Mikhailnov в 09:07, 3 декабря 2025

2025-12-03T09:07:45Z

← Предыдущая версия		Версия от 12:07, 3 декабря 2025
Строка 64:		Строка 64:
	После правки правил в дальнейшем выполняйте:		После правки правил в дальнейшем выполняйте:
	sudo systemctl reload nftables		sudo systemctl reload nftables

			[[Категория:Сервер]]

Mikhailnov: Новая страница: «= Фаервол nftables = == Введение == Статья описывает пример настройки фильтрафии сетевого трафика через nftables. == Установка пакетов == `sudo dnf install nftables` == Настройка фильтрации == Настройка выполняется путем правки конфигурационного файла `/etc/sysconfig/nftables.co...»`


2025-12-03T09:07:14Z
Новая страница: «= Фаервол nftables =  == Введение == Статья описывает пример настройки фильтрафии сетевого трафика через nftables.  == Установка пакетов == <code>sudo dnf install nftables</code>  == Настройка фильтрации ==  Настройка выполняется путем правки конфигурационного файла <code>/etc/sysconfig/nftables.co...»
Новая страница
= Фаервол nftables =



== Введение ==

Статья описывает пример настройки фильтрафии сетевого трафика через nftables.



== Установка пакетов ==

<code>sudo dnf install nftables</code>



== Настройка фильтрации ==



Настройка выполняется путем правки конфигурационного файла <code>/etc/sysconfig/nftables.conf</code>.



Ниже приведен простой пример, в котором разрешены все исходящие соединения, а входящие разрешены только по TCP на порты 4510 (SSH перенесен со стандартного порта 22 на нестандартный — 4510), 80 и 443.



<pre>

#!/usr/sbin/nft -f



flush ruleset



table ip filter {

  chain input {

    type filter hook input priority 0; policy drop;



    # Разрешаем loopback (локальные соединения)

    iif "lo" accept



    # Разрешаем установленные и связанные соединения

    ct state established,related accept



    # Разрешаем ICMP (пинг и др. служебные сообщения)

    meta l4proto icmp accept



    # Разрешаем IPv6 ICMP (если используется IPv6)

    meta l4proto ipv6-icmp accept



    # Разрешаем HTTP (порт 80)

    tcp dport 80 accept



    # Разрешаем HTTPS (порт 443)

    tcp dport 443 accept



    # ssh

    tcp dport 4510 accept



    # Всё остальное — отбрасываем (policy drop уже задан)

  }



  chain forward {

    type filter hook forward priority 0; policy drop;

  }



  chain output {

    type filter hook output priority 0; policy accept;

  }

}

</pre>



После первичной настройки перезапустите службу nftables:

 sudo systemctl restart nftables



Если не выдано ошибки, то значит правила фаервола были прогружены. В таком случае добавьте службу в автозапуск:

 sudo systemctl enable nftables



После правки правил в дальнейшем выполняйте:

 sudo systemctl reload nftables

Nftables - История изменений

Mikhailnov в 09:07, 3 декабря 2025