原文連結：CentOS 8 都發布了，你還不會用 nftables？

如果你沒有生活在上個世紀，並且是雲端計算或相關領域的一名搬磚者，那你應該聽說最近 CentOS 8 官方正式版已經發布了，CentOS 完全遵守 Red Hat 的再發行政策，並且致力與上游產品在功能上完全相容。CentOS 8 主要改動和 RedHat Enterprise Linux 8 是一致的，基於 Fedora 28 和核心版本 4.18，其中網路方面的主要改動是用 nftables 框架替代 iptables 框架作為預設的網路包過濾工具。如果你還沒有聽說過 nftables，現在是時候學習一下了。

nftables 是一個 netfilter

專案，旨在替換現有的 {ip,ip6,arp,eb}tables 框架，為 {ip,ip6}tables 提供一個新的包過濾框架、一個新的使用者空間實用程式（nft）和一個相容層。它使用現有的鉤子、連結跟蹤系統、使用者空間排隊元件和 netfilter 日誌子系統。

nftables 主要由三個元件組成：核心實現、libnl netlink 通訊和 nftables 使用者空間。 其中核心提供了一個 netlink 配置介面以及執行時規則集評估，libnl 包含了與核心通訊的基本函式，使用者空間可以通過 nft 和使用者進行互動。

本文主要介紹使用者空間命令列工具 nft 的用法。

1. nftables VS iptables

nftables 和 iptables 一樣，由表（table）、鏈（chain）和規則（rule）組成，其中表包含鏈，鏈包含規則，規則是真正的 action。與 iptables 相比，nftables 主要有以下幾個變化：

• iptables 規則的佈局是基於連續的大塊記憶體的，即陣列式佈局；而 nftables 的規則採用鏈式佈局。其實就是陣列和連結串列的區別，好像 Kubernetes 使用者對此應該很興奮？
• iptables 大部分工作在核心態完成，如果要新增新功能，只能重新編譯核心；而 nftables 的大部分工作是在使用者態完成的，新增新功能很 easy，不需要改核心。
• iptables
  有內建的鏈，即使你只需要一條鏈，其他的鏈也會跟著註冊；而 nftables 不存在內建的鏈，你可以按需註冊。由於 iptables 內建了一個數據包計數器，所以即使這些內建的鏈是空的，也會帶來效能損耗。
• 簡化了 IPv4/IPv6 雙棧管理
• 原生支援集合、字典和對映

回到 nftables，先來看一下預設的規則集是啥：

$ nft list ruleset

啥也沒有，果然是沒有內建的鏈啊（如果你關閉了 firewalld 服務）。

2. 建立表

nftables 的每個表只有一個地址簇，並且只適用於該簇的資料包。表可以指定五個簇中的一個：

nftables簇	iptables命令列工具
ip	iptables
ip6	ip6tables
inet	iptables和ip6tables
arp	arptables
bridge	ebtables

inet 同時適用於 IPv4 和 IPv6 的資料包，即統一了 ip 和 ip6 簇，可以更容易地定義規則，下文的示例都將採用 inet 簇。

先建立一個新的表：

$ nft add table inet my_table

列出所有的規則：

$ nft list ruleset
table inet my_table {
}

現在表中還沒有任何規則，需要建立一個鏈來儲存規則。

3. 建立鏈

鏈是用來儲存規則的，和表一樣，鏈也需要被顯示建立，因為 nftables 沒有內建的鏈。鏈有以下兩種型別：

• 常規鏈 : 不需要指定鉤子型別和優先順序，可以用來做跳轉，從邏輯上對規則進行分類。
• 基本鏈 : 資料包的入口點，需要指定鉤子型別和優先順序。

建立常規鏈：

$ nft add chain inet my_table my_utility_chain

建立基本鏈：

$ nft add chain inet my_table my_filter_chain { type filter hook input priority 0 \; }

• 反斜線（\）用來轉義，這樣 shell 就不會將分號解釋為命令的結尾。
• priority 採用整數值，可以是負數，值較小的鏈優先處理。

列出鏈中的所有規則：

$ nft list chain inet my_table my_utility_chain
table inet my_table {
        chain my_utility_chain {
        }
}

$ nft list chain inet my_table my_filter_chain
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
        }
}

4. 建立規則

有了表和鏈之後，就可以建立規則了，規則由語句或表示式構成，包含在鏈中。下面新增一條規則允許 SSH 登入：

$ nft add rule inet my_table my_filter_chain tcp dport ssh accept

add 表示將規則新增到鏈的末尾，如果想將規則新增到鏈的開頭，可以使用 insert。

$ nft insert rule inet my_table my_filter_chain tcp dport http accept

列出所有規則：

$ nft list ruleset
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
                tcp dport http accept
                tcp dport ssh accept
        }
}

注意 http 規則排在 ssh 規則的前面，因為之前使用了 insert。

也可以將規則插入到鏈的指定位置，有兩種方法：

1、 使用 index 來指定規則的索引。add 表示新規則新增在索引位置的規則後面，inser 表示新規則新增在索引位置的規則前面。index 的值從 0 開始增加。

$ nft insert rule inet my_table my_filter_chain index 1 tcp dport nfs accept
$ nft list ruleset
table inet my_table {
     chain my_filter_chain {
             type filter hook input priority 0; policy accept;
             tcp dport http accept
             tcp dport nfs accept
             tcp dport ssh accept
     }
}

$ nft add rule inet my_table my_filter_chain index 0 tcp dport 1234 accept
$ nft list ruleset
table inet my_table {
     chain my_filter_chain {
             type filter hook input priority 0; policy accept;
             tcp dport http accept
             tcp dport 1234 accept
             tcp dport nfs accept
             tcp dport ssh accept
     }
}

index 類似於 iptables 的 -I 選項，但有兩點需要注意：一是 index 的值是從 0 開始的；二是 index 必須指向一個存在的規則，比如 nft insert rule … index 0 就是非法的。

2、 使用 handle 來指定規則的控制代碼。add 表示新規則新增在索引位置的規則後面，inser 表示新規則新增在索引位置的規則前面。handle 的值可以通過引數 --handle 獲取。

$ nft --handle list ruleset
table inet my_table { # handle 10
     chain my_filter_chain { # handle 2
             type filter hook input priority 0; policy accept;
             tcp dport http accept # handle 4
             tcp dport 1234 accept # handle 6
             tcp dport nfs accept # handle 5
             tcp dport ssh accept # handle 3
     }
}

$ nft add rule inet my_table my_filter_chain handle 4 tcp dport 1234 accept
$ nft insert rule inet my_table my_filter_chain handle 5 tcp dport nfs accept
$ nft --handle list ruleset
table inet my_table { # handle 10
     chain my_filter_chain { # handle 2
             type filter hook input priority 0; policy accept;
             tcp dport http accept # handle 4
             tcp dport 2345 accept # handle 8
             tcp dport 1234 accept # handle 6
             tcp dport 3456 accept # handle 9
             tcp dport nfs accept # handle 5
             tcp dport ssh accept # handle 3
     }
}

在 nftables 中，控制代碼值是固定不變的，除非規則被刪除，這就為規則提供了穩定的索引。而 index 的值是可變的，只要有新規則插入，就有可能發生變化。一般建議使用 handle 來插入新規則。

也可以在建立規則時就獲取到規則的控制代碼值，只需要在建立規則時同時加上引數 --echo 和 --handle。

$ nft --echo --handle add rule inet my_table my_filter_chain udp dport 3333 accept
add rule inet my_table my_filter_chain udp dport 3333 accept # handle 10

5. 刪除規則

單個規則只能通過其控制代碼刪除，首先需要找到你想刪除的規則控制代碼：

$ nft --handle list ruleset
table inet my_table { # handle 10
        chain my_filter_chain { # handle 2
                type filter hook input priority 0; policy accept;
                tcp dport http accept # handle 4
                tcp dport 2345 accept # handle 8
                tcp dport 1234 accept # handle 6
                tcp dport 3456 accept # handle 9
                tcp dport nfs accept # handle 5
                tcp dport ssh accept # handle 3
                udp dport 3333 accept # handle 10
        }
}

然後使用控制代碼值來刪除該規則：

$ nft delete rule inet my_table my_filter_chain handle 8
$ nft --handle list ruleset
table inet my_table { # handle 10
        chain my_filter_chain { # handle 2
                type filter hook input priority 0; policy accept;
                tcp dport http accept # handle 4
                tcp dport 1234 accept # handle 6
                tcp dport 3456 accept # handle 9
                tcp dport nfs accept # handle 5
                tcp dport ssh accept # handle 3
                udp dport 3333 accept # handle 10
        }
}

6. 列出規則

前面的示例都是列出了所有規則，我們還可以根據自己的需求列出規則的一部分。例如：

列出某個表中的所有規則：

$ nft list table inet my_table
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
                tcp dport http accept
                tcp dport 1234 accept
                tcp dport 3456 accept
                tcp dport nfs accept
                tcp dport ssh accept
                udp dport 3333 accept
        }
}

列出某條鏈中的所有規則：

$ nft list chain inet my_table my_other_chain
table inet my_table {
    chain my_other_chain {
        udp dport 12345 log prefix "UDP-12345"
    }
}

7. 集合

nftables 的語法原生支援集合，可以用來匹配多個 IP 地址、埠號、網絡卡或其他任何條件。

匿名集合

集合分為匿名集合與命名集合，匿名集合比較適合用於將來不需要更改的規則。

例如，下面的規則允許來自源 IP 處於 10.10.10.123 ~ 10.10.10.231 這個區間內的主機的流量。

$ nft add rule inet my_table my_filter_chain ip saddr { 10.10.10.123, 10.10.10.231 } accept
$ nft list ruleset
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
                tcp dport http accept
                tcp dport nfs accept
                tcp dport ssh accept
                ip saddr { 10.10.10.123, 10.10.10.231 } accept
        }
}

匿名集合的缺點是，如果需要修改集合，就得替換規則。如果後面需要頻繁修改集合，推薦使用命名集合。

之前的示例中新增的規則也可以通過集合來簡化：

$ nft add rule inet my_table my_filter_chain tcp dport { http, nfs, ssh } accept

iptables 可以藉助 ipset 來使用集合，而 nftables 原生支援集合，所以不需要藉助 ipset。

命名集合

nftables 也支援命名集合，命名集合是可以修改的。建立集合需要指定其元素的型別，當前支援的資料型別有：

• ipv4_addr : IPv4 地址
• ipv6_addr : IPv6 地址
• ether_addr : 乙太網（Ethernet）地址
• inet_proto : 網路協議
• inet_service : 網路服務
• mark : 標記型別

先建立一個空的命名集合：

$ nft add set inet my_table my_set { type ipv4_addr \; }
$ nft list sets
table inet my_table {
        set my_set {
                type ipv4_addr
        }
}

要想在新增規則時引用集合，可以使用 @ 符號跟上集合的名字。下面的規則表示將集合 my_set 中的 IP 地址新增到黑名單中。

$ nft insert rule inet my_table my_filter_chain ip saddr @my_set drop
$ nft list chain inet my_table my_filter_chain
table inet my_table {
        chain my_filter_chain {
                type filter hook input priority 0; policy accept;
                ip saddr @my_set drop
                tcp dport http accept
                tcp dport nfs accept
                tcp dport ssh accept
                ip saddr { 10.10.10.123, 10.10.10.231 } accept
        }
}

向集合中新增元素：

$ nft add element inet my_table my_set { 10.10.10.22, 10.10.10.33 }
$ nft list set inet my_table my_set
table inet my_table {
        set my_set {
                type ipv4_addr
                elements = { 10.10.10.22, 10.10.10.33 }
        }
}

如果你向集合中新增一個區間就會報錯：

$ nft add element inet my_table my_set { 10.20.20.0-10.20.20.255 }

Error: Set member cannot be range, missing interval flag on declaration
add element inet my_table my_set { 10.20.20.0-10.20.20.255 }
                                   ^^^^^^^^^^^^^^^^^^^^^^^

要想在集合中使用區間，需要加上一個 flag interval，因為核心必須提前確認該集合儲存的資料型別，以便採用適當的資料結構。

支援區間

建立一個支援區間的命名集合：

$ nft add set inet my_table my_range_set { type ipv4_addr \; flags interval
$ nft add element inet my_table my_range_set { 10.20.20.0/24 }
$ nft list set inet my_table my_range_set
table inet my_table {
        set my_range_set {
                type ipv4_addr
                flags interval
                elements = { 10.20.20.0/24 }
        }
}

子網掩碼錶示法會被隱式轉換為 IP 地址的區間，你也可以直接使用區間 10.20.20.0-10.20.20.255 來獲得相同的效果。

級聯不同型別

命名集合也支援對不同型別的元素進行級聯，通過級聯操作符 . 來分隔。例如，下面的規則可以一次性匹配 IP 地址、協議和埠號。

$ nft add set inet my_table my_concat_set  { type ipv4_addr . inet_proto . inet_service \; }

$ nft list set inet my_table my_concat_set
table inet my_table {
        set my_concat_set {
                type ipv4_addr . inet_proto . inet_service
        }
}

向集合中新增元素：

$ nft add element inet my_table my_concat_set { 10.30.30.30 . tcp . telnet }

在規則中引用級聯型別的集合和之前一樣，但需要標明集合中每個元素對應到規則中的哪個位置。

$ nft add rule inet my_table my_filter_chain ip saddr . meta l4proto . tcp dport @my_concat_set accept

這就表示如果資料包的源 IP、協議型別、目標埠匹配 10.30.30.30、tcp、telnet 時，nftables 就會允許該資料包通過。

匿名集合也可以使用級聯元素，例如：

$ nft add rule inet my_table my_filter_chain ip saddr . meta l4proto . udp dport { 10.30.30.30 . udp . bootps } accept

現在你應該能體會到 nftables 集合的強大之處了吧。

nftables 級聯型別的集合類似於 ipset 的聚合型別，例如 hash:ip,port。

8. 字典

字典是 nftables 的一個高階特性，它可以使用不同型別的資料並將匹配條件對映到某一個規則上面，並且由於是雜湊對映的方式，可以完美的避免鏈式規則跳轉的效能開銷。

例如，為了從邏輯上將對 TCP 和 UDP 資料包的處理規則拆分開來，可以使用字典來實現，這樣就可以通過一條規則實現上述需求。

$ nft add chain inet my_table my_tcp_chain
$ nft add chain inet my_table my_udp_chain
$ nft add rule inet my_table my_filter_chain meta l4proto vmap { tcp : jump my_tcp_chain, udp : jump my_udp_chain }
$ nft list chain inet my_table my_filter_chain
table inet my_table {
    chain my_filter_chain {
    ...
    meta nfproto ipv4 ip saddr . meta l4proto . udp dport { 10.30.30.30 . udp . bootps } accept
    meta l4proto vmap { tcp : jump my_tcp_chain, udp : jump my_udp_chain }
    }
}

和集合一樣，除了匿名字典之外，還可以建立命名字典：

$ nft add map inet my_table my_vmap { type inet_proto : verdict \; }

向字典中新增元素：

$ nft add element inet my_table my_vmap { 192.168.0.10 : drop, 192.168.0.11 : accept }

後面就可以在規則中引用字典中的元素了：

$ nft add rule inet my_table my_filter_chain ip saddr vmap @my_vmap

9. 表與名稱空間

在 nftables 中，每個表都是一個獨立的名稱空間，這就意味著不同的表中的鏈、集合、字典等都可以有相同的名字。例如：

$ nft add table inet table_one
$ nft add chain inet table_one my_chain
$ nft add table inet table_two
$ nft add chain inet table_two my_chain
$ nft list ruleset
...
table inet table_one {
    chain my_chain {
    }
}
table inet table_two {
    chain my_chain {
    }
}

有了這個特性，不同的應用就可以在相互不影響的情況下管理自己的表中的規則，而使用 iptables 就無法做到這一點。

當然，這個特性也有缺陷，由於每個表都被視為獨立的防火牆，那麼某個資料包必須被所有表中的規則放行，才算真正的放行，即使 table_one 允許該資料包通過，該資料包仍然有可能被 table_two 拒絕。為了解決這個問題，nftables 引入了優先順序，priority 值越高的鏈優先順序越低，所以 priority 值低的鏈比 priority 值高的鏈先執行。如果兩條鏈的優先順序相同，就會進入競爭狀態。

10. 備份與恢復

以上所有示例中的規則都是臨時的，要想永久生效，我們可以將規則備份，重啟後自動載入恢復，其實 nftables 的 systemd 服務就是這麼工作的。

備份規則：

$ nft list ruleset > /root/nftables.conf

載入恢復：

$ nft -f /root/nftables.conf

在 CentOS 8 中，nftables.service 的規則被儲存在 /etc/nftables.conf 中，其中 include 一些其他的示例規則，一般位於 /etc/sysconfig/nftables.conf 檔案中，但預設會被註釋掉。

11. 總結

希望通過本文的講解，你能對 nftables 的功能和用法有所瞭解，當然本文只涉及了一些淺顯的用法，更高階的用法可以檢視 nftables 的官方 wiki，或者坐等我接下來的文章。相信有了本文的知識儲備，你應該可以愉快地使用 nftables 實現 Linux 的智慧分流了，具體參考這篇文章：Linux全域性智慧分流方案。

微信公眾號

掃一掃下面的二維碼關注微信公眾號，在公眾號中回覆◉加群◉即可加入我們的雲原生交流群，和孫巨集亮、張館長、陽明等大佬一起探討雲原生技術

相關推薦