☰

nftables：从另一个表引用一组

tag-icon • tag-icon nftables
nftables：从另一个表引用一组

采用以下设置：

#!/usr/sbin/nft -f
add table ip filter
add chain ip filter input { type filter hook input priority 0; }
add set   ip filter nat-group-1 { type ipv4_addr; }
add set   ip filter nat-group-2 { type ipv4_addr; }
add set   ip filter nat-group-3 { type ipv4_addr; }
add set   ip filter nat-group-4 { type ipv4_addr; }
add set   ip filter nat-group-5 { type ipv4_addr; }
add rule  ip filter input ip saddr @nat-group-1 tcp dport 22 drop
add table ip nat
add chain ip nat postrouting {type nat hook postrouting priority srcnat; policy accept; }
add rule  ip nat postrouting ip saddr @nat-group-1 snat to 192.168.1.0/24 persistent
add rule  ip nat postrouting ip saddr @nat-group-2 snat to 192.168.2.0/24 persistent

我收到错误消息

Error: No such file or directory; did you mean set ‘nat-group-1’ in table ip ‘filter’?

我不知道如何引用另一个表中的集合。这可能吗？我怀疑可以通过在两个表中复制集合来解决此问题，但错误消息让我希望存在一些我不知道的语法。

我将在两个表中引用该集合。

答案1

问题

例如相反iptables' 同伴ipset居住在iptables因此没有任何范围限制，通过两者的交互，范围nftables设置仅限于其定义的表。

从一个表引用另一个表根本不可能，因此不能引用另一个表中的所有对象，包括另一个表中定义的集合。

解决方案

使用时应该有不同的想法nftables比使用iptables：表角色不固定。

只要有可能，如果要让不同类型的钩子一起工作，就应该使用同一张表。

对于 OP 的情况，chain ip filter input和chain ip nat postrouting可以放在同一个表中，因为它们是同一个家族（ip）。因此，只需稍微重写规则集。例如，让我们调用公共表multinat并机械地重写（例如：sed 's/ip filter/ip multinat/g;s/ip nat/ip multinat/g'。再次添加现有表不是错误，而只是无操作）所有内容到此表中：

#!/usr/sbin/nft -f
add table ip multinat
add chain ip multinat input { type filter hook input priority 0; }
add set   ip multinat nat-group-1 { type ipv4_addr; }
add set   ip multinat nat-group-2 { type ipv4_addr; }
add set   ip multinat nat-group-3 { type ipv4_addr; }
add set   ip multinat nat-group-4 { type ipv4_addr; }
add set   ip multinat nat-group-5 { type ipv4_addr; }
add rule  ip multinat input ip saddr @nat-group-1 tcp dport 22 drop
add table ip multinat
add chain ip multinat postrouting {type nat hook postrouting priority srcnat; policy accept; }
add rule  ip multinat postrouting ip saddr @nat-group-1 snat to 192.168.1.0/24 persistent
add rule  ip multinat postrouting ip saddr @nat-group-2 snat to 192.168.2.0/24 persistent

现在放表中的元素可以从两个链访问，因为它们都在同一个表中。相反iptables，表中的链条有不同的钩子类型并不重要。

其他案例

现在，相同的更改不能应用于不同系列的表之间（，，，，netdev）。bridgearpip ip6inet

ip在ip6和inet（这是 IPv4 和 IPv6 的组合）之间，解决方案仍然很简单：将所有内容放入一个家族inet表中，并调整一些规则，以消除ip和之间的歧义ip6。

对于其他情况，另一种方法是在第一个发生的链中标记数据包或流，以便做出决定，以便后续发生的链可以检索标记而无需再次检查。

如果这些都无法做到，那么我认为除了在多个表中复制集合之外别无他法。

相关内容