nftables - 测试数据包不匹配集

Question

我想编写一个 nftables 规则来匹配在集合中找不到的数据包字段：

ip not ip saddr @local_networks drop

不幸的是，这给出了一个语法错误：“意外！” 将“不”移动到语句中的其他各种可能点对错误消息没有影响。是否允许否定？

Answer 1

在 Debian 10（nftables 0.9.0 + 任何 Debian 补丁）中，此语法可用于丢弃源 IP 地址不在 set local_networks中的数据包：

ip saddr != @local_networks drop

Answer 2

我检查了源代码，发现虽然“！” 和 "not" 都是语法元素——它们为它们定义了词法分析器符号，它们不在解析器中的任何地方使用。我想我必须提出增强请求。