Nftables : サービスを有効化する2022/06/29

	Nftables の基本操作です。 nftables は、従来の iptables, ip6tables, arptables, ebtables の機能を統合したツールです。
[1]	RHEL 9 / CentOS Stream 9 では、nftables は Firewalld のデフォルトのバックエンドとして使用されています。

[root@dlp ~]#

grep nftables /etc/firewalld/firewalld.conf

#       - nftables (default)
FirewallBackend=nftables

[2]	nftables を使用する場合は、firewalld サービスは無効化します。また、システムの再起動時にフィルタリングのルールセットを復元できるように、nftables のサービスを有効化しておきます。

[root@dlp ~]#

systemctl disable --now firewalld

Removed /etc/systemd/system/multi-user.target.wants/firewalld.service.
Removed /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.

[root@dlp ~]#

systemctl enable --now nftables

Created symlink /etc/systemd/system/multi-user.target.wants/nftables.service → /usr/lib/systemd/system/nftables.service.

# [nftables.service] は起動時に [/etc/sysconfig/nftables.conf] を読み込んでルールセットを復元するサービス

[root@dlp ~]#

systemctl cat nftables.service

# /usr/lib/systemd/system/nftables.service
[Unit]
Description=Netfilter Tables
Documentation=man:nft(8)
Wants=network-pre.target
Before=network-pre.target

[Service]
Type=oneshot
ProtectSystem=full
ProtectHome=true
ExecStart=/sbin/nft -f /etc/sysconfig/nftables.conf
ExecReload=/sbin/nft 'flush ruleset; include "/etc/sysconfig/nftables.conf";'
ExecStop=/sbin/nft flush ruleset
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target

# [/etc/sysconfig/nftables.conf] はデフォルトでは設定なし

[root@dlp ~]#

cat /etc/sysconfig/nftables.conf

# Uncomment the include statement here to load the default config sample
# in /etc/nftables for nftables service.

#include "/etc/nftables/main.nft"

# To customize, either edit the samples in /etc/nftables, append further
# commands to the end of this file or overwrite it after first service
# start by calling: 'nft list ruleset >/etc/sysconfig/nftables.conf'.

[3]	Firewalld に設定したルールセットを引き継いで nftables サービスに切り替えたい合は、以下のように設定します。

# Firewalld の現在の設定確認 ( firewalld サービス稼働中が前提 )

[root@dlp ~]#

firewall-cmd --list-all

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: enp1s0
  sources:
  services: cockpit dhcpv6-client ssh
  ports:
  protocols:
  forward: yes
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

# Firewalld バックエンドの nftables の現在のルールセットを全て表示

[root@dlp ~]#

nft list ruleset

table inet firewalld {
        chain mangle_PREROUTING {
                type filter hook prerouting priority mangle + 10; policy accept;
                jump mangle_PREROUTING_ZONES
        }

        chain mangle_PREROUTING_POLICIES_pre {
                jump mangle_PRE_policy_allow-host-ipv6
        }

        chain mangle_PREROUTING_ZONES {
                iifname "enp1s0" goto mangle_PRE_public
                goto mangle_PRE_public
        }

        chain mangle_PREROUTING_POLICIES_post {
        }
.....
.....

# 現在のルールセットを [/etc/sysconfig/nftables.conf] に書き出す

[root@dlp ~]#

nft list ruleset > /etc/sysconfig/nftables.conf

# firewalld サービス停止 & nftables サービス起動

[root@dlp ~]#

systemctl disable --now firewalld

[root@dlp ~]#

systemctl enable --now nftables

# ルールセット表示

[root@dlp ~]#

nft list ruleset

table inet firewalld {
        chain mangle_PREROUTING {
                type filter hook prerouting priority mangle + 10; policy accept;
                jump mangle_PREROUTING_ZONES
        }

        chain mangle_PREROUTING_POLICIES_pre {
                jump mangle_PRE_policy_allow-host-ipv6
        }
.....
.....

# 例えば [firewalld] で許可されていたサービス [services: cockpit dhcpv6-client ssh] は以下のように確認可

[root@dlp ~]#

nft list chain inet firewalld filter_IN_public_allow

table inet firewalld {
        chain filter_IN_public_allow {
                tcp dport 22 ct state { new, untracked } accept
                ip6 daddr fe80::/64 udp dport 546 ct state { new, untracked } accept
                tcp dport 9090 ct state { new, untracked } accept
        }
}