Nftables Visualisiert - Versionsgeschichte

Thomas.will: /* output */

2026-05-07T05:11:10Z

output

Thomas.will: /* Base Chains anlegen */

2026-05-07T05:10:43Z

Base Chains anlegen

Thomas.will: /* Hooks und Paketfluss */

2026-05-07T05:10:16Z

Hooks und Paketfluss

Thomas.will: /* Regelverarbeitung */

2026-05-07T05:09:07Z

Regelverarbeitung

Thomas.will: Die Seite wurde neu angelegt: „= Überblick = ''nftables'' verwendet dieselbe Netfilter-Infrastruktur wie das ältere ''iptables'' – neu ist lediglich das Framework zur Paketklassifizieru…“

2026-05-07T05:07:46Z

Die Seite wurde neu angelegt: „= Überblick = ''nftables'' verwendet dieselbe Netfilter-Infrastruktur wie das ältere ''iptables'' – neu ist lediglich das Framework zur Paketklassifizieru…“

Neue Seite

= Überblick =

''nftables'' verwendet dieselbe Netfilter-Infrastruktur wie das ältere ''iptables'' – neu ist lediglich das Framework zur Paketklassifizierung.

Das folgende Schaubild zeigt alle Netfilter-Hooks und Paketfamilien im Überblick. Für den Einstieg konzentrieren wir uns auf die '''IP-Familie''' (mittlere Ebene):

[[Datei:Nf-hooks.png]]

= Hooks und Paketfluss =

Pakete durchlaufen das System je nach Ziel unterschiedliche Hooks:

{| class="wikitable"
! Hook !! Wann greift er? !! Typischer Einsatz
|-
| <code>prerouting</code> || Jedes eingehende Paket, ''vor'' der Routing-Entscheidung || DNAT, Connection Tracking
|-
| <code>input</code> || Pakete, die '''an diese Maschine''' adressiert sind || Firewall für lokale Dienste
|-
| <code>forward</code> || Pakete, die '''weitergeleitet''' werden (Router-Betrieb) || Firewall zwischen Netzsegmenten
|-
| <code>output</code> || Pakete, die '''von dieser Maschine''' erzeugt werden || Ausgehende Filterung
|-
| <code>postrouting</code> || Jedes ausgehende Paket, ''nach'' der Routing-Entscheidung || SNAT, Masquerade
|}

{{Hinweis|Damit der <code>forward</code>-Hook greift, muss IP-Forwarding aktiviert sein:
<syntaxhighlight lang="bash">
echo 1 > /proc/sys/net/ipv4/ip_forward
</syntaxhighlight>
}}

= Ketten in nftables =

{{#drawio:nft-inet1}}

Im Gegensatz zu ''iptables'', das an jedem Hook '''vordefinierte Ketten''' mitbringt (z. B. <code>INPUT</code>, <code>FORWARD</code>), definiert ''nftables'' '''überhaupt keine Ketten'''. Man muss sie explizit anlegen und einem Hook zuweisen – das nennt sich '''Base Chain'''.

= Regelverarbeitung =

Regeln werden '''sequenziell''' auf ein Paket angewandt:

# Greift eine Regel → Aktion wird ausgeführt (z. B. <code>accept</code> oder <code>drop</code>), Verarbeitung stoppt.
# Greift keine Regel → die '''Default Policy''' der Kette wird angewandt.

{| class="wikitable"
! colspan="3" | filter table
|-
! style="color: blue; font-style: italic;" | INPUT
! style="color: blue; font-style: italic;" | FORWARD
! style="color: blue; font-style: italic;" | OUTPUT
|-
| rule 1 || rule 1 || rule 1
|-
| rule 2 || rule 2 || rule 2
|-
| rule 3 || rule 3 ||
|-
| rule 4 || ||
|-
| style="color: red; font-style: italic;" | POLICY
| style="color: red; font-style: italic;" | POLICY
| style="color: red; font-style: italic;" | POLICY
|}

= Tabellen und Ketten anlegen =

== Tabelle anlegen ==

<syntaxhighlight lang="bash">
nft add table inet filter
</syntaxhighlight>

Die Familie <code>inet</code> deckt gleichzeitig IPv4 und IPv6 ab – empfohlen für den modernen Einsatz.

== Tabelle löschen ==

<syntaxhighlight lang="bash">
nft delete table inet filter
</syntaxhighlight>

== Base Chains anlegen ==

Jede Kette wird einem Hook und einer Priorität zugewiesen. Priorität <code>0</code> ist der Standardwert für Filterregeln.

=== input ===
<syntaxhighlight lang="bash">
nft add chain inet filter input '{ type filter hook input priority 0 ; policy drop ; }'
</syntaxhighlight>

=== forward ===
<syntaxhighlight lang="bash">
nft add chain inet filter forward '{ type filter hook forward priority 0 ; policy drop ; }'
</syntaxhighlight>

=== output ===
<syntaxhighlight lang="bash">
nft add chain inet filter output '{ type filter hook output priority 0 ; policy accept ; }'
</syntaxhighlight>

{{Hinweis|Die <code>policy</code> legt fest, was mit Paketen passiert, auf die '''keine Regel''' zutrifft. Typisch: <code>input</code> und <code>forward</code> → <code>drop</code>, <code>output</code> → <code>accept</code>.}}

= Aktuellen Regelstand anzeigen =

<syntaxhighlight lang="bash">
nft list ruleset
</syntaxhighlight>

@@ Zeile 98: / Zeile 98: @@
 </syntaxhighlight>
-;Hinweis Die <code>policy</code> legt fest, was mit Paketen passiert, auf die '''keine Regel''' zutrifft. Typisch: <code>input</code> und <code>forward</code> → <code>drop</code>, <code>output</code> → <code>accept</code>.}}
+;Hinweis Die <code>policy</code> legt fest, was mit Paketen passiert, auf die '''keine Regel''' zutrifft. Typisch: <code>input</code> und <code>forward</code> → <code>drop</code>, <code>output</code> → <code>accept</code>
 = Aktuellen Regelstand anzeigen =

@@ Zeile 25: / Zeile 25: @@
 |}
-{{Hinweis|Damit der <code>forward</code>-Hook greift, muss IP-Forwarding aktiviert sein:
+;Hinweis Damit der <code>forward</code>-Hook greift, muss IP-Forwarding aktiviert sein:
 <syntaxhighlight lang="bash">
 echo 1 > /proc/sys/net/ipv4/ip_forward
 </syntaxhighlight>
 = Ketten in nftables =

@@ Zeile 41: / Zeile 41: @@
 Regeln werden '''sequenziell''' auf ein Paket angewandt:
-# Greift eine Regel → Aktion wird ausgeführt (z. B. <code>accept</code> oder <code>drop</code>), Verarbeitung stoppt.
+*Greift eine Regel → Aktion wird ausgeführt (z. B. <code>accept</code> oder <code>drop</code>), Verarbeitung stoppt.
-# Greift keine Regel → die '''Default Policy''' der Kette wird angewandt.
+*Greift keine Regel → die '''Default Policy''' der Kette wird angewandt.
 {| class="wikitable"