Ubuntu 라우터는 nftables를 사용하여 트래픽을 차단합니다.

우분투에서 간단한 라우터를 설정하려고 합니다. 두 가지 네트워크 인터페이스가 있습니다. eth0 - 인터넷에 연결된 유선 네트워크 인터페이스, wlan0 - IP 주소 10.0.9.1을 사용하여 AP로 구성됩니다.

IPv4 전달이 활성화되었습니다.

다음 구성으로 dnsmasq를 사용합니다.

interface=wlan0
dhcp-range=10.0.9.2,10.0.9.30,255.255.255.0,12h
dhcp-host=40:a3:6b:c1:9a:54,10.0.9.100

장치가 내 AP에 연결되고 할당된 IP 주소를 올바르게 가져옵니다.

이제 NAT를 구성하십시오. 내 nftables 구성은 다음과 같습니다.

table ip nat {
        chain prerouting {
                type nat hook prerouting priority dstnat; policy accept;
                iif "eth0" tcp dport 8010 dnat to 10.0.9.100:80
                iif "eth0" tcp dport 9001 dnat to 10.0.9.100:9001
        }

        chain postrouting {
                type nat hook postrouting priority srcnat; policy accept;
                oif "eth0" masquerade
        }
}

이 설정은 예상대로 작동합니다.

• wlan0에 연결된 장치는 eth0을 통해 인터넷에 액세스할 수 있습니다.
• wlan0에 연결된 장치는 라우터의 10.0.9.1에 있는 서버에 연결할 수 있습니다.
• IP 10.0.9.1.100이 있는 장치는 포트 8010 및 9001의 eth0을 통해 액세스할 수 있습니다.

하지만 무단 접근으로부터 기기를 보호하기 위해 간단한 방화벽을 설정하고 싶습니다. 이것이 내가 nftables 구성에 추가한 것입니다:

table inet filter {
        chain input {
                type filter hook input priority filter; policy drop;
                ct state vmap { established : accept, related : accept, invalid : drop }
                iifname lo accept
                icmp type echo-request limit rate 5/second accept
                ip protocol icmp drop

                iif "eth0" tcp dport { ssh, 8080 } accept
        }

        chain forward {
                type filter hook forward priority 0; policy drop;

                ct status dnat accept
                iif "wlan0" oif "wlan0" accept
                iif "wlan0" oif "eth0" accept
                iif "eth0" oif "wlan0" ct state established,related accept
        }

        chain output {
                type filter hook output priority filter; policy accept;
        }
}

이 설정은 예상대로 작동하지 않습니다.

• wlan0에 연결된 장치할 수 없다eth0을 통해 인터넷에 접속
• wlan0에 연결된 장치할 수 없다라우터에서 서버 10.0.9.1에 연결
• IP 10.0.9.1.100이 있는 장치는 포트 8010 및 9001의 eth0을 통해 액세스할 수 있습니다.

nfconfig에서 모든 보호를 비활성화하면 예상대로 작동합니다.

table inet filter {
        chain input {
                type filter hook input priority filter; policy accept;
        }

        chain forward {
                type filter hook forward priority 0; policy accept;
        }

        chain output {
                type filter hook output priority filter; policy accept;
        }
}

해당 섹션을 편집하면 chain input작업이 중지됩니다.

저는 nftables를 처음 접했고, nftables를 작동시키는 방법을 알아내려고 하루 종일 보냈습니다. 어떤 아이디어가 있나요?

감사해요!