Nftables - Historique des versions

Pfoo le 1 janvier 2020 à 15:52

2020-01-01T15:52:44Z

← Version précédente		Version du 1 janvier 2020 à 17:52
Ligne 6 :		Ligne 6 :
	* nftables : nft		* nftables : nft

	Les règles crées avec iptables-nft ou ip6tables-nft peuvent se retrouver avec nft. Par exemple, pour les règles filter (iptables-nft -t filter, qui est le fonctionnement "par défaut" de iptables-nft (et iptables-legacy)) :		Les règles crées avec iptables-nft ou ip6tables-nft peuvent se retrouver avec nft. Par exemple, pour les règles filter (iptables-nft -t filter, qui est le fonctionnement "par défaut" de iptables-nft (et iptables-legacy)) ou nat :
	<pre>		<pre>
	nft list table ip filter		nft list table ip filter
	nft list table ip6 filter		nft list table ip6 filter
			nft list table ip nat
			nft list table ip6 nat
	</pre>		</pre>

Pfoo le 1 janvier 2020 à 13:51

2020-01-01T13:51:41Z

← Version précédente		Version du 1 janvier 2020 à 15:51
Ligne 1 :		Ligne 1 :
			https://wiki.nftables.org/wiki-nftables/index.php/Quick_reference-nftables_in_10_minutes
			https://wiki.nftables.org/wiki-nftables/index.php/Configuring_chains

	* iptables legacy : iptables-legacy* ip6tables-legacy*		* iptables legacy : iptables-legacy* ip6tables-legacy*
	* iptables nftables : iptables-nft* ip6tables-nft*. Parse la syntaxe iptables, créé les commande nftables correspondantes. Utilises libnftnl (comme nft), ce n'est donc pas un "simple" convertisseur de syntaxe textuelle.		* iptables nftables : iptables-nft* ip6tables-nft*. Parse la syntaxe iptables, créé les commande nftables correspondantes. Utilises libnftnl (comme nft), ce n'est donc pas un "simple" convertisseur de syntaxe textuelle.

Pfoo : /* Note sur l'ordre de processing */

2020-01-01T13:47:49Z

Note sur l'ordre de processing

← Version précédente		Version du 1 janvier 2020 à 15:47
Ligne 37 :		Ligne 37 :
	* Sur une règle, un verdict accept provoque l'acceptation du paquet et l'arrêt du processing des règles, mais uniquement à l'intérieur d'une même chaîne lié à un hook. Si il y a plusieurs hook input, un paquet accepté dans un premier hook input sera également évalué dans les hooks input ultérieurs.		* Sur une règle, un verdict accept provoque l'acceptation du paquet et l'arrêt du processing des règles, mais uniquement à l'intérieur d'une même chaîne lié à un hook. Si il y a plusieurs hook input, un paquet accepté dans un premier hook input sera également évalué dans les hooks input ultérieurs.
	* Un verdict drop provoque le drop instantané du paquet et l'arrêt de processing de toutes les règles y compris des hooks de priorité ultérieurs.		* Un verdict drop provoque le drop instantané du paquet et l'arrêt de processing de toutes les règles y compris des hooks de priorité ultérieurs.
	* Exemple: si un paquet entrant (hook input) est accepté par une règle dans une chaîne lié à un hook input de priority 0, mais qu'une autre règle existe dans une autre chaîne lié à un hook input de priorité ultérieure (priority 1 par exemple), le paquet sera évalué une seconde fois par cette deuxième chaîne. Si ce même paquet était matché dans le premier hook input de priority 0 par une règle drop, il serait droppé et non évalué par le deuxième hook de priority 1 (car il est droppé immédiatement).		* Exemple: si un paquet entrant (hook input) est accepté par une règle (ou une policy) dans une chaîne lié à un hook input de priority 0, mais qu'une autre règle (ou policy) existe dans une autre chaîne lié à un hook input de priorité ultérieure (priority 1 par exemple), le paquet sera évalué une seconde fois par cette deuxième chaîne. Si ce même paquet était matché dans le premier hook input de priority 0 par une règle drop, il serait droppé et non évalué par le deuxième hook de priority 1 (car il est droppé immédiatement).

	Exemple :		Exemple :

Pfoo : /* Note sur l'ordre de processing */

2020-01-01T13:46:13Z

Note sur l'ordre de processing

← Version précédente		Version du 1 janvier 2020 à 15:46
Ligne 35 :		Ligne 35 :
	* Lorsque vous créez une chaîne, vous pouvez la brancher sur un hook. Par exemple, <code>type filter hook input priority 0; policy accept;</code> connecte la chaîne au hook input (paquets entrant sur le serveur), avec une priorité 0, et une policy (action par défaut) d'acceptation		* Lorsque vous créez une chaîne, vous pouvez la brancher sur un hook. Par exemple, <code>type filter hook input priority 0; policy accept;</code> connecte la chaîne au hook input (paquets entrant sur le serveur), avec une priorité 0, et une policy (action par défaut) d'acceptation
	** La priorité permet d'ordonner plusieurs hooks entre elles. (-10 en premier, 0 en second, 10 en dernier, par exemple).		** La priorité permet d'ordonner plusieurs hooks entre elles. (-10 en premier, 0 en second, 10 en dernier, par exemple).
	* Un verdict accept provoque l'acceptation du paquet et l'arrêt du processing des règles, mais uniquement à l'intérieur d'une même chaîne lié à un hook.		* Sur une règle, un verdict accept provoque l'acceptation du paquet et l'arrêt du processing des règles, mais uniquement à l'intérieur d'une même chaîne lié à un hook. Si il y a plusieurs hook input, un paquet accepté dans un premier hook input sera également évalué dans les hooks input ultérieurs.
	* Un verdict drop provoque le drop instantané du paquet et l'arrêt de processing de toutes les règles y compris des hooks de priorité ultérieurs.		* Un verdict drop provoque le drop instantané du paquet et l'arrêt de processing de toutes les règles y compris des hooks de priorité ultérieurs.
	* Exemple: si un paquet entrant (hook input) est accepté par une règle dans une ~~chaine~~ lié à un hook input de priority 0, mais qu'une autre règle existe dans une autre chaîne lié à un hook input de priorité ultérieure (priority 1 par exemple), le paquet sera évalué une seconde fois par cette deuxième chaîne. Si ce même paquet était matché dans le premier hook input de priority 0 par une règle drop, il serait droppé et non évalué par le deuxième hook de priority 1 (car il est droppé immédiatement).		* Exemple: si un paquet entrant (hook input) est accepté par une règle dans une chaîne lié à un hook input de priority 0, mais qu'une autre règle existe dans une autre chaîne lié à un hook input de priorité ultérieure (priority 1 par exemple), le paquet sera évalué une seconde fois par cette deuxième chaîne. Si ce même paquet était matché dans le premier hook input de priority 0 par une règle drop, il serait droppé et non évalué par le deuxième hook de priority 1 (car il est droppé immédiatement).

	Exemple :		Exemple :

Pfoo le 1 janvier 2020 à 13:43

2020-01-01T13:43:58Z

@@ Ligne 30 : / Ligne 30 : @@
 nft flush table <type> <name>
 nft delete table <type> <name>
 </pre>

Pfoo le 1 janvier 2020 à 12:59

2020-01-01T12:59:27Z

← Version précédente		Version du 1 janvier 2020 à 14:59
Ligne 24 :		Ligne 24 :
	nft add rule ip ipsec INPUT iifname "ens192" ip protocol esp ip saddr 90.115.19.124 accept		nft add rule ip ipsec INPUT iifname "ens192" ip protocol esp ip saddr 90.115.19.124 accept
	nft add rule ip ipsec INPUT iifname "ens192" ip protocol udp ip saddr 90.115.19.124 udp dport { 500,4500 } accept		nft add rule ip ipsec INPUT iifname "ens192" ip protocol udp ip saddr 90.115.19.124 udp dport { 500,4500 } accept
			</pre>

			Flush et suppression d'une table :
			<pre>
			nft flush table <type> <name>
			nft delete table <type> <name>
	</pre>		</pre>

Pfoo le 1 janvier 2020 à 12:58

2020-01-01T12:58:26Z

← Version précédente		Version du 1 janvier 2020 à 14:58
Ligne 9 :		Ligne 9 :
	</pre>		</pre>

			Lister les tables, une table spécifique, et la totalité du ruleset nftables :
	<pre>		<pre>
	nft list tables		nft list tables

Pfoo le 1 janvier 2020 à 12:58

2020-01-01T12:58:00Z

@@ Ligne 13 : / Ligne 13 : @@
 nft list table <type> <name>
 nft list ruleset
 </pre>

Pfoo le 1 janvier 2020 à 12:55

2020-01-01T12:55:29Z

← Version précédente		Version du 1 janvier 2020 à 14:55
Ligne 7 :		Ligne 7 :
	nft list table ip filter		nft list table ip filter
	nft list table ip6 filter		nft list table ip6 filter
			</pre>

			<pre>
			nft list tables
			nft list table <type> <name>
			nft list ruleset
	</pre>		</pre>

Pfoo le 1 janvier 2020 à 12:54

2020-01-01T12:54:55Z

← Version précédente		Version du 1 janvier 2020 à 14:54
Ligne 2 :		Ligne 2 :
	* iptables nftables : iptables-nft* ip6tables-nft*. Parse la syntaxe iptables, créé les commande nftables correspondantes. Utilises libnftnl (comme nft), ce n'est donc pas un "simple" convertisseur de syntaxe textuelle.		* iptables nftables : iptables-nft* ip6tables-nft*. Parse la syntaxe iptables, créé les commande nftables correspondantes. Utilises libnftnl (comme nft), ce n'est donc pas un "simple" convertisseur de syntaxe textuelle.
	* nftables : nft		* nftables : nft

			Les règles crées avec iptables-nft ou ip6tables-nft peuvent se retrouver avec nft. Par exemple, pour les règles filter (iptables-nft -t filter, qui est le fonctionnement "par défaut" de iptables-nft (et iptables-legacy)) :
			<pre>
			nft list table ip filter
			nft list table ip6 filter
			</pre>

Nftables - Historique des versions

Pfoo le 1 janvier 2020 à 15:52

Pfoo le 1 janvier 2020 à 13:51

Pfoo : /* Note sur l'ordre de processing */

Pfoo : /* Note sur l'ordre de processing */

Pfoo le 1 janvier 2020 à 13:43

Pfoo le 1 janvier 2020 à 12:59

Pfoo le 1 janvier 2020 à 12:58

Pfoo le 1 janvier 2020 à 12:58

Pfoo le 1 janvier 2020 à 12:55

Pfoo le 1 janvier 2020 à 12:54

Pfoo : /* Note sur l'ordre de processing */

Pfoo : /* Note sur l'ordre de processing */