主页 / server / 问题 / 1145318
Accepted
Christopher Causer
Asked: 2023-10-07 00:14:16 +0800 CST

nftables：引用另一个表中的集合

  • 772

通过以下设置：

#!/usr/sbin/nft -f
add table ip filter
add chain ip filter input { type filter hook input priority 0; }
add set   ip filter nat-group-1 { type ipv4_addr; }
add set   ip filter nat-group-2 { type ipv4_addr; }
add set   ip filter nat-group-3 { type ipv4_addr; }
add set   ip filter nat-group-4 { type ipv4_addr; }
add set   ip filter nat-group-5 { type ipv4_addr; }
add rule  ip filter input ip saddr @nat-group-1 tcp dport 22 drop
add table ip nat
add chain ip nat postrouting {type nat hook postrouting priority srcnat; policy accept; }
add rule  ip nat postrouting ip saddr @nat-group-1 snat to 192.168.1.0/24 persistent
add rule  ip nat postrouting ip saddr @nat-group-2 snat to 192.168.2.0/24 persistent

我收到错误消息

Error: No such file or directory; did you mean set ‘nat-group-1’ in table ip ‘filter’?

我不知道如何引用另一个表中的集合。这可能吗？怀疑可以通过复制两个表中的集合来解决这个问题，但错误消息让我希望有一些我不知道的语法。

我将引用两个表中的集合。

nftables

1 个回答

  1. Best Answer

    问题

    例如，与iptables的同伴ipset不同，ipset位于iptables之外，因此两者交互的方式没有任何范围限制，nftables集的范围仅限于定义它的表。

    根本不可能从表中引用其他表，因此无法引用其他表中的所有对象，包括其他表中定义的集。

    解决方案

    使用nftables时与使用iptables时应该有不同的思考：表角色不是固定的。

    只要有可能，如果不同的钩子类型要一起工作，就应该使用同一个表。

    对于OP的情况，chain ip filter input和chain ip nat postrouting可以放在同一个表中，因为它是同一个家族（ip）。所以只需稍微重写规则集即可。例如，让我们调用公用表multinat，然后机械地重写（例如：sed 's/ip filter/ip multinat/g;s/ip nat/ip multinat/g'。再次添加现有表不是错误，而是无操作）所有内容都写入该表中：

    #!/usr/sbin/nft -f
add table ip multinat
add chain ip multinat input { type filter hook input priority 0; }
add set   ip multinat nat-group-1 { type ipv4_addr; }
add set   ip multinat nat-group-2 { type ipv4_addr; }
add set   ip multinat nat-group-3 { type ipv4_addr; }
add set   ip multinat nat-group-4 { type ipv4_addr; }
add set   ip multinat nat-group-5 { type ipv4_addr; }
add rule  ip multinat input ip saddr @nat-group-1 tcp dport 22 drop
add table ip multinat
add chain ip multinat postrouting {type nat hook postrouting priority srcnat; policy accept; }
add rule  ip multinat postrouting ip saddr @nat-group-1 snat to 192.168.1.0/24 persistent
add rule  ip multinat postrouting ip saddr @nat-group-2 snat to 192.168.2.0/24 persistent

    现在表中的集合可以从两个链访问，因为它们都在同一个表中。与iptables相反，表中的链具有不同的钩子类型并不重要。

    其他案例

    现在，相同的更改不能应用于不同系列的表（netdev、bridge、arp、ip ip6、inet）之间。

    在ip,ip6和inet（IPv4 和 IPv6 的组合）之间，解决方案仍然很简单：将所有内容放入族inet表中，并采用一些必须消除ip和之间歧义的规则ip6。

    对于其他情况，另一种方法是在第一个发生的链中标记数据包或流，它可以在其中做出决定，以便稍后发生的链可以检索标记而无需再次检查。

    如果这些都无法完成，那么除了在多个表中复制这些集合之外，我别无选择。

    • 1

相关问题