Межсетевой экран на nftables

Таблицы и цепочки

nftables — современная подсистема фильтрации пакетов в ядре Linux, пришедшая на смену iptables. Правила группируются в таблицы и цепочки с заданной политикой по умолчанию.

nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }

Разрешение служб

Разрешается уже установленный трафик и доступ к нужным портам, например SSH.

nft add rule inet filter input ct state established,related accept
nft add rule inet filter input tcp dport 22 accept

Сохранение правил

Текущий набор правил сохраняется в файл и восстанавливается при загрузке службой nftables.

nft list ruleset > /etc/nftables/rules.nft
systemctl enable --now nftables