방화벽: nftable 카운터 규칙

몇 달 전에 데비안이 추천하는 프로그램을 사용하여 데비안 노트북의 방화벽을 데비안 iptables으로 마이그레이션했는데 nftables모든 것이 괜찮아 보였습니다. 몇 달이 지난 지금, 저는 해당 마이그레이션 프로세스에서 생성된 규칙 세트를 검토하고 구문을 배우려고 노력하며 nftables, 제가 이해하지 못하고 올바르지 않을 수 있다고 의심되는 일부 카운터 기반 규칙을 살펴보겠습니다. 위키가 유용한 교육 리소스인 것을 찾지 못했고 nftables이러한 유형의 문제를 다루는 다른 온라인 교육 리소스도 찾지 못했습니다.

기본 자동 마이그레이션 규칙 세트에는 다음이 포함됩니다.

table inet filter {
  chain INPUT {
    type filter hook input priority 0; policy drop;
    counter packets 123 bytes 105891 jump ufw-before-logging-input                                                                                                                                
    counter packets 123 bytes 105891 jump ufw-before-input
    counter packets 0 bytes 0 jump ufw-after-input
    counter packets 0 bytes 0 jump ufw-after-logging-input
    counter packets 0 bytes 0 jump ufw-reject-input                                                                                                                                               
    counter packets 0 bytes 0 jump ufw-track-input                                                                                                                                                
  }

처음 두 counter진술은 내 관심을 끌었던 예입니다. 내 말이 맞나요? 그들은 "ufw-before-foo 섹션의 규칙으로 점프하지만 처음 123개 패킷과 처음 105891바이트가 수신된 후에만 가능합니다"라고 말합니다.

1. 패킷 0바이트 0으로 즉시 시작하지 않는 이유는 무엇입니까?
2. nftables가 지원하는 것으로 보이는 >= 구문을 사용하면 어떨까요?
3. 이 숫자는 임의적입니까? 마이그레이션 중 결함으로 인한 것일 수 있습니까?

위의 규칙 세트에는 유사한 문제가 있을 수 있는 다음 링크로의 이동이 포함되어 있습니다. 다음은 그 일부입니다.

  chain ufw-before-input {
    iifname "lo" counter packets 26 bytes 3011 accept
    ct state related,established counter packets 64 bytes 63272 accept
    ct state invalid counter packets 0 bytes 0 jump ufw-logging-deny
    ct state invalid counter packets 0 bytes 0 drop
    ...
  }

4. 이전에 수신된 26개 또는 64개의 패킷을 기준으로 수락 결정을 내리는 이유는 무엇입니까?
5. 방화벽은 시작 및 네트워크 검색/연결 후 언제든지 새로 고칠 수 있는데 왜 초기 패킷을 모두 삭제합니까?

위에서 언급했듯이 이러한 규칙은 몇 달 동안 시행되었으므로 어떤 부정적인 영향을 미칠지 궁금합니다. 마음에 떠오르는 유일한 후보는 노트북이 때때로 Wi-Fi 연결을 설정하는 데 어려움을 겪는 반면(특히 절전 모드에서 다시 시작한 후) 근처에 있는 두 번째 노트북에는 그러한 문제가 없다는 것입니다.

6. 이러한 패킷 삭제 규칙이 Wi-Fi 연결 협상에 어려움을 주는 원인이 될 수 있습니까?