https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Nftables_%E2%80%93_Einf%C3%BChrung 2026-06-17T11:31:37Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://wiki.ixheim.de/index.php?title=Nftables_%E2%80%93_Einf%C3%BChrung&diff=70334&oldid=prev 2026-05-22T04:30:40Z

<p>Die Seite wurde neu angelegt: „= nftables – Einführung = &#039;&#039;&#039;nftables&#039;&#039;&#039; ist das moderne Firewall-Framework des Linux-Kernels. Es ersetzt das ältere &#039;&#039;&#039;iptables&#039;&#039;&#039; und ist seit Linux-Ker…“</p> <p><b>Neue Seite</b></p><div>= nftables – Einführung =<br /> <br /> '''nftables''' ist das moderne Firewall-Framework des Linux-Kernels.<br /> Es ersetzt das ältere '''iptables''' und ist seit Linux-Kernel 3.13 fester Bestandteil jedes aktuellen Linux-Systems.<br /> <br /> Die Konfiguration erfolgt über das Kommandozeilenprogramm '''nft'''.<br /> <br /> == Warum nftables statt iptables? ==<br /> <br /> '''iptables''' hat viele Jahre gute Dienste geleistet – es ist aber in die Jahre gekommen.<br /> Die wichtigsten Schwächen von iptables:<br /> <br /> * IPv4 und IPv6 mussten '''getrennt''' konfiguriert werden (iptables und ip6tables)<br /> * Regeln wurden '''immer vollständig''' von oben nach unten durchsucht – auch wenn das gar nicht nötig wäre<br /> * Vordefinierte Tabellen und Ketten waren '''immer aktiv''', egal ob man sie braucht oder nicht<br /> * Änderungen am Regelsatz erforderten oft ein komplettes Neu-Einlesen aller Regeln<br /> <br /> nftables löst all diese Probleme und bringt dabei eine klarere, einheitlichere Syntax mit.<br /> <br /> == Was ist neu und anders? ==<br /> <br /> ;Nur was gebraucht wird, wird angelegt<br /> :Bei iptables gibt es vordefinierte Tabellen und Ketten, die immer vorhanden sind.<br /> :Bei nftables legt man '''nur das an, was man wirklich braucht''' – nichts läuft im Hintergrund ohne Grund.<br /> <br /> ;IPv4 und IPv6 gemeinsam verwalten<br /> :Mit der ''inet''-Familie in nftables kann man '''eine einzige Regel''' schreiben,<br /> :die sowohl für IPv4- als auch für IPv6-Pakete gilt. Schluss mit doppelter Arbeit.<br /> <br /> ;Schnellere Paketverarbeitung<br /> :nftables kann Pakete mithilfe von '''Sets und Maps''' sehr effizient sortieren,<br /> :ohne jede Regel einzeln prüfen zu müssen.<br /> <br /> ;Flexiblere Regeln<br /> :Eine einzelne nftables-Regel kann '''mehrere Aktionen''' auf einmal ausführen –<br /> :zum Beispiel gleichzeitig zählen, loggen und blockieren.<br /> <br /> == Kompatibilität mit iptables ==<br /> <br /> Wer bisher mit iptables gearbeitet hat, muss nicht sofort alles neu lernen.<br /> Es gibt Werkzeuge, die bestehende iptables-Regeln automatisch nach nftables konvertieren.<br /> Außerdem bringt nftables eine Kompatibilitätsschicht mit, über die iptables-Befehle<br /> weiterhin funktionieren – zumindest für den Übergang.</div>

Thomas.will