Nftables 简介

基本概念

Address Family

nftable 把数据包的类型分类 6 大类：

Table

每个 Address Family 可以有 N 个 Table，而每个 Table 下则有 N 个 Chain。

比如：

nft add table family table_name

Hooks

每一种 Address Family 都有对应的 Hooks 来对应网络包处理的不同阶段：

Chain

Chain 分类两种，base chain 和 regular chain。

• base chain 是处理包的入口。
• regular chain 是用户自定义的，用作规则的 jump target，也可用来组织规则便于维护。

创建 base chain 时：

• 必须指定：table（隐含 family）、chain type、hook（介入阶段）、priority（优先级）
• 可选指定：devide（设备）、policy（默认结果）。

比如：

nft add chain [family] table_name chain_name type chain_type hook hook_name [device device_name] priority priority_value ; [policy policy_name ;]`

创建 regular chain 时，以上都不能指定，比如：

nft add chain [family] table_name chain_name

base chain type 有 3 种，不同的 Family + Hook 组合下：

Family、Hook、Chain Type

不同的 Family 能使用的 Hook 不同，而不同的 Family + Hook 的组合所能使用的 Base Chain type 也不同，总结在下面这张表里：

Chain 的顺序

当一个 Table 有 N 个 Base Chain ，当这些 Chain 挂在同一个 Hook 下时，根据 Chain 的 Priority 来排序（升序）执行。

Priority 可以是数字，可以是内置 Priority 名称，还可以内置 Priority 名称上做加减法，比如 dstnat - 5。

nftable 内置 Pirority 名称（注意 Value 的顺序）：

bridge family 下的 Priority 名称：

虽然上面两个表格看上去 Priority 名称有期其适用的 Family + Hook 组合，实际使用时没有这个限制，因为 nftables 只是取其值排序而已，只不过阅读上去会有点奇怪

Rule

Rule 指的是处理网络包的规则，一个 Chain 下可以有 N 个 Rule，按照顺序执行 Rule。

规则例子

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# family=ip 的一个 table，名字叫 foo
table ip foo {
  chain bar {
    # base chain，名字叫 bar, priority=filter=0
    type filter hook input priority filter; policy accept;
    # 一个规则
    ip protocol tcp jump nonbased-chain-name
  }
  # 自定义 regular chain
  chain nonbased-chain-name {
    ...
  }
}

各 Family 下 Hook 的流转顺序

下图总结了 Family 下 Hook 的流转顺序：

参考资料

• Netfilter hooks
• nftables man
• A comprehensive guide to Nftables