename chain [<family>] <table> <name> <newname>

　　chain语法示例

　　　　- 在table中添加type为filter的input chian， 优先级为0，Policy默认的动作为 drop

　　　　　　$ nft add chain inet tb_01 chain_01_input { type filter hook input priority 0 ; policy drop ; }

　　　　- 在table中添加type为filter的output chian， 优先级为0，Policy默认的动作为 accept

　　　　　　$ nft add chain inet tb_01 chain_01_output { type filter hook input priority 0 ; policy accept ; }

3、Rules

　　handle is an internal number that identifies a certain rule.

　　position is an internal number that is used to insert a rule before a certain handle.

      matches 和 statements 因为内容太多，请参考文档 https://wiki.nftables.org/wiki-nftables/index.php/Quick_reference-nftables_in_10_minutes#Rules

　　rule语法

　　　　$ nft add rule [<family>] <table> <chain> <matches> <statements>

　　　　$ nft insert rule [<family>] <table> <chain> [position <position>] <matches> <statements>

　　　　$ nft replace rule [<family>] <table> <chain> [handle <handle>] <matches> <statements>

　　　　$ nft delete rule [<family>] <table> <chain> [handle <handle>]　　

　　rule示例 <更多示例 https://wiki.nftables.org/wiki-nftables/index.php/Simple_rule_management>

　　　　- 在chain里添加规则，开放22端口

　　　　　　$ nft add rule inet tb_01 chain_01_input tcp dport 22 accept

　　　　- 在chain里替换指定规则

　　　　　　$ nft replace rule inet tb_01 chain_01_input handle 2 tcp dport 22 drop

　　　　- 在chain里删除规则

　　　　　　$ nft delete rule inet tb_01 chain_01_input handle 2