Nftables und layer2 Firewall - Versionsgeschichte

Thomas.will: /* Vorab */

2026-05-05T16:23:36Z

Vorab

Thomas.will am 5. Mai 2026 um 16:21 Uhr

2026-05-05T16:21:59Z

Thomas.will: /* Regeln */

2024-06-13T17:57:29Z

Regeln

Thomas.will: /* Regeln */

2024-06-13T17:56:05Z

Regeln

Thomas.will: /* Regeln */

2024-06-13T17:52:58Z

Regeln

Thomas.will: /* nftables schnellstart */

2024-03-07T07:54:15Z

nftables schnellstart

Thomas.will: /* Regeln */

2024-03-07T07:42:55Z

Regeln

Thomas.will: /* Regeln */

2024-03-07T07:42:32Z

Regeln

Thomas.will am 6. März 2024 um 19:19 Uhr

2024-03-06T19:19:54Z

Thomas.will: /* Zustandslose Filterung */

2024-03-06T19:17:21Z

Zustandslose Filterung

@@ Zeile 2: / Zeile 2: @@
 ;Bei Virtualisierungen Bridge Ports auf Promisc setzen
 *Dies erlaubt der virtuellen Netzwerkkarte, auch Pakete zu empfangen, die nicht an ihre MAC-Adresse gerichtet sind – notwendig für den Bridge-Betrieb.
 [[Datei:Vm-promisc-1.png]]

@@ Zeile 1: / Zeile 1: @@
 =Vorab=
 ;Bei Virtualisierungen Bridge Ports auf Promisc setzen
 [[Datei:Vm-promisc-1.png]]
 =Installation der Bridgeutils=
@@ Zeile 29: / Zeile 35: @@
      bridge_stp no
 </pre>
+;Hinweise zur Konfiguration
 *ifup vmbr0
 =Bridge-Filterung=
+==Arten von Bridge-Ketten==
 *Die Bridge-Familie bietet vier Kettenarten:
 ;prerouting:
 *Hier können Pakete vor der Forward-Datenbank (FDB) Entscheidung gefiltert werden.
 *Die FDB liefert den Bridge-Port, der für eine bestimmte Ziel-MAC-Adresse verwendet wird.
 *Wenn es noch keinen Eintrag in der FDB für eine gegebene Ziel-MAC gibt, werden die Pakete an alle Bridge-Ports geflutet.
 *Nach der FDB-Entscheidung können Pakete entweder dem Eingangs- oder dem Weiterleitweg folgen.
 ;input:
 *Hier können Pakete gefiltert werden, die an den IP-Stack übergeben werden.
-*Wenn Ihre Bridge-Schnittstelle eine IP-Adresse hat und Pakete an diese IP-Adresse gehen (oder diese IP-Adresse als Gateway verwendet wird), folgen die Pakete diesem Pfad (in diesem Fall verlassen die Pakete die Bridge, um in den IP-Stack einzutreten, also werden die Pakete "geroutet").
+*Wenn die Bridge-Schnittstelle eine IP-Adresse hat und Pakete an diese IP-Adresse gehen, folgen die Pakete diesem Pfad (die Pakete verlassen die Bridge und treten in den IP-Stack ein).
 ;forward:
-*Diese Hook kann verwendet werden, um Pakete zu filtern, die von einem Bridge-Port eingehen und an einen anderen Bridge-Port geliefert werden (dies ist der Bridge-Weiterleitungspfad, in diesem Fall werden die Pakete "gebridged").
+*Diese Hook filtert Pakete, die von einem Bridge-Port eingehen und an einen anderen Bridge-Port geliefert werden (der Bridge-Weiterleitungspfad).
-;output:
+*'''Im vorliegenden Szenario wird ausschließlich diese Chain genutzt''' – die Bridge hat keine IP-Adresse im Datenpfad, es wird rein gebridged.
-*Hier können Pakete gefiltert werden, die vom IP-Stack kommen und deren Ziel der Bridge-Port ist.
+;output:
-;postrouting:
+*Hier können Pakete gefiltert werden, die vom IP-Stack kommen und deren Ziel ein Bridge-Port ist.
 *Hier können Pakete gefiltert werden, die entweder vom IP-Stack kommen oder von einem anderen Bridge-Port weitergeleitet werden.
-=Ein weiteres Beispiel zum Akzeptieren von ARP-Paketen=
+=ARP=
-*nft add rule bridge filter forward ether type arp accept
+*ARP ist im Gegensatz zur Layer 3 Firewall '''nicht''' automatisch freigeschaltet und muss explizit erlaubt werden.
 =Zustandsabhängige Filterung=
-*Die Bridge-Familie unterstützt die Verbindungsverfolgung.
+*Die Bridge-Familie unterstützt Connection Tracking (Verbindungsverfolgung).
-*Sie müssen nur auf den Verbindungsstatusinformationen aus Ihrer Regelmenge übereinstimmen, um dies zu aktivieren.
+*Durch Matching auf den Verbindungsstatus (<code>ct state</code>) können bestehende Verbindungen automatisch durchgelassen werden, ohne jede Richtung explizit freizuschalten.
 =Bridge Firewall=
 {{#drawio:bridge-fw}}
 =Regeln=
-*cat  /etc/nftables.conf
+;Konzept
 <pre>
 #!/usr/sbin/nft -f
 define open    = enp0s8
 define filter  = enp0s9
 flush ruleset
 table bridge filter {
          chain forward {
                  type filter hook forward priority 0; policy drop;
                  ct state established,related accept
-                 # Arp freischalten
-	        iif $open ether type arp accept
+                 # ARP freischalten (beide Richtungen notwendig)
                  iif $filter ether type arp accept
-                 ####icmp von filter nach open freischalten
                  #iif $filter oif $open ip protocol icmp ct state new accept
-                 ####dns von filter nach open freischalten
                  #iif $filter oif $open udp dport 53 ct state new accept
-                 ####http von filter nach open freischalten
                  #iif $filter oif $open tcp dport 80 ct state new accept
-                 ####https von filter nach open freischalten
                  #iif $filter oif $open tcp dport 443 ct state new accept
-                 ####alles von open nach filter freischalten
                  #iif $open oif $filter ct state new accept
-                 #### Loggen von abgelehnten Paketen
                  log prefix " nft-drop"
+         }
+}
 </pre>
 =Regel Handling=
@@ Zeile 108: / Zeile 128: @@
 ;Kontrolle der Regeln
 *nft list ruleset
-;Löschender Regeln
+;Löschen der Regeln
 *nft flush ruleset
 =Live Log der Regel Verstösse=
 *journalctl -f -t kernel -g "nft-drop"

@@ Zeile 73: / Zeile 73: @@
 =Regeln=
-*cat  nftables.conf
+*cat  /etc/nftables.conf
 <pre>
 #!/usr/sbin/nft -f
 define open    = enp0s8
 define filter  = enp0s9
 flush ruleset
 table bridge filter {
@@ Zeile 89: / Zeile 86: @@
 	        iif $open ether type arp accept
                  iif $filter ether type arp accept
-                 #icmp von filter nach open freischalten
+                 ####icmp von filter nach open freischalten
-                 iif $filter oif $open ip protocol icmp ct state new accept
+                 #iif $filter oif $open ip protocol icmp ct state new accept
-                 #dns von filter nach open freischalten
+                 ####dns von filter nach open freischalten
-                 iif $filter oif $open udp dport 53 ct state new accept
+                 #iif $filter oif $open udp dport 53 ct state new accept
-                 #http von filter nach open freischalten
+                 ####http von filter nach open freischalten
-                 iif $filter oif $open tcp dport 80 ct state new accept
+                 #iif $filter oif $open tcp dport 80 ct state new accept
-                 #https von filter nach open freischalten
+                 ####https von filter nach open freischalten
-                 iif $filter oif $open tcp dport 443 ct state new accept
+                 #iif $filter oif $open tcp dport 443 ct state new accept
-                 #alles von open nach filter freischalten
+                 ####alles von open nach filter freischalten
-                 iif $open oif $filter ct state new accept
+                 #iif $open oif $filter ct state new accept
-                 # Loggen von abgelehnten Paketen
+                 #### Loggen von abgelehnten Paketen
                  log prefix " nft-drop"
+         }
@@ Zeile 105: / Zeile 102: @@
 </pre>
 =Regel Handling=
 ;Laden der Regeln

← Nächstältere Version		Version vom 13. Juni 2024, 17:56 Uhr
Zeile 105:		Zeile 105:

	</pre>		</pre>
		+	=Regel Handling=
		+	;Laden der Regeln
		+	*nft -f /etc/nftables.conf
		+	;Kontrolle der Regeln
		+	*nft list ruleset
		+	;Löschender Regeln
		+	*nft flush ruleset
		+	=Live Log der Regel Verstösse=
		+	*journalctl -f -t kernel -g "nft-drop"

@@ Zeile 73: / Zeile 73: @@
 =Regeln=
 <pre>
 #!/usr/sbin/nft -f
 flush ruleset
 table bridge filter {
          chain forward {
                  type filter hook forward priority 0; policy drop;
                  ct state established,related accept
-                 iif enp0s8 ether type arp accept
+                 # Arp freischalten
-                 iif enp0s9 ether type arp accept
+	        iif $open ether type arp accept
-                 oif enp0s9 udp dport 53 ct state new accept
+                 iif $filter ether type arp accept
-                 oif enp0s9 tcp dport 80 ct state new accept
+                 #icmp von filter nach open freischalten
-                 oif enp0s9 tcp dport 443 ct state new accept
+                iif $filter oif $open ip protocol icmp ct state new accept
-                 oif enp0s9 ip protocol icmp ct state new accept
+                #dns von filter nach open freischalten
                  # Loggen von abgelehnten Paketen
-                 log prefix " nftables drop: "
+                 log prefix " nft-drop"
+         }
+}
 </pre>

@@ Zeile 69: / Zeile 69: @@
 =nftables schnellstart=
 *[[nftables schnellstart]]
+=Bridge Firewall=
 =Regeln=

@@ Zeile 84: / Zeile 84: @@
                  iif enp0s8 ether type arp accept
                  iif enp0s9 ether type arp accept
-                 oifname "enp0s9" udp dport 53 ct state new accept
+                 oif "enp0s9" udp dport 53 ct state new accept
-                 oifname "enp0s9" tcp dport 80 ct state new accept
+                 oif "enp0s9" tcp dport 80 ct state new accept
-                 oifname "enp0s9" tcp dport 443 ct state new accept
+                 oif "enp0s9" tcp dport 443 ct state new accept
-                 oifname "enp0s9" ip protocol icmp ct state new accept
+                 oif "enp0s9" ip protocol icmp ct state new accept
                  # Loggen von abgelehnten Paketen
                  log prefix " nftables drop: "

@@ Zeile 58: / Zeile 58: @@
 *nft add rule bridge filter forward ether type arp accept
 =Zustandsabhängige Filterung=
-*Die Bridge-Familie unterstützt die Verbindungsverfolgung seit Linux-Kernel 5.3.
+*Die Bridge-Familie unterstützt die Verbindungsverfolgung.
 *Sie müssen nur auf den Verbindungsstatusinformationen aus Ihrer Regelmenge übereinstimmen, um dies zu aktivieren.
 =Beispiel: Zustandsabhängige Bridge-Firewall=
-*Das folgende Beispiel zeigt, wie eine zustandsabhängige Bridge-Firewall bereitgestellt wird.
+*Wir erstellen einen bridgefilter
-*Dies setzt voraus, dass die Bridge-Schnittstelle keine IP-Adresse hat.
+*Wir erstellen die Policy drop
-=Angenommen, eine Bridge mit zwei Ports, eth0 und eth1=
+*Connection Tracking wie üblich
-*Ein Desktop-Computer ist mit dem Bridge-Port eth0 verbunden.
+*arp ist generell erlaubt
-*Ein Webserver (mit SSH für die Remote-Verwaltung) ist mit dem Bridge-Port eth1 verbunden.
 =nftables schnellstart=

@@ Zeile 52: / Zeile 52: @@
 ;postrouting:
 *Hier können Pakete gefiltert werden, die entweder vom IP-Stack kommen oder von einem anderen Bridge-Port weitergeleitet werden.
-=Zustandslose Filterung=
+=Arp=
-Wenn Sie den TCP-Zielport in IPv4-Paketen filtern möchten:
+*arp ist im Gegensatz zur Layer 3 Firewall nicht automatisch freigeschaltet
-*nft add rule bridge filter forward ether type ip tcp dport 22 accept
 =Ein weiteres Beispiel zum Akzeptieren von ARP-Paketen=
 *nft add rule bridge filter forward ether type arp accept