DNAT-проброс порта на внутренний хост nftables
Destination-NAT входящего трафика на бэкенд; дополните accept-правилом в forward-цепочке
nft add rule ip nat prerouting iif \"eth0\" tcp dport 443 dnat to 10.0.0.5:8443
more nftables
all 12 commands →
Ограничить скорость новых соединений
nft add rule inet filter input tcp dport 22 ct state new limit rate 10/minute accept
Наблюдать изменения ruleset в реальном времени
nft monitor ruleset
Атомарный бэкап и восстановление ruleset
nft list ruleset > /etc/nftables.conf && nft -f /etc/nftables.conf
Аппаратная разгрузка через flowtable
nft add flowtable inet filter ft '{ hook ingress priority 0 ; devices = { eth0, eth1 } ; }' && nft add rule inet filter forward ct state established flow add @ft
Создать input-цепочку с политикой drop
nft add chain inet filter input '{ type filter hook input priority 0 ; policy drop ; }'