環境
$ cat /etc/redhat-release
の結果は次の通り。
Rocky Linux release 9.1 (Blue Onyx)
参考ページ
Linuxにおける新たなパケットフィルタリングツール「nftables」入門
概要
iptables廃止で、nftablesが使われるらしい。
firewalldもnftablesも根本は同じなので、慣れた方使えば良さそう。
おおざっぱな違いは下記の通り。
- firewalld：ネットワークに詳しくない人でもできるように考えられている。
- nftables：多少ネットワークの知識が必要。
Tips
- nftablesがインストールされているか確認するには、次のコマンドを使う。
# dnf list installed | grep nftables
- nftablesはシステム起動時に下記ファイルを読み込む。
/etc/sysconfig/nftables.conf
- 設定ファイルのサンプルは下記の場所に置かれている。
/etc/nftables
- nftables.confを読むと、設定を直接nftables.confに書き込むのでは無く、
includeで/etc/nftablesに配置した.nftファイルを読み込ませるのが良いらしい。
- nftコマンドで変更された内容はnftablesを再起動すると元に戻る。
nftablesの構成について簡易まとめ
- フィルタリングルール設定全体のことをルールセットと呼び、ルールセットにはアドレスファミリ毎に作成できるテーブルがあり、テーブル内にはルールを管理するための入れ物であるチェインがあり、ルールにパケットフィルタリングをどのように行うかを記述する。
- ユーザはテーブルをいくつでも作成可能。
- デフォルトのテーブルは存在しない。
- 1つのアドレスファミリに対し、複数のテーブルを作成することも可能。実行順序はテーブル内のチェインの優先度によって決まる。
- ユーザはチェインをいくつでも作成可能。
- ベースチェインとレギュラーチェインが存在し、ベースチェインは作成時にそのタイプや紐付けるフック、デバイス、プライオリティが指定され、レギュラーチェインはルール内のjumpやgotoで呼び出される、プログラミングにおけるサブルーチンのようなもの。
- チェインの最後にdropを加えることで、ポリシーをAcceptにしながら指定したパケット以外をdropすることが可能。
手順
firewalldを無効化する。
# systemctl disable --now firewalld
nftablesを有効化する。
# systemctl enable --now nftables
SSHとWebサーバに関するルールだけなので、テーブル1つ、ベースチェインもiptablesと同様に3つで設定する。
テーブル作成。
# nft create table inet filter
テーブルが作成されたことを確認。
# nft list tables
ベースチェインを作成。
# nft create chain inet filter input { type filter hook input priority 0\; policy drop\; }
# nft create chain inet filter output { type filter hook output priority 0\; policy accept\; }
# nft create chain inet filter forward { type filter hook forward priority 0\; policy drop\; }
SSHの22番ポート向けのパケットを全てAcceptする。
# nft add rule inet filter input tcp dport 22 accept
Webサーバの80番ポート向けのパケットを全てAcceptする。
# nft add rule inet filter input tcp dport 80 accept
Webサーバの443番ポート向けのパケットを全てAcceptする。
# nft add rule inet filter input tcp dport 443 accept
コネクションが確立した通信のパケットと、
コネクションが確立した通信に関連するパケットをAcceptする。
# nft add rule inet filter input ct state related, established accept
ローカルホストからのパケットをAcceptする。
# nft add rule inet filter input iif lo accept
pingを使えるようにAcceptする。
# nft add rule inet filter input icmp type { echo-request, echo-reply } accept
上記コマンドでSSHとpingについては正常に動作することを確認した。
（Webサーバ関連の確認は、Webサーバ構築後に行う）
再起動しても設定が保持されるようにするには、
/etc/nftables/任意のファイル名.nft
に、下記のコマンドで表示された文字列をコピーしても良いはず。
# nft list ruleset
（ただし、1行目にflush rulesetのコマンドは加えておいた方が良い）
今回作成した/etc/nftables/ファイル名.nftの内容は下記の通り。
# 初期化。
flush ruleset
# filterテーブル
table inet filter {
# inputベースチェイン
chain input {
type filter hook input priority 0; policy drop;
# SSHのポート22番向けのパケットを全てAcceptする。
tcp dport 22 accept
# HTTPサーバのポート80番向けのパケットを全てAcceptする。
tcp dport 80 accept
# HTTPSサーバのポート443番向けのパケットを全てAcceptする。
tcp dport 443 accept
# 確立済みコネクションのパケットと、それに関連するパケットをAcceptする。
ct state related, established accept
# ローカルホスト（サーバ自身）からのパケットをAcceptする。
iif lo accept
# pingを使えるようにAcceptする。
icmp type { echo-request, echo-reply } accept
}
# outputベースチェイン
chain output {
type filter hook output priority 0; policy accept;
}
# forwardベースチェイン
chain forward {
type filter hook forward priority 0; policy drop;
}
}
作成したファイル名.nftを反映させるために、
/etc/sysconfig/nftables.conf
に、下記文字列を追加する。
include "/etc/nftables/ファイル名.nft"
動作確認をするために、nftablesを下記コマンドで再起動。
# systemctl restart nftables
nftablesが正常に起動していることを確認するために、下記コマンドで確認。
# systemctl status nftables
nftablesが正常に起動していたら、下記コマンドで確認。
# nft list ruleset
設定した通りの内容が記載されていれば、nftablesの設定は完了。