Thomas.will: /* Hooks und Paketfluss */

2026-05-22T04:38:06Z

Hooks und Paketfluss

Thomas.will: Die Seite wurde neu angelegt: „= Hooks, Chains und Tabellen = == Das Konzept – eine Analogie == Stellt euch ein Bürogebäude vor: * Die '''Büros''' sind fest eingebaut – sie existie…“

2026-05-22T04:37:04Z

Die Seite wurde neu angelegt: „= Hooks, Chains und Tabellen = == Das Konzept – eine Analogie == Stellt euch ein Bürogebäude vor: * Die '''Büros''' sind fest eingebaut – sie existie…“

Neue Seite

= Hooks, Chains und Tabellen =

== Das Konzept – eine Analogie ==

Stellt euch ein Bürogebäude vor:

* Die '''Büros''' sind fest eingebaut – sie existieren, egal ob jemand drin sitzt. Das sind die '''Hooks'''.
* '''Abteilungen''' ziehen in diese Büros ein und erledigen dort ihre Arbeit. Das sind die '''Chains'''.
* Die Abteilungen gehören zu einer '''Firma''' – die Bestellabteilung und der Wareneingang sitzen in verschiedenen Büros, sind aber logisch zusammengefasst. Das ist die '''Tabelle'''.

Bei ''iptables'' waren die Abteilungen schon fest eingezogen – ob man sie brauchte oder nicht.
Bei ''nftables'' ist das Gebäude leer. Man richtet nur das ein, was man wirklich braucht.

== Hooks und Paketfluss ==

Das folgende Schaubild zeigt den Weg eines Pakets durch den Linux-Netzwerkstack.
Für den Einstieg konzentrieren wir uns auf die '''IP-Familie''' (mittlere Ebene):

[[Datei:Nft-inet1.png]]

Pakete durchlaufen je nach Ziel unterschiedliche Hooks:

{| class="wikitable"
! Hook !! Wann greift er? !! Typischer Einsatz
|-
| <code>prerouting</code> || Jedes eingehende Paket, ''vor'' der Routing-Entscheidung || DNAT, Connection Tracking
|-
| <code>input</code> || Pakete, die '''an diese Maschine''' adressiert sind || Firewall für lokale Dienste
|-
| <code>forward</code> || Pakete, die '''weitergeleitet''' werden (Router-Betrieb) || Firewall zwischen Netzsegmenten
|-
| <code>output</code> || Pakete, die '''von dieser Maschine''' erzeugt werden || Ausgehende Filterung
|-
| <code>postrouting</code> || Jedes ausgehende Paket, ''nach'' der Routing-Entscheidung || SNAT, Masquerade
|}

;Hinweis: Damit der <code>forward</code>-Hook greift, muss IP-Forwarding aktiviert sein:
<syntaxhighlight lang="bash">
echo 1 > /proc/sys/net/ipv4/ip_forward
</syntaxhighlight>

== Chains in nftables ==

Im Gegensatz zu ''iptables'' bringt ''nftables'' '''keine vordefinierten Chains''' mit.
Man legt sie selbst an und weist ihnen einen Hook zu – das nennt sich '''Base Chain'''.

Zurück zur Analogie: Der Raum (Hook) existiert, aber die Abteilung (Chain) muss erst einziehen.
Erst dann wird Arbeit erledigt – also Pakete verarbeitet.

== Regelverarbeitung ==

Regeln werden '''sequenziell''' von oben nach unten auf ein Paket angewandt:

* Greift eine Regel → Aktion wird ausgeführt (z. B. <code>accept</code> oder <code>drop</code>), Verarbeitung stoppt.
* Greift keine Regel → die '''Default Policy''' der Chain wird angewandt.

{| class="wikitable"
! colspan="3" | Tabelle: filter
|-
! style="color: blue; font-style: italic;" | input
! style="color: blue; font-style: italic;" | forward
! style="color: blue; font-style: italic;" | output
|-
| rule 1 || rule 1 || rule 1
|-
| rule 2 || rule 2 || rule 2
|-
| rule 3 || rule 3 ||
|-
| rule 4 || ||
|-
| style="color: red; font-style: italic;" | policy drop
| style="color: red; font-style: italic;" | policy drop
| style="color: red; font-style: italic;" | policy accept
|}

= Tabellen und Chains anlegen =

== Tabelle anlegen ==

<syntaxhighlight lang="bash">
nft add table inet filter
</syntaxhighlight>

Die Familie <code>inet</code> deckt gleichzeitig IPv4 und IPv6 ab – empfohlen für den modernen Einsatz.

== Tabelle löschen ==

<syntaxhighlight lang="bash">
nft delete table inet filter
</syntaxhighlight>

== Base Chains anlegen ==

Jede Chain wird einem Hook und einer Priorität zugewiesen.
Priorität <code>0</code> ist der Standardwert für Filterregeln.

=== input ===
<syntaxhighlight lang="bash">
nft add chain inet filter input '{ type filter hook input priority 0 ; policy drop ; }'
</syntaxhighlight>

=== forward ===
<syntaxhighlight lang="bash">
nft add chain inet filter forward '{ type filter hook forward priority 0 ; policy drop ; }'
</syntaxhighlight>

=== output ===
<syntaxhighlight lang="bash">
nft add chain inet filter output '{ type filter hook output priority 0 ; policy accept ; }'
</syntaxhighlight>

;Hinweis: Die <code>policy</code> legt fest, was mit Paketen passiert, auf die '''keine Regel''' zutrifft.
Typisch: <code>input</code> und <code>forward</code> → <code>drop</code>, <code>output</code> → <code>accept</code>.

= Aktuellen Regelstand anzeigen =

<syntaxhighlight lang="bash">
nft list ruleset
</syntaxhighlight>

@@ Zeile 17: / Zeile 17: @@
 Für den Einstieg konzentrieren wir uns auf die '''IP-Familie''' (mittlere Ebene):
-[[Datei:Nft-inet1.png]]
+{{#drawio:nft-inet1}}
 Pakete durchlaufen je nach Ziel unterschiedliche Hooks:

Nftables – Aufbau - Versionsgeschichte

Thomas.will: /* Hooks und Paketfluss */

Thomas.will: Die Seite wurde neu angelegt: „= Hooks, Chains und Tabellen = == Das Konzept – eine Analogie == Stellt euch ein Bürogebäude vor: * Die '''Büros''' sind fest eingebaut – sie existie…“