Переход с iptables на nftables: миграция правил firewall

В iptables таблицы (filter, nat, mangle) и цепочки (INPUT, OUTPUT, FORWARD) предопределены. В nftables вы создаёте их сами:

# iptables — предопределённые таблицы и цепочки
iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT

# nftables — сначала создаём таблицу и цепочку
nft add table inet my_filter
nft add chain inet my_filter input { type filter hook input priority 0 \; policy drop \; }
nft add rule inet my_filter input tcp dport 22 accept

Семейства таблиц в nftables:

• inet — IPv4 + IPv6 (рекомендуется, заменяет iptables + ip6tables)
• ip — только IPv4
• ip6 — только IPv6
• arp — ARP (замена arptables)
• bridge — мост (замена ebtables)
• netdev — очень ранняя фильтрация на уровне драйвера

Таблица соответствия часто используемых правил:

Обратите внимание: в nftables фигурные скобки { } используются для множеств (sets) — аналог -m multiport и -m iprange из iptables, но значительно мощнее.

Конвертация отдельных правил:

# Конвертация одного правила
iptables-translate -A INPUT -p tcp --dport 22 -s 10.0.0.0/24 -j ACCEPT
# Вывод: nft add rule ip filter INPUT ip saddr 10.0.0.0/24 tcp dport 22 counter accept

# Конвертация правила NAT
iptables-translate -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
# Вывод: nft add rule ip nat POSTROUTING ip saddr 192.168.1.0/24 oifname "eth0" counter masquerade

Конвертация всего набора правил:

# Экспортируйте текущие правила
iptables-save > /tmp/iptables-rules.txt

# Конвертируйте в формат nftables
iptables-restore-translate -f /tmp/iptables-rules.txt > /tmp/nftables-rules.nft

# Проверьте результат
cat /tmp/nftables-rules.nft

# Примените (после проверки!)
nft -f /tmp/nftables-rules.nft

Важно: автоматическая конвертация не всегда идеальна. Проверьте каждое правило, особенно сложные конструкции с -m string, -m recent и custom chains.

Основной конфиг — /etc/nftables.conf:

#!/usr/sbin/nft -f

# Очистка всех правил
flush ruleset

# === Таблица inet filter (IPv4 + IPv6) ===
table inet filter {

    # Доверенные IP
    set trusted_ips {
        type ipv4_addr
        elements = { 10.0.0.0/24, 192.168.1.0/24 }
    }

    # Разрешённые TCP-порты
    set allowed_tcp_ports {
        type inet_service
        elements = { 22, 80, 443 }
    }

    chain input {
        type filter hook input priority 0; policy drop;

        # Loopback
        iifname "lo" accept

        # Established/related
        ct state established,related accept

        # Отбрасываем invalid
        ct state invalid drop

        # ICMP (ping)
        ip protocol icmp accept
        ip6 nexthdr icmpv6 accept

        # Разрешённые порты
        tcp dport @allowed_tcp_ports accept

        # SSH только с доверенных IP
        ip saddr @trusted_ips tcp dport 22 accept

        # Логирование отброшенного трафика
        limit rate 5/minute log prefix "nft-drop: " level warn

        # Счётчик отброшенных пакетов
        counter drop
    }

    chain forward {
        type filter hook forward priority 0; policy drop;
    }

    chain output {
        type filter hook output priority 0; policy accept;
    }
}

Применение и проверка:

# Проверка синтаксиса (dry-run)
nft -c -f /etc/nftables.conf

# Применить
sudo nft -f /etc/nftables.conf

# Включить автозагрузку
sudo systemctl enable nftables

# Просмотреть текущие правила
nft list ruleset

Создайте set, который можно обновлять без перезагрузки правил:

# Объявление в конфиге
table inet filter {
    set blacklist {
        type ipv4_addr
        flags timeout
        timeout 24h
    }

    chain input {
        type filter hook input priority 0; policy drop;
        ip saddr @blacklist drop
        # ... остальные правила
    }
}

Управление set через командную строку:

# Добавить IP в blacklist
nft add element inet filter blacklist { 203.0.113.50 }

# Добавить с таймаутом
nft add element inet filter blacklist { 198.51.100.10 timeout 1h }

# Удалить IP
nft delete element inet filter blacklist { 203.0.113.50 }

# Просмотреть содержимое
nft list set inet filter blacklist

Это идеально для интеграции с fail2ban или скриптами блокировки.

Maps позволяют задать разные действия для разных значений:

# Map: порт → действие
table inet filter {
    map port_policy {
        type inet_service : verdict
        elements = {
            22 : accept,
            80 : accept,
            443 : accept,
            3306 : drop,
            5432 : drop
        }
    }

    chain input {
        type filter hook input priority 0; policy drop;
        ct state established,related accept
        tcp dport vmap @port_policy
    }
}

Concatenated sets — фильтрация по комбинации полей:

# Разрешить конкретные IP на конкретные порты
set allowed_access {
    type ipv4_addr . inet_service
    elements = {
        10.0.0.5 . 22,
        10.0.0.10 . 3306,
        10.0.0.15 . 5432
    }
}

chain input {
    ip saddr . tcp dport @allowed_access accept
}

Типичная настройка маршрутизатора с NAT:

table inet nat {
    chain prerouting {
        type nat hook prerouting priority dstnat; policy accept;

        # Port forwarding: внешний порт 8080 → внутренний 10.0.0.5:80
        tcp dport 8080 dnat ip to 10.0.0.5:80

        # Port forwarding: внешний 2222 → внутренний SSH
        tcp dport 2222 dnat ip to 10.0.0.10:22
    }

    chain postrouting {
        type nat hook postrouting priority srcnat; policy accept;

        # Masquerade для всей внутренней сети
        ip saddr 10.0.0.0/24 oifname "eth0" masquerade

        # Или SNAT с конкретным IP
        # ip saddr 10.0.0.0/24 oifname "eth0" snat to 203.0.113.1
    }
}

Не забудьте включить IP forwarding:

echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-forward.conf
sudo sysctl -p /etc/sysctl.d/99-forward.conf

И разрешить forward в таблице filter:

chain forward {
    type filter hook forward priority 0; policy drop;
    ct state established,related accept
    iifname "eth1" oifname "eth0" accept  # LAN → WAN
}

Добавьте meta-правило для трассировки интересующего трафика:

# Трассировка SSH-трафика
nft add rule inet filter input tcp dport 22 meta nftrace set 1

# Включите мониторинг
nft monitor trace

Вывод покажет путь пакета через все цепочки и правила:

trace id a1b2c3 inet filter input packet: iif "eth0" ip saddr 10.0.0.5 ip daddr 10.0.0.1 tcp dport 22
trace id a1b2c3 inet filter input rule tcp dport 22 meta nftrace set 1 (verdict continue)
trace id a1b2c3 inet filter input rule tcp dport @allowed_tcp_ports accept (verdict accept)

Для отладки без трассировки используйте счётчики:

# Добавить счётчик к правилу
nft add rule inet filter input tcp dport 443 counter accept

# Просмотреть счётчики
nft list chain inet filter input
# Покажет: counter packets 1523 bytes 234567

Логирование с лимитом:

# Логировать не более 3 пакетов в минуту
nft add rule inet filter input tcp dport 22 ct state new limit rate 3/minute log prefix "SSH-new: " accept

Просмотр логов:

journalctl -k --grep 'nft-drop\|SSH-new' --since '10 min ago'