nftables 在同一接口上的两台计算机之间看不到 KDE Connect 数据包

Question

警告：这是一个通用的 Linux 答案。本答案不会涵盖与 NixOS 的特定集成及其自己的配置网络的方法或如何从其配置中调用任意命令。

推介会

在OP的第一种情况（两个不同的接口）中，路由器实际上是两个接口之间的路由wlp1s0和wlp5s0：转发的 IPv4 流量可见于nftables'家庭ip，过滤转发钩子。

第二种情况下，流量为桥接的通过路由器的接入点接口wlp1s0:nftables'家庭IP表看不到桥接流量，仅看到 IPv4 流量。

此外，这种桥接甚至不会发生在标准 Linux 桥接级别，而是由接入点 (AP) 的驱动程序（和/或硬件加速）直接完成：两个 Wifi 设备将在它们之间进行通信（仍然通过 AP）它们的帧没有到达实际的网络堆栈。

为了使系统真正过滤此流量，必须完成三件事：

更改 AP 的设置，以便流量通过网络堆栈
有一个与 AP 关联的 Linux 桥，这样网络堆栈就不会丢弃帧，这样nftables可以在桥层面看到它们
有足够的nftables桥牌家族的规则。为了网桥系列中的 IP 状态防火墙，这也需要 Linux 内核>= 5.3（NixOS 22.11 就足够了）。

未采用的其他选项：

作为 2+3 的替代方案，并且在没有可能的状态防火墙的情况下，人们可能会想象使用nftables'网络开发者有入口和可能出口的家庭（需要Linux 内核 >= 5.17对于出口fwd），但会有很多极端情况需要处理：最好不要
而不是 3，使用旧桥网络过滤器代码用于桥接路径中的状态防火墙iptables（并由 Docker 使用）将所有规则放在同一个表中

nftables，它也受它的影响，旨在不依赖于此代码，因此缺乏正确使用的功能（大多数情况下它缺乏相当于iptables'physdev模块的一种方式区分同一规则集中的桥接流量和路由流量）。这会让事情仍然依赖iptables因此仍然需要多个表。（Docker 中此类复杂使用的示例：nftables 白名单 docker）。

作为警告，如果在路由器上添加 Docker，预计会中断下面介绍的设置。

设置

改变主机设置

必须更改两个相关设置主机设置：
- 告诉帧必须由网络堆栈处理，而不是由驱动程序短路
  
  配置如下主机为了wlp1s0必须改变。如果两个 Wifi 接口以某种方式存在单一配置，那么现在很可能应该有两个单独的配置。我不会在这个答案中讨论这种集成，而是集中讨论单一界面wlp1s0。
  
  AP隔离必须在以下位置启用hostapd.conf：
```
ap_isolate=1
```
  现在，两个站客户端 (STA) 之间的帧将到达网络堆栈，而不是由 AP 驱动程序直接处理。
- 配置主机使用网桥并将无线接口设置为桥接端口
  
  仅使用先前的设置，只有发往或来自路由器的帧才会由路由器处理路由堆栈的一部分网络堆。不属于或来自路由器的帧将被简单地丢弃，如果以太网接口收到不属于其 MAC 地址的单播帧，就会发生这种情况。这也是该设置被命名的原因ap_isolate：默认情况下，STA 之间相互隔离。
  
  需要一座桥来处理这个问题。告诉主机设置wlp1s0一旦将其配置为 AP 模式，即可作为桥接端口。它将创建一个网桥或（首选）使用提供的名称重用现有网桥，并在运行时将接口设置为网桥端口。我选择了任意名称brwlan1。
  
  配置网桥在hostapd.conf：
```
bridge=brwlan1
```
更改与使用网桥相关的网络设置
- 配置没有连接端口且无延迟的桥接器
  
  手动的话就是：
```
ip link add name brwlan1 up type bridge forward_delay 0
```
  注意：hostapd是将 Wifi 接口连接到桥接器的工具，因为必须先将其设置为 AP，然后才允许将其设置为桥接端口。
- 移动任何路由（第3层）设置关于wlp1s0到brwlan1:
```
ip addr delete 192.168.2.1/24 dev wlp1s0
ip addr add 192.168.2.1/24 dev brwlan1
```
  这还包括更改各种应用程序中的任何接口引用，例如在 DHCP 设置中。
  
  ...并且nftables但这将在下一部分中讨论。
- 有主机跑步
  
  验证一旦它wlp1s0实例正在运行，wlp1s0被设置为brwlan1桥接端口：
  
  人们应该看到类似以下内容的内容：
```
# bridge link show dev wlp1s0
6: wlp1s0 <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master brwlan1 state forwarding priority 32 cost 100 
```
- 然后在单个桥接端口上启用发夹模式
  
  目前，仍然无法进行 STA 到 STA 的通信，但只能进行 STA 到 AP 或 AP 到 STA：STA 到 STA 需要帧到达单个桥接端口wlp1s0在同一网桥端口上重新发送。即使现在有一个网桥来转发此类帧，但它们还不会：默认情况下，以太网网桥（或交换机）会禁用转发回原始端口，因为它在正常的有线设置中没有多大意义。
  
  所以簪必须启用于wlp1s0因此在此端口上接收到的帧可以在同一端口上重新发出。目前只有开发版本（分支主要的）的主机接受新的配置参数bridge_hairpin=1自动执行此操作（2.10 版本还不够新）。这可以使用手动完成bridge命令（已过时的brctl命令不支持此功能）：
```
bridge link set dev wlp1s0 hairpin on
```
  这部分需要正确的操作系统集成：必须仅在主机随附的wlp1s0作为桥接端口，因为它只能在桥接端口上使用。我希望hostapd设置wlp1s0在守护进程之前作为桥接端口，然后让网络配置工具运行命令。如果情况并非如此并且发生竞争条件，则可以考虑简单地插入延迟（例如：sleep 3;在此命令之前简单地插入一个延迟（例如：），以确保命令运行时该接口是桥接端口。应该wlp1s0与网桥分离/重新连接（例如：重新启动hostapd），必须再次运行此命令：应从网络配置中调用它。
适应nftables规则集

... 使用桥梁家族而不是 ip 系列。这与路由非常相似。用于路由器的帧在输入挂钩中可见，来自路由器的帧在输出挂钩中可见，STA 到 STA 的帧在前向挂钩中可见。

由于对象命名空间是每个表的，因此两者之间不能重用任何规则，因此需要一些重复。我只是复制并改编了与以下内容相关的路由规则的相关部分转发。作为示例，我启用了 ping 和 KDE 连接端口，并带有一些计数器。有些样板文件并不是真正需要的（例如：如果首先有 IPv6 的通用丢弃规则，则ether type ip ip protocol tcp tcp dport 1714可以用 just 替换。在向内核提供规则时，该命令会在内部插入任何所需的样板文件）。tcp dport 1714nft
```
table bridge filter        # for idempotence
delete table bridge filter # for idempotence

table bridge filter {
    chain conntrack {
        ct state vmap { invalid : drop, established : accept, related : accept }
    }

    chain kdeconnect {
        udp dport 1714-1764 counter accept
        tcp dport 1714-1764 counter accept
    }

    chain forward {
        type filter hook forward priority filter; policy drop;
        jump conntrack
        ether type ip6 drop     # just like OP did: drop any IPv6
        icmp type echo-request counter accept
        jump kdeconnect
        ether type arp accept   # mandatory for IPv4 connectivity
        counter
    }
}
```
应该wlp5s0稍后同样使用其自己的单独网桥进行配置，然后将需要每个网桥端口或每个网桥进行过滤（例如：iifname wlp1s0或ibrname brwlan1等需要时）。

其他情况仍由 OP 初始规则集中的标准路由处理：输入和输出过滤器挂钩未配置，因此将接受往返于路由器的流量，或路由至/来自其他接口的流量。

OP的nftables路由也必须进行调整。无论table ip filter该词出现在何处wlp1s0，都必须替换为brwlan1现在参与路由的接口。

Answer 1