nftables設定してみる

1

 RHEL では、ipset パッケージおよび iptables-nft パッケージが非推奨になりました。iptables-nft には、iptable、ip6tables、ebtables、arptables などのさまざまなツールが同梱されています。このようなツールには新しい機能がなくなり、新しいデプロイメントに使用することは推奨されません。代わりに、nftables パッケージが提供する nft コマンドラインツールを使用することが推奨されます。既存の設定は、可能であれば nft に移行する必要があります。

1

RHEL 9 では、iptables フレームワークは非推奨になりました。結果として、iptables バックエンドと、firewalld の 直接インターフェイス も非推奨になりました。

1
2
3
4
5
6
7
8

define admin1 = {
    192.168.0.1,    # 管理者ローカルIP1
    192.168.0.2     # 管理者ローカルIP2
}
define admin2 = {
    192.168.0.11,   # 一般ローカルIP3
    192.168.0.12    # 一般ローカルIP4
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68

# 現在のルールセット消去
flush ruleset

# IPアドレスリストを読み込む
include "/etc/nftables/list/adminDef"

# IPv4
talbe inet filter {
    set admin1 {
        type ipv4_addr
        elements = $admin1
    }
    set admin2 {
        type ipv4_addr
        elements = $admin2
    }

    chanin input {
        type filter hook input priority 0; policy drop ;

        # ping
        ip protocol icmp icmp type echo-request limit rate 10/second accept

        # 関連・確率済みトラフィックは許可
        ct state established,related accept

        # 不正なトラフィックは全て破棄する
        ct state invalid drop

        # ループバックインターフェイスのトラフィックは全て許可
        iif "lo" accept

        #　新しいエコー要求(ping)は許可する
        ip protocol icmp icmp type echo-request ct state new accept

        ip protocol udp ct state new jump UDP
        ip protocol tcp tcp flags & (fin | syn | rst | ack) == syn ct state new jump TCP

        # 他のルールによって処理されなかったトラフィックは全て拒否する
        ip protocol udp reject
        ip protocol tcp reject with tcp reset

    }

    chain forward {
        type filter hook forward priority 0; policy drop;
    }

    chain output {
        type filter hook output priority 0 ; policy accept ;
    }

    chain TCP {
        # 管理者セグメント向け開放
        tcp dport { 22,80,443 } ip saddr @admin1 accept

        # 一般セグメント開放
        tcp dport { 443 } ip saddr @admin2 accept

    }

    chanin UDP {
        # 全開放
        # ntp
        udp dport { 53,123 } accept
    }

}

1
2

# cp -p /etc/nftables/nftables.conf /etc/nftables/nftables.conf.org
# echo include '"/etc/nftables/filter.nft"' >> /etc/nftables/nftables.conf

1
2
3
4

# systemctl stop firewalld.service
# systemctl disable firewalld.service
# systemctl start nftables.service
# systemctl enable nftables.service

1
2
3
4

# nft list tables    ⭐️テーブル一覧が表示される
table inet filter
# nft list ruleset   ⭐️ルールセットが表示される
:(中略)