플로우테이블을 사용할 때 "flow offload" 문을 어떻게 구성해야 합니까?

흐름 테이블nftables연결이 설정되면 일반적인 전달 경로를 건너뛰는 "빠른 경로"로 트래픽을 오프로드하는 기능 입니다 . 플로우 테이블을 설정하려면 두 가지를 구성해야 합니다. 첫 번째는 flowtable테이블의 일부로 정의된 자체입니다. 성명서 에 이어 flow offload이것이 제 질문입니다. 매뉴얼 nft페이지에는 다음과 같이 나와 있습니다.

FLOW STATEMENT
    A flow statement allows us to select what flows you want to accelerate
    forwarding through layer 3 network stack bypass. You have to specify
    the flowtable name where you want to offload this flow.

    flow add @flowtable

이것위키 페이지다음과 같은 전체 구성 예가 포함되어 있습니다.

table inet x {

    flowtable f {
        hook ingress priority 0; devices = { eth0, eth1 };
    }

    chain forward {
        type filter hook forward priority 0; policy drop;

        # offload established connections
        ip protocol { tcp, udp } flow offload @f
        ip6 nexthdr { tcp, udp } flow offload @f
        counter packets 0 bytes 0

        # established/related connections
        ct state established,related counter accept

        # allow initial connection
        ip protocol { tcp, udp } accept
        ip6 nexthdr { tcp, udp } accept
    }
}

이것이 내가 혼란스러워하는 곳입니다. 이 예에서는 트래픽과 it에 ip protocol { tcp, udp }대해 accept동일한 조건( )을 사용합니다 flow offload. 스트림 이 스트림 테이블에 flow offload암시적으로 추가되어 이러한 조건이 항상 일치해야 하기 때문입니까 ? accept아니면 이 예는 단지 우연의 일치이며 accept규칙이 더 엄격할 수 있습니까?

구체적으로 에서 인바운드 SSH 트래픽만 전달 eth0하고 트래픽 오프로드를 활성화한다고 가정해 보겠습니다. 포워딩 체인을 이렇게 구성해야 하나요?

    chain forward {
        type filter hook forward priority 0; policy drop;

        # offload established connections
        ip protocol { tcp, udp } flow offload @f

        # established/related connections
        ct state established,related counter accept

        # allow initial connection
        iif eth0 tcp dport 22 accept
    }

아니면 이런 것? ( flow offload규칙이 변경되었을 뿐입니다)

    chain forward {
        type filter hook forward priority 0; policy drop;

        # offload established connections
        iif eth0 tcp dport 22 flow offload @f

        # established/related connections
        ct state established,related counter accept

        # allow initial connection
        iif eth0 tcp dport 22 accept
    }