nftables：如何在接受判决后停止进一步的链遍历

Question

当我今天遇到同样的问题时，我和你一样感到惊讶。

简介：我致力于利用 Linux 上的命名空间和网络编写自己的系统。因此，我必须在中管理自己的规则nftables。由于firewalld也在系统上配置，并且它会阻止我想要允许的流量，因此最初我认为解决方案可能是创建优先级更高的链（优先级数字较低）。

你无法想象当我发现尽管我这样做了，我的流量还是被阻止了，我是多么惊讶firewalld。令人惊讶的是，你的问题是我在网上找到的唯一一个提到这个问题的问题。

正如您所说，阻止所有内容并仅接受您想要接受的流量是如此自然。然后，在操作系统上运行的不同应用程序，管理防火墙规则应该是独立的。它应该看起来像这样：

# rules for app X
accept input on port 80
forward 192.168.1.1:80 to 10.10.0.1:8080

# rules for app Y
accept input on port 22

# default action
drop whatever reached this point

app Y在当前实施中，由管理的规则必须接受由管理的规则，这是荒谬的app X，因为否则流量将被丢弃。另一方面，正如文档所述，drop行动是立即的。这意味着，防火墙通常会做的是：默认丢弃所有内容，关闭其他应用程序配置的流量的大门。

最初我认为它是通过这种方式实现的，nftables所以我的想法是编写自己的防火墙，直接连接到netfilter内核的模块，这样我就可以在nftables控制之前注入我的规则。

但令人遗憾的是，我们正在讨论的局限性来自于它netfilter本身： https://www.netfilter.org/documentation/HOWTO/netfilter-hacking-HOWTO-4.html#ss4.5

If NF_ACCEPT, the next hook attached to that point will be called.
If NF_DROP, the packet is dropped.

因此，只要任何钩子决定删除包，它就会被永久删除。但如果它被接受，那么如果任何其他应用程序注入自己的逻辑，它很可能会在稍后被删除。

这很糟糕，这意味着不同的应用程序（例如libvirt、、或自定义应用程序）必须争夺接受所需流量的优先级。如果链中的任何内容默认丢弃不相关的流量（例如docker），我们就会陷入混乱。firewalldiptablesfirewalld

我觉得这样设计的决定netfilter很糟糕……而且似乎没有解决办法。它禁用了在系统上安装多个防火墙来管理不同方面的可能性。无论你安装什么防火墙，它都具有垄断权。

Answer 1