nftables를 사용하여 동적 블랙리스트 생성

nftables를 사용하여 동적 블랙리스트를 만들고 싶습니다. 임베디드 장치의 버전 0.8.3에서는 nft 목록 규칙 세트를 사용하여 다음과 같은 규칙 세트를 만들었습니다.

table inet filter {
set blackhole {
    type ipv4_addr
    size 65536
    flags timeout
}

chain input {
    type filter hook input priority 0; policy drop;
    ct state invalid drop
    ct state established,related accept
    iif "lo" accept
    ip6 nexthdr 58 icmpv6 type { destination-unreachable, packet-too-big, time-exceeded, parameter-problem, echo-request, echo-reply, mld-listener-query, mld-listener-report, mld-listener-done, nd-router-solicit, nd-router-advert, nd-neighbor-solicit, nd-neighbor-advert, ind-neighbor-solicit, ind-neighbor-advert, mld2-listener-report } accept
    ip protocol icmp icmp type { echo-reply, destination-unreachable, echo-request, router-advertisement, router-solicitation, time-exceeded, parameter-problem } accept
    ip saddr @blackhole counter packets 0 bytes 0 drop
    tcp flags syn tcp dport ssh meter flood { ip saddr timeout 1m limit rate over 10/second burst 5 packets}  set add ip saddr timeout 1m @blackhole drop
    tcp dport ssh accept
}

chain forward {
    type filter hook forward priority 0; policy drop;
}

chain output {
    type filter hook output priority 0; policy accept;
}
}

나에게 이것은 단지 일시적인 해결책일 뿐이다. 공식적인 예를 사용하고 싶습니다맨페이지동적 블랙리스트에 사용됩니다. 맨페이지의 공식 예제를 사용하면 내 nftables 파일은 다음과 같습니다.

table inet filter {
set blackhole{
        type ipv4_addr
        flags timeout
        size 65536
}
chain input {
        type filter hook input priority 0; policy drop;

        # drop invalid connections
        ct state invalid drop

        # accept traffic originating from us
        ct state established,related accept

        # accept any localhost traffic
        iif lo accept

        # accept ICMP
        ip6 nexthdr 58 icmpv6 type { destination-unreachable, packet-too-big, time-exceeded, parameter-problem, echo-request, echo-reply, mld-listener-query, mld-listener-report, mld-listener-done, nd-router-solicit, nd-router-advert, nd-neighbor-solicit, nd-neighbor-advert, ind-neighbor-solicit, ind-neighbor-advert, mld2-listener-report } accept
        ip protocol icmp icmp type { destination-unreachable, router-solicitation, router-advertisement, time-exceeded, parameter-problem, echo-request, echo-reply } accept

        # accept SSH (port 22)
        ip saddr @blackhole counter drop
        tcp flags syn tcp dport ssh meter flood { ip saddr timeout 10s limit rate over 10/second} add @blackhole { ip saddr timeout 1m } drop
        tcp dport 22 accept

}


chain forward {
        type filter hook forward priority 0; policy drop;
}

chain output {
        type filter hook output priority 0; policy accept;
}

}

하지만 nft -f myfile을 사용하여 버전 0.8.3에서 이 nftables 파일을 로드하면 다음 오류가 발생합니다.

Error: syntax error, unexpected add, expecting newline or semicolon
    tcp flags syn tcp dport ssh meter flood { ip saddr timeout 10s limit rate over 10/second} add @blackhole { ip saddr timeout 1m } drop

왜 이런 일이 일어나는지는 모르겠지만, 따르면위키피디아버전 0.8.1 및 커널 4.3부터 작동합니다.

내 버전은 0.8.3이고 커널은 4.19.94입니다.

나는 Debian Buster의 버전 0.9.0 공식 매뉴얼 페이지에서 규칙 세트를 테스트했습니다. 매뉴얼 페이지의 규칙 세트는 데비안에서 잘 작동하지만 IP는 한 번만 차단됩니다.

이 예에서는 내 장치에 대한 무차별 대입 공격이 발생할 경우 SSH 포트의 IP 주소를 차단하는 방화벽 규칙을 만들고 싶습니다. 하지만 예를 들어 5분 동안 IP를 차단하고 싶습니다. 이후에는 공격자의 IP에서 장치에 다시 연결할 수 있어야 합니다. 그가 다시 무차별 공격을 가하면 해당 IP는 5분 동안 다시 차단되어야 합니다. nftables를 사용할 수 있는 경우 임베디드 장치에 sshguard 또는 fall2ban과 같은 다른 소프트웨어를 사용하지 않고 싶습니다.

누구든지 나를 도울 수 있기를 바랍니다. 감사해요!