Создать input-цепочку с политикой drop nftables
Базовая цепочка с запретом по умолчанию; важно: сначала добавьте accept-правила, иначе заблокируете себя
nft add chain inet filter input '{ type filter hook input priority 0 ; policy drop ; }'
more nftables
all 12 commands →
Именованный set как блок-лист IP
nft add set inet filter blocklist '{ type ipv4_addr ; flags interval ; }' && nft add element inet filter blocklist '{ 10.0.0.0/8, 192.0.2.5 }'
Verdict map для маршрутизации по портам
nft add rule inet filter input tcp dport vmap '{ 22 : accept, 80 : accept, 443 : accept, 3306 : drop }'
Показать ruleset с хендлами правил
nft -a list ruleset
Удалить одно правило по хендлу
nft delete rule inet filter input handle 7
Именованный счётчик на правиле
nft add rule inet filter input tcp dport 22 counter accept comment \"ssh\"