Nftables Hooks: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
(Die Seite wurde neu angelegt: „''nftables'' uses mostly the same Netfilter infrastructure as legacy ''iptables''. The hook infrastructure, [http://people.netfilter.org/pablo/docs/login.pdf C…“)
 
Zeile 1: Zeile 1:
−
''nftables'' uses mostly the same Netfilter infrastructure as legacy ''iptables''. The hook infrastructure, [http://people.netfilter.org/pablo/docs/login.pdf Connection Tracking System], NAT engine, logging infrastructure, and userspace queueing remain the same. Only the packet classification framework is new.
+
''nftables'' verwendet größtenteils dieselbe Netfilter-Infrastruktur wie ältere ''iptables''. Die Hook-Infrastruktur, [http://people.netfilter.org/pablo/docs/login.pdf Connection Tracking System], NAT-Engine, Logging-Infrastruktur und Userspace-Warteschlangen bleiben gleich. Lediglich das Framework zur Paketklassifizierung ist neu.
  
  
−
__TOC__
+
__Inhalt__
  
  
−
== Netfilter hooks into Linux networking packet flows ==
+
== Netfilter hakt sich in Linux-Netzwerkpaketflüsse ein ==
  
−
The following schematic shows packet flows through Linux networking:
+
Das folgende Schema zeigt Paketflüsse durch Linux-Netzwerke:
  
  
Zeile 13: Zeile 13:
  
  
−
Traffic flowing to the local machine in the input path sees the prerouting and input hooks. Then, the traffic that is generated by local processes follows the output and postrouting path.
+
Datenverkehr, der im Eingabepfad zur lokalen Maschine fließt, sieht die Prerouting- und Eingabe-Hooks. Anschließend folgt der von lokalen Prozessen generierte Datenverkehr dem Ausgabe- und Postrouting-Pfad.
  
−
If you configure your Linux box to behave as a router, do not forget to enable forwarding via:
+
Wenn Sie Ihre Linux-Box so konfigurieren, dass sie sich als Router verhält, vergessen Sie nicht, die Weiterleitung zu aktivieren über:
  
 
  echo 1 > /proc/sys/net/ipv4/ip_forward
 
  echo 1 > /proc/sys/net/ipv4/ip_forward
  
−
Then packets that are not addressed to your local system will be seen from the forward hook. Such forwarded packets follow the path: prerouting, forward and postrouting.
+
Dann werden Pakete, die nicht an Ihr lokales System adressiert sind, vom Forward-Hook gesehen. Solche weitergeleiteten Pakete folgen dem Pfad: Prerouting, Forward und Postrouting.
  
−
In a major change from iptables, which predefines chains at '''every''' hook (i.e. ''INPUT'' chain in ''filter'' table), nftables predefines '''no''' chains at all. You must must explicitly create a [[Configuring_chains#Base_chain_hooks | base chain]] at each hook at which you want to filter traffic.
+
Im Gegensatz zu iptables, das Ketten an '''jedem''' Hook (d.h. ''INPUT''-Kette in ''filter''-Tabelle) vordefiniert, definiert nftables überhaupt ''keine''' Ketten. Sie müssen explizit eine [[Configuring_chains#Base_chain_hooks | base chain]] an jedem Hook, an dem Sie den Datenverkehr filtern möchten.
  
  
−
=== Ingress hook ===
+
=== Ingress-Hook ===
  
−
The ingress hook was added in Linux kernel 4.2. Unlike the other netfilter hooks, the ingress hook is attached to a particular network interface.
+
Der Ingress-Hook wurde im Linux-Kernel 4.2 hinzugefügt. Im Gegensatz zu den anderen Netzfilter-Hooks ist der Ingress-Hook mit einer bestimmten Netzwerkschnittstelle verbunden.
  
−
You can use ''nftables'' with the ingress hook to enforce very early filtering policies that take effect even before prerouting. Do note that at this very early stage, fragmented datagrams have not yet been reassembled. So, for example, matching ip saddr and daddr works for all ip packets, but matching L4 headers like udp dport works only for unfragmented packets, or the first fragment.
+
Sie können ''nftables'' mit dem Ingress-Hook verwenden, um sehr frühe Filterrichtlinien durchzusetzen, die sogar vor dem Prerouting wirksam werden. Beachten Sie, dass fragmentierte Datagramme in diesem sehr frühen Stadium noch nicht wieder zusammengesetzt wurden. So funktioniert beispielsweise das Abgleichen von ip saddr und daddr für alle IP-Pakete, aber das Abgleichen von L4-Headern wie udp dport funktioniert nur für unfragmentierte Pakete oder das erste Fragment.
  
−
The ingress hook provides an alternative to ''tc'' ingress filtering. You still need ''tc'' for traffic shaping/queue management.
+
Der Ingress-Hook bietet eine Alternative zur ''tc''-Eingangsfilterung. Sie benötigen noch ''tc'' für Traffic Shaping/Warteschlangenverwaltung.
  
  
−
== Hooks by family and chain type ==
+
== Haken nach Familie und Kettentyp ==
  
−
The following table lists available hooks by [[Nftables_families|family]] and [[Configuring_chains#Base_chain_types|chain type]]. Minimum nftables and Linux kernel versions are shown for recently-added hooks.
+
Die folgende Tabelle listet verfügbare Hooks nach [[Nftables_families|family]] und [[Configuring_chains#Base_chain_types|chain type]] auf. Für kürzlich hinzugefügte Hooks werden die Mindestversionen von nftables und Linux-Kernel angezeigt.
  
 
{| class="wikitable"
 
{| class="wikitable"
 
|- style="vertical-align:bottom;"
 
|- style="vertical-align:bottom;"
−
! style="text-align:left;" rowspan="2" | Chain type
+
! style="text-align:left;" rowspan="2" | Kettentyp
−
! colspan="7" | Hooks
+
! colspan="7" | Haken
  
 
|-
 
|-
−
! ingress
+
! eindringen
−
! prerouting
+
! vorrouting
−
! forward
+
! nach vorne
−
! input
+
! Eingang
−
! output
+
! Ausgang
−
! postrouting
+
! Postrouting
−
! egress
+
! aussteigen
  
 
|- style="vertical-align:bottom;"
 
|- style="vertical-align:bottom;"
−
! colspan="8" | <br>inet family
+
! colspan="8" | <br>inet-Familie
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| filter
+
| Filter
 
| {{yes|1=[https://marc.info/?l=netfilter&m=160379555303808&w=2 0.9.7] / [https://kernelnewbies.org/Linux_5.10 5.10]}}
 
| {{yes|1=[https://marc.info/?l=netfilter&m=160379555303808&w=2 0.9.7] / [https://kernelnewbies.org/Linux_5.10 5.10]}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| nat
+
| Nat
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| route
+
| Route
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:bottom;"
 
|- style="vertical-align:bottom;"
−
! colspan="8" | <br>ip6 family
+
! colspan="8" | <br>IP6-Familie
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| filter
+
| Filter
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| nat
+
| Nat
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| route
+
| Route
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:bottom;"
 
|- style="vertical-align:bottom;"
−
! colspan="8" | <br>ip family
+
! colspan="8" | <br>IP-Familie
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| filter
+
| Filter
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| nat
+
| Nat
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| route
+
| Route
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:bottom;"
 
|- style="vertical-align:bottom;"
−
! colspan="8" | <br>arp family
+
! colspan="8" | <br>familie arp
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| filter
+
| Filter
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| nat
+
| Nat
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| route
+
| Route
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:bottom;"
 
|- style="vertical-align:bottom;"
−
! colspan="8" | <br>bridge family
+
! colspan="8" | <br>Brückenfamilie
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| filter
+
| Filter
−
| {{no}}
+
| {{nein}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{yes}}
+
| {{Jawohl}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| nat
+
| Nat
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| route
+
| Route
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:bottom;"
 
|- style="vertical-align:bottom;"
−
! colspan="8" | <br>netdev family
+
! colspan="8" | <br>netdev-Familie
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| filter
+
| Filter
 
| {{yes|1=[https://marc.info/?l=netfilter&m=146488681521497&w=2 0.6] / [https://kernelnewbies.org/Linux_4.2 4.2]}}
 
| {{yes|1=[https://marc.info/?l=netfilter&m=146488681521497&w=2 0.6] / [https://kernelnewbies.org/Linux_4.2 4.2]}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no|- / [https://kernelnewbies.org/Linux_5.7 5.7]}}
+
| {{nein|- / [https://kernelnewbies.org/Linux_5.7 5.7]}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| nat
+
| Nat
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
  
 
|- style="vertical-align:top;"
 
|- style="vertical-align:top;"
−
| route
+
| Route
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{nein}}
−
| {{no}}
+
| {{n
−
 
 
−
|}
 
−
 
 
−
 
 
−
== Priority within hook ==
 
−
 
 
−
Within a given hook, Netfilter performs operations in order of increasing numerical priority. Each nftables [[Configuring_chains#Base_chain_hooks | base&nbsp;chain]] and [[Flowtables|flowtable]] is assigned a priority that defines its ordering among other base chains and flowtables and Netfilter internal operations at the same hook. For example, a chain on the ''prerouting'' hook with priority ''-300'' will be placed before connection tracking operations.
 
−
 
 
−
The following table shows Netfilter priority values, check the nft manpage for reference.
 
−
 
 
−
{| class="wikitable"
 
−
|- style="vertical-align:bottom;"
 
−
! style="text-align:left;" | nftables [[Nftables_families|Families]]
 
−
! style="text-align:left;" | Typical hooks
 
−
! style="text-align:left;" | ''nft'' Keyword
 
−
! style="text-align:right;" | Value
 
−
! style="text-align:left;" | Netfilter Internal Priority
 
−
! style="text-align:left;" | Description
 
−
 
 
−
|- style="vertical-align:top;"
 
−
|
 
−
| prerouting
 
−
|
 
−
| style="text-align:right;" | -450
 
−
| NF_IP_PRI_RAW_BEFORE_DEFRAG
 
−
|
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6
 
−
| prerouting
 
−
|
 
−
| style="text-align:right;" | -400
 
−
| NF_IP_PRI_CONNTRACK_DEFRAG
 
−
| Packet defragmentation / datagram reassembly
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6
 
−
| all
 
−
| '''raw'''
 
−
| style="text-align:right;" | -300
 
−
| NF_IP_PRI_RAW
 
−
| Traditional priority of the raw table placed before connection tracking operation
 
−
 
 
−
|- style="vertical-align:top;"
 
−
|
 
−
|
 
−
|
 
−
| style="text-align:right;" | -225
 
−
| NF_IP_PRI_SELINUX_FIRST
 
−
| SELinux operations
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6
 
−
| prerouting, output
 
−
|
 
−
| style="text-align:right;" | -200
 
−
| NF_IP_PRI_CONNTRACK
 
−
| [[Connection_Tracking_System | Connection tracking]] processes run early in prerouting and output hooks to associate packets with tracked connections.
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6
 
−
| all
 
−
| '''mangle'''
 
−
| style="text-align:right;" | -150
 
−
| NF_IP_PRI_MANGLE
 
−
| Mangle operation
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6
 
−
| prerouting
 
−
| '''dstnat'''
 
−
| style="text-align:right;" | -100
 
−
| NF_IP_PRI_NAT_DST
 
−
| Destination NAT
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6, arp, netdev
 
−
| all
 
−
| '''filter'''
 
−
| style="text-align:right;" | 0
 
−
| NF_IP_PRI_FILTER
 
−
| Filtering operation, the filter table
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6
 
−
| all
 
−
| '''security'''
 
−
| style="text-align:right;" | 50
 
−
| NF_IP_PRI_SECURITY
 
−
| Place of security table, where secmark can be set for example
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6
 
−
| postrouting
 
−
| '''srcnat'''
 
−
| style="text-align:right;" | 100
 
−
| NF_IP_PRI_NAT_SRC
 
−
| Source NAT
 
−
 
 
−
|- style="vertical-align:top;"
 
−
|
 
−
| postrouting
 
−
|
 
−
| style="text-align:right;" | 225
 
−
| NF_IP_PRI_SELINUX_LAST
 
−
| SELinux at packet exit
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6
 
−
| postrouting
 
−
|
 
−
| style="text-align:right;" | 300
 
−
| NF_IP_PRI_CONNTRACK_HELPER
 
−
| Connection tracking helpers, which identify expected and related packets.
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| inet, ip, ip6
 
−
| input, postrouting
 
−
|
 
−
| style="text-align:right;" | INT_MAX
 
−
| NF_IP_PRI_CONNTRACK_CONFIRM
 
−
| Connection tracking adds new tracked connections at final step in input & postrouting hooks.
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| colspan="6" | &nbsp;
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| bridge
 
−
| prerouting
 
−
| '''dstnat'''
 
−
| style="text-align:right;" | -300
 
−
| NF_BR_PRI_NAT_DST_BRIDGED
 
−
|
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| bridge
 
−
| all
 
−
| '''filter'''
 
−
| style="text-align:right;" | -200
 
−
| NF_BR_PRI_FILTER_BRIDGED
 
−
|
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| bridge
 
−
|
 
−
|
 
−
| style="text-align:right;" | 0
 
−
| NF_BR_PRI_BRNF
 
−
|
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| bridge
 
−
| output
 
−
| '''out'''
 
−
| style="text-align:right;" | 100
 
−
| NF_BR_PRI_NAT_DST_OTHER
 
−
|
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| bridge
 
−
|
 
−
|
 
−
| style="text-align:right;" | 200
 
−
| NF_BR_PRI_FILTER_OTHER
 
−
|
 
−
 
 
−
|- style="vertical-align:top;"
 
−
| bridge
 
−
| postrouting
 
−
| '''srcnat'''
 
−
| style="text-align:right;" | 300
 
−
| NF_BR_PRI_NAT_SRC
 
−
|
 
−
 
 
−
|}
 
−
 
 
−
Starting with nftables 0.9.6 you may set priority using keywords instead of numbers. (Note that the same keyword maps to different numerical priorities in the bridge family vs. the other families.) You can also specify priority as an integral offset from a keyword, i.e. ''mangle - 5'' is equivalent to numerical priority -155.
 
−
 
 
−
It's possible to specify keyword priorities even in family/hook combinations where they don't make logical sense. Recall that the relative numerical ordering of priorities within a given hook is all that matters as far as Netfilter is concerned. Keep in mind that this relative ordering includes packet defragmentation, connection tracking and other Netfilter operations as well as your nftables base chains and flowtables.
 

Version vom 14. September 2022, 19:05 Uhr

nftables verwendet größtenteils dieselbe Netfilter-Infrastruktur wie ältere iptables. Die Hook-Infrastruktur, Connection Tracking System, NAT-Engine, Logging-Infrastruktur und Userspace-Warteschlangen bleiben gleich. Lediglich das Framework zur Paketklassifizierung ist neu.


__Inhalt__


Netfilter hakt sich in Linux-Netzwerkpaketflüsse ein

Das folgende Schema zeigt Paketflüsse durch Linux-Netzwerke:


https://people.netfilter.org/pablo/nf-hooks.png


Datenverkehr, der im Eingabepfad zur lokalen Maschine fließt, sieht die Prerouting- und Eingabe-Hooks. Anschließend folgt der von lokalen Prozessen generierte Datenverkehr dem Ausgabe- und Postrouting-Pfad.

Wenn Sie Ihre Linux-Box so konfigurieren, dass sie sich als Router verhält, vergessen Sie nicht, die Weiterleitung zu aktivieren über: 

echo 1 > /proc/sys/net/ipv4/ip_forward

Dann werden Pakete, die nicht an Ihr lokales System adressiert sind, vom Forward-Hook gesehen. Solche weitergeleiteten Pakete folgen dem Pfad: Prerouting, Forward und Postrouting.

Im Gegensatz zu iptables, das Ketten an jedem' Hook (d.h. INPUT-Kette in filter-Tabelle) vordefiniert, definiert nftables überhaupt keine Ketten. Sie müssen explizit eine base chain an jedem Hook, an dem Sie den Datenverkehr filtern möchten.


Ingress-Hook

Der Ingress-Hook wurde im Linux-Kernel 4.2 hinzugefügt. Im Gegensatz zu den anderen Netzfilter-Hooks ist der Ingress-Hook mit einer bestimmten Netzwerkschnittstelle verbunden.

Sie können nftables mit dem Ingress-Hook verwenden, um sehr frühe Filterrichtlinien durchzusetzen, die sogar vor dem Prerouting wirksam werden. Beachten Sie, dass fragmentierte Datagramme in diesem sehr frühen Stadium noch nicht wieder zusammengesetzt wurden. So funktioniert beispielsweise das Abgleichen von ip saddr und daddr für alle IP-Pakete, aber das Abgleichen von L4-Headern wie udp dport funktioniert nur für unfragmentierte Pakete oder das erste Fragment.

Der Ingress-Hook bietet eine Alternative zur tc-Eingangsfilterung. Sie benötigen noch tc für Traffic Shaping/Warteschlangenverwaltung.


Haken nach Familie und Kettentyp

Die folgende Tabelle listet verfügbare Hooks nach family und chain type auf. Für kürzlich hinzugefügte Hooks werden die Mindestversionen von nftables und Linux-Kernel angezeigt.

Kettentyp Haken
eindringen vorrouting nach vorne Eingang Ausgang Postrouting aussteigen

inet-Familie
Filter Vorlage:Yes Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Nein
Nat Vorlage:Nein Vorlage:Jawohl Vorlage:Nein Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Nein
Route Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Jawohl Vorlage:Nein Vorlage:Nein

IP6-Familie
Filter Vorlage:Nein Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Nein
Nat Vorlage:Nein Vorlage:Jawohl Vorlage:Nein Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Nein
Route Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Jawohl Vorlage:Nein Vorlage:Nein

IP-Familie
Filter Vorlage:Nein Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Nein
Nat Vorlage:Nein Vorlage:Jawohl Vorlage:Nein Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Nein
Route Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Jawohl Vorlage:Nein Vorlage:Nein

familie arp
Filter Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Jawohl Vorlage:Jawohl Vorlage:Nein Vorlage:Nein
Nat Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein
Route Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein

Brückenfamilie
Filter Vorlage:Nein Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Jawohl Vorlage:Nein
Nat Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein
Route Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein

netdev-Familie
Filter Vorlage:Yes Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein
Nat Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein
Route Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein Vorlage:Nein {{n
Abgerufen von „http://wiki.ixheim.de/index.php?title=Nftables_Hooks&oldid=35467“