如何正确记录和查看 nftables 活动？

Question

您可以使用nftrace跟踪数据包流。它非常详细，但不会进入内核日志，而是通过多播 netlink 套接字分发（即，如果没有任何东西监听它们，则跟踪只会进入“/dev/null”）。

如果你真的想追踪一切，请追踪预路由和输出处于低优先级。最好使用单独的表格，因为您显示的nft list ip table filter实际上是nftables 上的 iptables与 xt 匹配层 API 的兼容性，不应被篡改（但可以安全地沿迹线使用）。另外你应该知道 iptables 可能还有其他表，比如纳特桌子。

traceall.nft因此，使用加载的文件中的规则集nft -f traceall.nft：

table ip traceall
delete table ip traceall

table ip traceall {
    chain prerouting {
        type filter hook prerouting priority -350; policy accept;
        meta nftrace set 1
    }

    chain output {
        type filter hook output priority -350; policy accept;
        meta nftrace set 1
    }
}

您现在可以使用以下命令跟踪这些（非常详细的）IPv4 跟踪：

nft monitor trace

如果在容器内执行此操作（日志目标通常不是这种情况），这甚至会起到相同的作用。

您可以在其他地方激活这些跟踪，或者在激活它们之前将条件放在稍后优先级的规则中，以避免跟踪所有钩子/链。遵循此示意图将有助于理解事件的顺序：Netfilter 和通用网络中的数据包流。

如果选择使用等效的-j TRACE目标在iptables，还请咨询该人xtables-monitor，因为nftables 上的 iptables改变其行为（相比iptables-旧版）。

当我回答OP的问题时，以下是关于问题和日志问题的疯狂猜测：

如果 Docker 本身在容器中运行，则日志可能不可用。它们可以提供给主机，以及所有容器允许查询内核消息，sysctl -w net.netfilter.nf_log_all_netns=1因为内核消息没有命名空间实例。
柜台在日志统治ip过滤输入为零，而前一条规则的计数器带有降低声明不是。这意味着日志规则制定得太晚了：之后降低。这日志规则（或者更确切地说iptables的-j LOG) 应插入前决赛降低语句，不附加在永远无法到达的位置之后。
关于 Docker 的唯一输入规则是iifname "docker0" counter packets 0 bytes 0 accept。如果容器不在默认的 Docker 网络上，则没有规则允许它们到达主机。

尝试添加一条规则来测试这一点。确保结果插入到之前降低规则。使用iptables，避免添加规则nftables这可能不兼容nftables 上的 iptables:
```
iptables -I INPUT 8 -i "br-*" -j ACCEPT
```

Answer 1