问题标签 [nftables]

显示我添加的区域和端口规则

没有使用firewalld设置规则的迹象，已经重新启动了这两个服务。

RockyLinux 8.5

我正在尝试使用 python 中的 nftables JSON API 动态添加地图元素。在我的防火墙中，我router在家庭表中有以下地图ip：

这是我正在尝试做的一个最小示例：

这会导致以下错误：

我假设我以某种方式误解了规范（https://manpages.debian.org/unstable/libnftables1/libnftables-json.5.en.html），但我无法弄清楚正确的用法。

更新：我发现nft可以以 json 格式回显您的命令。这是命令：

并且响应打印得很漂亮：

不幸的是，将其复制到上面的 python 代码中仍然会导致相同的错误

Conntrack 将所有数据包标记为无效服务器，haproxy 在一个网络接口上包含多个 ip。

一切正常，因为我们不检查规则中的状态。我们做错了什么？

iptables

连接跟踪-S

lsmod|grep conntrack

操作系统

conntrack -E，好像一切正​​常

更新：

我改变了规则。制作卷曲和统计数据与旧版本相同。没有新的连接。我认为 conntrack 工作正常，但统计数据不正确

在许多 nftables 示例中，我有时会看到这样的语句：

还有这个：

在这些情况下，点 (.) 是什么意思？

我在 debian 10 上设置 suricata 以使用以下运行命令阻止预期的请求：

每当我收到匹配被阻止的请求时，例如：

Suricata 将在此错误之后立即停止：

文件能力的输出是：

我该怎么做才能让它现在工作？

由于我在路由器配置方面遇到问题，所以我在这里询问了 nftables 中配置路由功能的最低必要配置是什么。由于问题解决了，我删除了它不再重要的描述，但对于完全开放的路由器来说，拥有这个最低配置可能会很有趣。不建议这样做，显然，这只是为了了解最低限度的必要性。来自 eth0)。

我试图使代码尽可能简单，任何东西都是开放的：

当我通过 添加wireguard 接口时wg-quick up wg0，wg-quick 设置了以下 nftable 规则。这些在做什么，为什么需要它们？

以下是 ipv4 的一些示例规则：

我对这些很感兴趣，因为我的虚拟机需要它们才能正常运行，但我的主机不需要它们具有工作的wireguard 接口。可悲的是，脚本本身没有记录为什么设置它们。

我正在尝试向我的路由器添加与 IPSec 相关的规则：

该系统是运行 Raspbian 11、内核 5.15.23-v7 的 Raspberry Pi。nftables、libmnl 和 libnftnl 今天已使用当前 Git 大师的源代码手动编译。nftables 版本是“nftables v1.0.2 (Lester Gooch)”。

我在 x86 测试系统（使用默认内核运行 Debian 11）上做了相同的编译工作（来自相同的来源），我可以毫无问题地添加此规则。

我究竟做错了什么？