Verdict map для маршрутизации по портам nftables
vmap сопоставляет ключи с вердиктами за O(1); заменяет длинную цепочку правил dport ==
nft add rule inet filter input tcp dport vmap '{ 22 : accept, 80 : accept, 443 : accept, 3306 : drop }'
more nftables
all 12 commands →
Показать ruleset с хендлами правил
nft -a list ruleset
Удалить одно правило по хендлу
nft delete rule inet filter input handle 7
Именованный счётчик на правиле
nft add rule inet filter input tcp dport 22 counter accept comment \"ssh\"
SNAT masquerade для исходящего NAT
nft add rule ip nat postrouting oifname \"eth0\" masquerade
DNAT-проброс порта на внутренний хост
nft add rule ip nat prerouting iif \"eth0\" tcp dport 443 dnat to 10.0.0.5:8443