Administration

Статья подготовлена в преддверии старта курса Администратор Linux

В Red Hat Enterprise Linux 8 приоритетным низкоуровневым решением является nftables. В этой статье мы поговорим о том, как начать использовать nftables. Наиболее актуальной она будет для системных администраторов и DevOps-специалистов. Там, где это имеет смысл, мы поговорим о различиях между nftables и его предшественником iptables.

Для начала необходимо отметить, что nftables это userland-утилита, nft и подсистема ядра. Внутри ядра она строится на базе подсистемы netfilter. В этой статье мы будем говорить о взаимодействии пользователя с утилитой nft.

Здесь вы найдете примеры команд, которые сможете протестировать на машине. Они будут полезны для лучшего понимания содержания.

Примечание: в этой статье некоторые выходные данные могут быть достаточно длинными, поэтому мы сократим или уберем бесполезные или несущественные части вывода.

Начнем

Итак, как будет выглядеть настройка nftables по-умолчанию? Давайте выясним, выведя весь набор правил.

# nft list ruleset

В результате мы получим ничего. Ладно, это не очень интересно. О чем это говорит?

По умолчанию nftables не создает таблицы и цепочки, в отличие от своего предшественника iptables. Пустой набор правил имеет нулевую стоимость ресурсов. Для сравнения, вспомните iptables, где каждая предварительно созданная таблица и цепочка должны были учитываться, а базовые счетчики пакетов увеличивались, даже если в них было пусто.

Создание таблиц

В nftables вам понадобится создавать таблицы вручную. Таблицы должны определять семейство: ip, ip6, inet, arp, bridge или netdev. Здесь inet означает, что таблица будет обрабатывать пакеты ipv4 и ipv6. Именно это семейство мы и будем использовать в статье.

Примечание: Для тех, кто переходит с iptables, термин таблица может звучать неоднозначно. В nftables таблица просто пространство имен, ни больше, ни меньше. По сути, она представляет из себя набор цепочек, правил, наборов и иных объектов.

Давайте создадим нашу первую таблицу и перечислим набор правил.

# nft add table inet my_table# nft list rulesettable inet my_table {}

Отлично, теперь у нас есть таблица, но сама по себе она мало что дает. Давайте перейдем к цепочкам.

Создание цепочек

Цепочки объекты, которые будут содержать правила брандмауэра.

По аналогии с таблицами, цепочки также нужно создавать вручную. При создании цепочки необходимо указать, к какой таблице она относится, а также тип, хук и приоритет. В этом руководстве мы не будем ничего усложнять и используем filter, input, и priority 0 для фильтрации пакетов, предназначенных для хоста.

# nft add chain inet my_table my_filter_chain { type filter hook input priority 0 \; }

Примечание: Обратный слэш () нужен, чтобы shell не интерпретировал скобку как конец команды.

Цепочки также могут быть созданы без указания хука. Созданные таким образом цепочки эквиваленты цепочкам, созданным пользователями в iptables. Правила могут использовать операторы jump или goto для выполнения правил в цепочке. Эта механика полезна для логического разделения правил или для того, чтобы делиться подмножеством правил, которые в противном случае продублировались бы.

# nft add chain inet my_table my_utility_chain

Создание правил

Теперь, когда вы создали таблицу и цепочку, вы можете, наконец, добавить правила для брандмауэра. Давайте добавим правило для разрешения SSH.

# nft add rule inet my_table my_filter_chain tcp dport ssh accept

Здесь следует отметить, что как только мы добавили его в таблицу семейства inet, это единственное правило будет обрабатывать как пакеты IPv4, так и пакеты IPv6.

Глагол add будет добавлять правило в конец цепочки. Также вы можете использовать глагол insert, чтобы добавить правило в начало цепочки.

# nft insert rule inet my_table my_filter_chain tcp dport http accept

Мы добавили два правила, а теперь давайте посмотрим, как будет выглядеть полный набор правил.

# nft list rulesettable inet my_table {    chain my_filter_chain {    type filter hook input priority 0; policy accept;    tcp dport http accept    tcp dport ssh accept    }}

Обратите внимание, что правило http должно отрабатывать раньше правила ssh, поскольку мы использовали выше глагол insert.

Также вы можете добавить правило в произвольное место в цепочке. Есть два способа сделать это.

1. Используйте index, чтобы указать на индекс в списке правил. Использование add добавит новое правило после указанного индекса. Если же вы используете insert, то новое правило будет добавлено перед правилом с заданным индексом. Значения индексов начинаются с 0.

# nft insert rule inet my_table my_filter_chain index 1 tcp dport nfs accept# nft list rulesettable inet my_table {    chain my_filter_chain {    type filter hook input priority 0; policy accept;    tcp dport http accept    tcp dport nfs accept    tcp dport ssh accept    }}# nft add rule inet my_table my_filter_chain index 0 tcp dport 1234 accept# nft list rulesettable inet my_table {    chain my_filter_chain {    type filter hook input priority 0; policy accept;    tcp dport http accept    tcp dport 1234 accept    tcp dport nfs accept    tcp dport ssh accept    }}

Примечание: Использование index с insert по факту эквивалентно опции iptables -I с индексом. Первое, о чем нужно помнить, так это о том, что индексы в nftables начинаются с 0. Во-вторых, индекс должен указывать на существующее правило. То есть писать "nft insert rule index 0" в пустой цепочке недопустимо.

1. Используйте handle, чтобы указать правило, до или после которого нужно вставлять другое правило. Для вставки после используйте глагол add. Чтобы вставить до правила, используйте insert. Вы можете получить handle правил, добавив флаг handle при выводе правил.

# nft --handle list rulesettable inet my_table { # handle 21    chain my_filter_chain { # handle 1    type filter hook input priority 0; policy accept;    tcp dport http accept # handle 3    tcp dport ssh accept # handle 2    }}# nft add rule inet my_table my_filter_chain handle 3 tcp dport 1234 accept# nft insert rule inet my_table my_filter_chain handle 2 tcp dport nfs accept# nft --handle list rulesettable inet my_table { # handle 21    chain my_filter_chain { # handle 1    type filter hook input priority 0; policy accept;    tcp dport http accept # handle 3    tcp dport 1234 accept # handle 8    tcp dport nfs accept # handle 7    tcp dport ssh accept # handle 2    }}

В nftables handle правил стабилен и не изменится до тех пор, пока правило не будет удалено. Так ссылка на правило получается надежнее, чем просто индекс, который может поменяться при вставке другого правила.

Также вы можете получить handle правила во время создания, используя сразу два флага echo и handle. Правило будет выведено в CLI вместе с его handle.

# nft --echo --handle add rule inet my_table my_filter_chain udp dport 3333 acceptadd rule inet my_table my_filter_chain udp dport 3333 accept # handle 4

Примечание: старые версии nftables использовали позицию ключевого слова. С тех пор механика ключевых слов устарела и появился handle.

Удаление правил

Удаление правил выполняется с помощью handle правила по аналогии с командами add и insert выше.

Сначала нужно найти handle правила, которое вы хотите удалить.

# nft --handle list rulesettable inet my_table { # handle 21    chain my_filter_chain { # handle 1    type filter hook input priority 0; policy accept;    tcp dport http accept # handle 3    tcp dport 1234 accept # handle 8    tcp dport nfs accept # handle 7    tcp dport ssh accept # handle 2    }}

Затем используйте этот handle для удаления правила.

# nft delete rule inet my_table my_filter_chain handle 8# nft --handle list rulesettable inet my_table { # handle 21    chain my_filter_chain { # handle 1    type filter hook input priority 0; policy accept;    tcp dport http accept # handle 3    tcp dport nfs accept # handle 7    tcp dport ssh accept # handle 2    }}

Листинг правил

В примерах выше мы выводили весь список правил. Существует много других способов вывести подмножество правил.

Вывести все правила в заданной таблице.

# nft list table inet my_tabletable inet my_table {    chain my_filter_chain {        type filter hook input priority 0; policy accept;        tcp dport http accept        tcp dport nfs accept        tcp dport ssh accept    }}

Вывести правила в заданной цепочке.

# nft list chain inet my_table my_other_chaintable inet my_table {    chain my_other_chain {        udp dport 12345 log prefix "UDP-12345"    }}

Наборы

В nftables есть нативная поддержка наборов. Они могут оказаться полезными, если вы хотите, чтобы правило работало с несколькими IP-адресами, портами, интерфейсами или по любым другим критериям.

Анонимные наборы

Любое правило может иметь inline-наборы. Эта механика полезна для наборов, которые вы не собираетесь изменять.

Например, следующая команда будет разрешать весь трафик с 10.10.10.123 и 10.10.10.231.

# nft add rule inet my_table my_filter_chain ip saddr { 10.10.10.123, 10.10.10.231 } accept# nft list rulesettable inet my_table {    chain my_filter_chain {        type filter hook input priority 0; policy accept;        tcp dport http accept        tcp dport nfs accept        tcp dport ssh accept        ip saddr { 10.10.10.123, 10.10.10.231 } accept    }

Недостатком этого метода является то, что если вам нужно изменить набор, то нужно будет заменять и правило. Чтобы получить мутабельные наборы, нужно использовать именованные наборы.

В качестве другого примера, вместо первых трех правил мы могли бы использовать анонимный набор.

# nft add rule inet my_table my_filter_chain tcp dport { http, nfs, ssh } accept

Примечание: пользователи iptables скорее всего привыкли к использованию ipset. Поскольку в nftables есть собственная нативная поддержка наборов, ipset использовать не нужно.

Именованные наборы

Nftables также поддерживает мутабельные именованные наборы. Для их создания необходимо указать тип элементов, которые будут в них содержаться. Например, типы могут быть такими: ipv4_addr, inet_service, ether_addr.

Давайте создадим пустой набор.

# nft add set inet my_table my_set { type ipv4_addr \; }# nft list setstable inet my_table {    set my_set {    type ipv4_addr    }}

Чтобы сослаться на набор в правиле используйте символ @ и имя набора после него. Следующее правило будет работать как черный список для IP-адресов в нашем наборе.

# nft insert rule inet my_table my_filter_chain ip saddr @my_set drop# nft list chain inet my_table my_filter_chaintable inet my_table {    chain my_filter_chain {    type filter hook input priority 0; policy accept;    ip saddr @my_set drop    tcp dport http accept    tcp dport nfs accept    tcp dport ssh accept    ip saddr { 10.10.10.123, 10.10.10.231 } accept    }}

Конечно, это не особо эффективно, так как в наборе пусто. Давайте добавим в него несколько элементов.

# nft add element inet my_table my_set { 10.10.10.22, 10.10.10.33 }# nft list set inet my_table my_settable inet my_table {    set my_set {    type ipv4_addr    elements = { 10.10.10.22, 10.10.10.33 }    }}

Однако попытка добавить диапазон значений приведет к ошибке.

# nft add element inet my_table my_set { 10.20.20.0-10.20.20.255 }Error: Set member cannot be range, missing interval flag on declarationadd element inet my_table my_set { 10.20.20.0-10.20.20.255 }

Чтобы использовать диапазоны в наборах, нужно создать набор с использованием флагов интервалов. Так нужно, чтобы ядро заранее знало, какой тип данных будет храниться в наборе, чтобы использовать соответствующую структуру данных.

Интервалы в наборах

В наборах также могут использовать диапазоны. Для IP-адресов это может быть крайне полезно. Для использования диапазонов, набор должен быть создан с использованием флагов интервалов.

# nft add set inet my_table my_range_set { type ipv4_addr \; flags interval \; }# nft add element inet my_table my_range_set  { 10.20.20.0/24 }# nft list set inet my_table my_range_settable inet my_table {    set my_range_set {    type ipv4_addr    flags interval    elements = { 10.20.20.0/24 }    }}

Примечание: Нотация маски сети была неявно преобразована в диапазон IP-адресов. Аналогично, мы могли бы написать 10.20.20.0-10.20.20.255 и получить тот же эффект.

Конкатенации наборов

Наборы также поддерживают агрегатные типы и совпадения. То есть элемент набора также может содержать несколько типов, а правило может использовать оператор конкатенации . при обращении к набору.

В этом примере мы сможем сопоставлять IPv4-адреса, IP-протоколы и номера портов одновременно.

# nft add set inet my_table my_concat_set  { type ipv4_addr . inet_proto . inet_service \; }# nft list set inet my_table my_concat_settable inet my_table {    set my_concat_set {    type ipv4_addr . inet_proto . inet_service    }}

Теперь мы можем добавить элементы к списку.

# nft add element inet my_table my_concat_set { 10.30.30.30 . tcp . telnet }

Как видите, символьные имена (tcp, telnet) также можно использовать при добавлении элементов набора.

Использование набора в правиле аналогично именованному набору выше, но правило должно выполнять конкатенацию.

# nft add rule inet my_table my_filter_chain ip saddr . meta l4proto . tcp dport @my_concat_set accept# nft list chain inet my_table my_filter_chaintable inet my_table {    chain my_filter_chain {    ...    ip saddr { 10.10.10.123, 10.10.10.231 } accept    meta nfproto ipv4 ip saddr . meta l4proto . tcp dport @my_concat_set accept    }}

Также стоит отметить, что конкатенация может использоваться с inline-наборами. Вот последний пример, отражающий это.

# nft add rule inet my_table my_filter_chain ip saddr . meta l4proto . udp dport { 10.30.30.30 . udp . bootps } accept

Надеюсь, теперь вы понимаете всю силу наборов nftables.

Примечание: конкатенации наборов nftables аналогичны агрегатным типам ipset, например, hash:ip,port.

Verdict Map

Verdict map это интересная функция в nftables, которая позволит вам выполнить действие, основываясь на информации в пакете. Проще говоря, они сопоставляют критерии с действиями.

Например, чтобы логически разделить набор правил, вам нужны отдельные цепочки для обработки TCP и UDP пакетов. Вы можете использовать verdict map, чтобы направлять пакеты в эти цепочки с помощью одного правила.

# nft add chain inet my_table my_tcp_chain# nft add chain inet my_table my_udp_chain# nft add rule inet my_table my_filter_chain meta l4proto vmap { tcp : jump my_tcp_chain, udp : jump my_udp_chain }# nft list chain inet my_table my_filter_chaintable inet my_table {    chain my_filter_chain {    ...    meta nfproto ipv4 ip saddr . meta l4proto . udp dport { 10.30.30.30 . udp . bootps } accept    meta l4proto vmap { tcp : jump my_tcp_chain, udp : jump my_udp_chain }    }}

Конечно, по аналогии с наборами вы можете создавать мутабельные verdict map.

# nft add map inet my_table my_vmap { type inet_proto : verdict \; }

Ваши глаза вас не обманывают. Синтаксис с наборами и вправду очень схож. По факту, под капотом наборы и verdict map строятся на одном и том же типе данных.

Теперь вы можете использовать мутабельную verdict map в правиле.

# nft add rule inet my_table my_filter_chain meta l4proto vmap @my_vmap

Таблицы как пространства имен

Еще одна интересная вещь о таблицах в nftables это то, что они также являются полноценными пространствами имен. То есть две таблицы могут создавать цепочки, наборы и другие объекты с одинаковыми именами.

# nft add table inet table_one# nft add chain inet table_one my_chain# nft add table inet table_two# nft add chain inet table_two my_chain# nft list ruleset...table inet table_one {    chain my_chain {    }}table inet table_two {    chain my_chain {    }}

Это свойство означает, что приложения могут организовывать правила в своих собственных цепочках, не затрагивая другие приложения. В iptables приложениям было тяжело вносить изменения в брандмауэр, не влияя на другие приложения.

Однако и тут есть один нюанс. Каждый хук таблицы или цепочки можно рассматривать как независимый и отдельный брандмауэр. То есть пакет должен пройти через все, чтобы в итоге быть принятым. Если table_one принимает пакет, его все еще может отклонить table_two. Именно здесь в игру вступает приоритезация хуков. Цепочка с более низким приоритетом гарантированно будет выполнена перед цепочкой с более высоким приоритетом. Если приоритеты равны, то поведение не определено.

Сохранение и восстановление набора правил

Правила nftables можно с легкостью сохранить и восстановить. Вывод list в nft можно использовать в инструменте, чтобы провести восстановление. Именно так работает служба nftables systemd.

Сохранить набор правил

# nft list ruleset > /root/nftables.conf

Восстановить набор правил

# nft -f /root/nftables.conf

Конечно же, вы можете включить службу systemd и восстановить правила при перезагрузке. Служба читает правила из /etc/sysconfig/nftables.conf.

# systemctl enable nftables# nft list ruleset > /etc/sysconfig/nftables.conf

Примечание: некоторые дистрибутивы, включая RHEL-8, отправляют предопределенную конфигурацию nftables в /etc/nftables. Эти сэмплы часто включают в себя конфигурацию таблиц и цепочек в стиле iptables. Они часто указаны в файле /etc/sysconfig/nftables.conf, но могут быть закомментированы.

Заключение

Надеюсь, эта статья стала хорошим введением и демонстрацией возможностей nftables. Однако мы только коснулись поверхности nftables. Есть множество особенностей, которые здесь не затрагивались. Вы можете найти более подробную информацию на странице документации nft и в вики. Помимо этого, вы можете прочитать несколько следующих статей в этом блоге, в которых мы будем говорить о более продвинутых аспектах nftables.

Узнать подробнее о курсе Администратор Linux