Ajout de la doc nftavbles (v1)
ds-ac
parent
932a935fe6
commit
9f6783d6f3
|
|
@ -0,0 +1,201 @@
|
|||
# NFTables
|
||||
|
||||
## Introduction
|
||||
|
||||
`NFTables` est un outil permettant de de gérer une partie de la gestion des
|
||||
paquets dans une machine Linux. Cet outil supplante ses prédécesseurs xtables
|
||||
(iptables, ip6tables, arptables, ...) et son support ets inclus dans les noyaux
|
||||
Linux modernes. Lorsqu'un paquet traverse, sort de ou entre sur votre machine,
|
||||
il parcourt un certain chemin de prises de décisions afin de décider de son
|
||||
sort (jeté, accepté (= intouché), modifié, ...).
|
||||
|
||||
## Structure de NFTables
|
||||
|
||||
NFTables permet d'organiser les règles définissant le comportement à avoir avec
|
||||
un paquet en fonction de certains critères.
|
||||
|
||||
Les règles ne sont pas appliquées par NFTables à n'importe quel moment. En
|
||||
effet, certaines règles ne concernent que les paquets issus de la machine,
|
||||
d'autre les paquets sortant, ...
|
||||
Afin de regrouper les règles agissant au même endroit, les règles de NFTables
|
||||
sont regroupées en chaînes d'actions, lesquelles concernent un crochet de prise
|
||||
de décision du noyau.
|
||||
|
||||
Là encore, on peut souhaiter avoir des chaînes différentes pour les paquets IP,
|
||||
IPv6, arp, ... . Pour cette raison, les chaînes sont regroupées dans des tables,
|
||||
chacune ne concernant qu'un type de protocole de couche 3.
|
||||
|
||||
|
||||
La structure des règles NFTables ainsi obtenue devient :
|
||||
|
||||
```
|
||||
+------------------------------------------------------------+
|
||||
| Table concernant les paquets IP |
|
||||
| ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ |
|
||||
| |
|
||||
| +----------------------------------------------------+ |
|
||||
| | Chaîne concernant le crochet du filtre d'entrée | |
|
||||
| | ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ | |
|
||||
| | | |
|
||||
| | +--------------------------+ | |
|
||||
| | | Règle 1 | | |
|
||||
| | | ~~~~~~~ | | |
|
||||
| | | paquet TCP ? | | |
|
||||
| | | à destination du port 53 | | |
|
||||
| | | vient-il de a.b.c.d | | |
|
||||
| | | action: rejeter | | |
|
||||
| | +--------------------------+ | |
|
||||
| | | |
|
||||
| | +----------------------------------+ | |
|
||||
| | | Règle 2 | | |
|
||||
| | | ~~~~~~~ | | |
|
||||
| | | paquet TCP ? | | |
|
||||
| | | lié à une connexion déjà établie | | |
|
||||
| | | action: accepter | | |
|
||||
| | +----------------------------------+ | |
|
||||
| | | |
|
||||
| | ... | |
|
||||
| |----------------------------------------------------+ |
|
||||
| |
|
||||
| +----------------------------------------------------+ |
|
||||
| | Chaîne concernant le crochet du NAT en entrée | |
|
||||
| | ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ | |
|
||||
| | | |
|
||||
| | +----------------------------------+ | |
|
||||
| | | Règle 1 | | |
|
||||
| | | ~~~~~~~ | | |
|
||||
| | | paquet provenant de a.b.c.d/m | | |
|
||||
| | | paquet sortant par l'interface x | | |
|
||||
| | | action: snat to x.x.x.x | | |
|
||||
| | +----------------------------------+ | |
|
||||
| | | |
|
||||
| | ... | |
|
||||
| |----------------------------------------------------+ |
|
||||
| |
|
||||
+------------------------------------------------------------+
|
||||
|
||||
+----------+
|
||||
| Table 2 |
|
||||
| ~~~~~~~ |
|
||||
| ... |
|
||||
+----------+
|
||||
|
||||
...
|
||||
```
|
||||
|
||||
|
||||
Comme le décrit le schéma précédent, les tables sont juxtaposées les unes les
|
||||
autres. Lorsqu'un paquet est traité, selon le protocole utilisé, aucune, une ou
|
||||
plusieurs tables seront utilisées pour charger les règles à appliquer. \`A
|
||||
chaque étape de traitement du paquet, les chaînes correspondant au paquet seront
|
||||
alors appliquées.
|
||||
|
||||
Un paquet parcourt les règles d'une chaîne dans l'ordre de leur écriture.
|
||||
Si une action est indiquée dans le corps d'une règle, elle sera exécutée si
|
||||
toutes les conditions le précédant dans l'écriture de la règle sont vérifiées.
|
||||
|
||||
Le parcourt d'une chaîne s'arrête lorsqu'un verdict s'applique au paquet
|
||||
considéré. Un verdict est une cation particulière parmi peut être :
|
||||
* l'abandon du paquet
|
||||
|
||||
* l'abandon du paquet avec choix du message retourné à l'émetteur
|
||||
|
||||
* L'acceptation du paquet
|
||||
|
||||
* Le saut à une autre chaîne (avec retour à la chaîne en cours ensuite)
|
||||
|
||||
* Le saut à une autre chaîne (sans retour à la chaîne en cours après)
|
||||
|
||||
|
||||
## Table
|
||||
|
||||
Une table est caractérisée par :
|
||||
|
||||
* Un nom
|
||||
|
||||
* Un type de paquet : principalement ip (pour l'IPv4), ip6 (pour l'IPv6) et inet
|
||||
* (pour l'IPv4 et IPv6).
|
||||
|
||||
|
||||
|
||||
Une table peut être ajoutée avec la commande `nft add table <nom de la table>`
|
||||
si vous souhaitez utiliser la commande `nft`, ou avec le morceau de
|
||||
configuration suivant :
|
||||
|
||||
```
|
||||
table <type> <nom de la table> {
|
||||
[contenu de la table (chaînes)]
|
||||
}
|
||||
```
|
||||
|
||||
|
||||
|
||||
## Chaîne
|
||||
|
||||
Une chaîne est caractérisée par :
|
||||
|
||||
* La table dans laquelle la chaîne se trouve
|
||||
|
||||
* Le nom de la chaîne
|
||||
|
||||
|
||||
Lors de la création / utilisation d'une chaîne, il faut aussi décider !
|
||||
|
||||
* Le crochet NFTables concerné par la chaîne (input, output, ...)
|
||||
|
||||
* Le type de la chaîne (filtre, nat, raw, mangle)
|
||||
|
||||
* La priorité de la chaîne (filter (=0), srcnat (=-100), dstnat (=100)).
|
||||
|
||||
|
||||
Une chaîne peut aussi avoir un verdict par défaut sur les paquet (accept, drop,
|
||||
reject [with MSG], ...).
|
||||
|
||||
|
||||
Une chaîne peut être créée par la commande `nft add chain <type de la table>
|
||||
<nom de la table> <nom de la chaîne> '{ type <type> hook <crochet> priority
|
||||
<priorité>; [policy <verdict par défaut>;] }', ou par le morceau de
|
||||
configuration textuelle suivant :
|
||||
|
||||
```
|
||||
chain <nom de la chaîne> {
|
||||
type <type> hook <crochet> priority <priorité> ; policy <verdict par défaut>;
|
||||
[contenu de la chaîne]
|
||||
}
|
||||
```
|
||||
|
||||
|
||||
## Règle
|
||||
|
||||
Une règle est caractérisée par :
|
||||
|
||||
* La chaîne dans laquelle elle est contenue.
|
||||
|
||||
|
||||
Dans la définition d'une règle, il est possible d'indiquer :
|
||||
|
||||
* des conditions écrites `<type> <valeur>`, o' \`u le type est un champ du
|
||||
paquet et la valeur est la valeur du champ, comme par exemple `ip protocol
|
||||
udp` (type : `ip protocol` représentant le champ du protocole de couche 4 dans
|
||||
un paquet IPv4, valeur `tcp`).
|
||||
|
||||
Les types peuvent être décrits par `nft describe <type>`.
|
||||
|
||||
* des actions, parmi lesquelles ``compter les paquets'' (`counter`), logger les
|
||||
paquets (`log prefix ...`).
|
||||
|
||||
|
||||
Pour ajouter une règle, il est possible d'utiliser `nft add rule <type de la
|
||||
table> <nom de la table> <nom de la chaîne> '<règle>''`, ou d'ajouter la règle
|
||||
sur une ligne dans la configuration textuelle.
|
||||
|
||||
|
||||
## Divers
|
||||
|
||||
* `nft flush ruleset` vide la table
|
||||
|
||||
* `nft -f <file>` lit la configuration d'un ficher et l'applique
|
||||
|
||||
* `systemctl reload nftables` a le même effet que `nft -f /etc/nftables.conf` di
|
||||
le service existe.
|
||||
|
||||
Loading…
Reference in New Issue