Именованный set как блок-лист IP nftables
Переиспользуемый именованный set; flags interval позволяет хранить CIDR-диапазоны, а не только отдельные хосты
nft add set inet filter blocklist '{ type ipv4_addr ; flags interval ; }' && nft add element inet filter blocklist '{ 10.0.0.0/8, 192.0.2.5 }'
more nftables
all 12 commands →
Verdict map для маршрутизации по портам
nft add rule inet filter input tcp dport vmap '{ 22 : accept, 80 : accept, 443 : accept, 3306 : drop }'
Показать ruleset с хендлами правил
nft -a list ruleset
Удалить одно правило по хендлу
nft delete rule inet filter input handle 7
Именованный счётчик на правиле
nft add rule inet filter input tcp dport 22 counter accept comment \"ssh\"
SNAT masquerade для исходящего NAT
nft add rule ip nat postrouting oifname \"eth0\" masquerade