Межсетевые экраны и nftables

Объектная модель nftables: таблицы, цепочки, хуки, правила.

nftables заменяет iptables, ip6tables, arptables и ebtables единым унифицированным фреймворком. Вся политика живёт в этой иерархии:

# Показать весь текущий набор правил:
sudo nft list ruleset

# Если ничего не настроено — вывод пуст.
# Заполненный набор правил выглядит так:
# table inet filter {
#     chain input {
#         type filter hook input priority filter; policy drop;
#         iif "lo" accept
#         ct state established,related accept
#         tcp dport 22 accept
#     }
#     chain forward {
#         type filter hook forward priority filter; policy drop;
#     }
#     chain output {
#         type filter hook output priority filter; policy accept;
#     }
# }

# Объектная модель:
# table  = пространство имён; family = inet (IPv4+IPv6), ip, ip6, arp, bridge
# chain  = упорядоченный список правил; привязана к хуку netfilter
# hook   = точка в пути пакета в ядре:
#          input    = пакеты, адресованные этому хосту
#          forward  = пакеты, маршрутизируемые через этот хост
#          output   = пакеты, исходящие от этого хоста
#          prerouting / postrouting = до/после решения о маршрутизации (NAT)
# rule   = условие + вердикт (accept / drop / reject / jump / goto)
# policy = вердикт по умолчанию, когда ни одно правило не совпало (accept или drop)

Написание минимального default-deny набора правил.

# Создать таблицу (inet = применяется к IPv4 и IPv6):
sudo nft add table inet filter

# Добавить input-цепочку с политикой default-deny:
sudo nft add chain inet filter input \
  '{ type filter hook input priority 0; policy drop; }'

# Правило 1: всегда разрешать loopback (lo) — нарушение ломает localhost:
sudo nft add rule inet filter input iif lo accept

# Правило 2: разрешить установленные/связанные соединения (возвратный трафик):
sudo nft add rule inet filter input ct state established,related accept

# Правило 3: разрешить новые SSH-соединения:
sudo nft add rule inet filter input tcp dport 22 accept

# Правило 4 (опционально): разрешить веб-сервер:
sudo nft add rule inet filter input tcp dport { 80, 443 } accept

# Добавить output и forward цепочки:
sudo nft add chain inet filter forward \
  '{ type filter hook forward priority 0; policy drop; }'
sudo nft add chain inet filter output \
  '{ type filter hook output priority 0; policy accept; }'

# Проверить весь набор правил:
sudo nft list ruleset

Правило ct state established,related accept критично — без него возвратные пакеты твоей SSH-сессии (ответы ядра на TCP-сегменты клиента) сбрасываются политикой default-deny, и соединение зависает сразу после установки правила.

Сохранение правил nftables после перезагрузки.

Правила, добавленные через nft add, живут только в памяти ядра. При перезагрузке они исчезают.

# Сохранить текущий набор правил в файл:
sudo nft list ruleset > /etc/nftables.conf

# Файл — валидный nft-скрипт. Содержимое:
# #!/usr/sbin/nft -f
# table inet filter {
#     chain input { ... }
#     chain forward { ... }
#     chain output { ... }
# }

# Загрузить набор правил из файла (заменяет текущие правила):
sudo nft -f /etc/nftables.conf

# Включить systemd-сервис для загрузки правил при загрузке:
sudo systemctl enable nftables
sudo systemctl start nftables
# nftables.service запускает: nft -f /etc/nftables.conf при старте

# Проверить файл без применения:
sudo nft -c -f /etc/nftables.conf
# -c = только проверка, не загружать

nftables.service на Debian/Ubuntu по умолчанию загружает /etc/nftables.conf. Проверь файл сервиса для уточнения пути: systemctl cat nftables.

firewalld: высокоуровневый менеджер поверх nftables.

На RHEL/Fedora и всё чаще на Debian firewalld предоставляет зонально-ориентированную абстракцию поверх nftables (до firewalld 0.6 управлял iptables; начиная с 0.6 по умолчанию нацелен на nftables).

# Концепции firewalld:
# zone    = уровень доверия, применяемый к интерфейсу или источнику
#           (public, internal, trusted, drop, block, work, home, dmz, external)
# service = именованный набор портов/протоколов (ssh = tcp/22, http = tcp/80, ...)

# Проверить статус:
sudo firewall-cmd --state
# running

# Список активных зон и их интерфейсов:
sudo firewall-cmd --get-active-zones
# public
#   interfaces: ens3

# Что разрешено в зоне public:
sudo firewall-cmd --zone=public --list-all
# public (active)
#   target: default
#   interfaces: ens3
#   services: dhcpv6-client ssh

# Постоянно разрешить HTTP:
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --reload

# Разрешить конкретный порт:
sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
sudo firewall-cmd --reload

# НЕ смешивай сырые nft-правила с firewalld — firewalld перестраивает
# набор правил nftables при перезагрузке и перезапишет любые вручную
# добавленные правила.
sudo nft list ruleset | head -5
# table inet firewalld { ... }   ← firewalld владеет этой таблицей

Чтение и отладка существующего набора правил.

# Полный дамп набора правил — источник истины:
sudo nft list ruleset

# Список одной таблицы:
sudo nft list table inet filter

# Список одной цепочки:
sudo nft list chain inet filter input

# Добавить правило со счётчиком — сколько пакетов совпало:
sudo nft add rule inet filter input tcp dport 443 counter accept
sudo nft list chain inet filter input
# tcp dport 443 counter packets 847 bytes 51234 accept

# Удалить конкретное правило по его handle (показывается флагом --handle):
sudo nft list chain inet filter input --handle
# tcp dport 22 accept  # handle 3
sudo nft delete rule inet filter input handle 3

# Очистить (удалить все правила) цепочки без удаления самой цепочки:
sudo nft flush chain inet filter input

# Удалить всю таблицу:
sudo nft delete table inet filter