GNU/Linux系统下nftables防火墙的本地IPS能力加强指南

跟着各 GNU/Linux 体系厂商以及社区慢慢开始回收新的内核作为其刊行版本的默认内核，防火墙机制回收了更新的 nftables 防火墙机制。

尽量红帽公司提供了 firewalld.service 防火墙处事组件以及相干的设置打点呼吁 firewall-config、firewall-cmd 来对防火墙举办打点，但该处事组件今朝还没有在其他刊行版可能社区版本内获得同一行使。

为了更好的辅佐读者伴侣们领略该防火墙机制，笔者将本身在事变中直接行使 nftables 举办手工建设设置，从而使体系具有当地 IPS 手段的进程举办总结。

今朝大都主流的新刊行版 GNU/Linux 体系，默认安装完成后 systemd 体系和处事打点器中已经添加了新的 nftables.serivce 子处事设置文件。同时依然支持 iptables 法则和 iptables 呼吁，不外为了彻底将防火墙进级到 nftables 机制，我们可以在没有 firewalld.service 的刊行版体系中直接启用 nftables.service 处事来行使新的防火墙。

通过执行呼吁 vi /lib/systemd/system/nftables.service，从该文件中的语句 ExecStart=/usr/sbin/nft -f /etc/nftables.conf 我们可以清晰的看到，nftables 防火墙的默认设置和法则文件一样平常都安排在体系的 /etc/nftables.conf 目次中，不外该默认设置文件中只包括一个名为 inet filter 的简朴 IPv4/IPv6 防火墙列表。

inet 过滤器可以同时合用于 IPv4 和 IPv6 的法则，但不能用于 NAT 范例的链，只能用于过滤器范例的链。

为了保持和 iptables 防火墙的法则类比，便于用户认识，我们可以行使如下 nftables 呼吁建设响应的表和链来成立一个相同于传统 iptables 防火墙框架，建设进程如下：

（编辑：湖南网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!