主页 / unix / 问题 / 751213
Accepted
ArrowInTree
Asked: 2023-07-11 22:42:21 +0800 CST

有人让 nft (!token) ct 子命令可以工作吗？

  • 772

[注意：不是不可替代的令牌！！]我正在尝试从iptables
转换到nftables，但“ct”子命令（超时、设置标记、状态、l3proto、期望等，但错误消息中提到了期望）未被识别在 Fedora 37 上，其 nft rpm 版本超过 1。 list 子命令也不会解析。例如nft 'list ct timeouts'不会解析，也不会解析status或l3proto。注意nft 之后的单引号子命令很重要。使用ct 期望也不起作用。

注意：手册页有零个示例，而 redhat 和 wiki 只有几个。整件事违反了 Unix 一贯的“做正确的一件事”的哲学。

提前谢谢。

nftables

1 个回答

  1. Best Answer

    它似乎阻止了 iptables -m contrack 的任何实际使用。--ctstate 已建立，相关...

    我正在使用nftablesiptables 的兼容版本，又名iptables-nft（您运行iptables命令，但它创建nftables规则）。如果我运行：

    iptables -A example -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

    那么生成的 nftables 规则集是：

    table ip filter {
        chain example {
                ct state related,established counter packets 0 bytes 0 accept
        }
}

    一般来说，使用包是将规则iptables-nft迁移到语法的好方法。iptablesnftables

    如果您愿意，可以从命令行执行此操作：

    # nft add chain ip filter example
# nft add rule ip filter example ct state related,established counter accept

    我们可以通过运行以下命令来查看这些规则：

    # nft list chain ip filter example
table ip filter {
        chain example {
                ct state established,related counter packets 0 bytes 0 accept
        }
}
    • 1

相关问题