Différences

Ci-dessous, les différences entre deux révisions de la page.

--- 130netfilter:30-nftables [le 19/06/2025 à 09:30] – [Vérification] prof
+++ 130netfilter:30-nftables [le 04/10/2025 à 16:00] (Version actuelle) – [Nftables] prof
@@ Ligne 1: / Ligne 1: @@
 ====== Nftables ======
-Le couple Netfilter/Iptables dont le projet fut initié par Paul "Rusty" Russell au tout début du siècle. Si Netfilter reste d'actualité en évoluant au fil du temps, Iptables, de l'aveu même de son initiateur en était arrivé à un point où toute évolution devenait problématique, le code devenant difficile à maintenir et les commandes trop nombreuses (iptables, ip6tables, ebtables, arptables...).
+Le couple Netfilter/Iptables dont le projet fut initié par Paul "Rusty" Russell au tout début de ce siècle. Si Netfilter reste d'actualité en évoluant au fil du temps, Iptables, de l'aveu même de son initiateur en était arrivé à un point où toute évolution devenait problématique, le code devenant difficile à maintenir et les commandes trop nombreuses (iptables, ip6tables, ebtables, arptables...).
 Nftables, apparu depuis le kernel 3.13 en 2014,  reprend toutes les idées accumulées dans le projet iptables, en les organisant de façon plus cohérente, avec un code entièrement revu.
@@ Ligne 309: / Ligne 309: @@
 </pre></html>
 Le système a rajouté les chaînes INPUT et FORWARD qui restent vides dans notre cas (trop) simple. En effet, il a été omis d'autoriser les entrées et les sorties sur l'interface locale, aussi bien en IPv4 qu'en IPv6, ce qui pourrait perturber le fonctionnement de certains services utilisant un socket inet plutôt qu'un socket unix pour communiquer entre eux.
-==== Franchir le Rubicon ====
-Il faut maintenant activer le service ''nftables'' et **ne plus jamais utiliser les outils iptables!**
-  systemctl enable nftables.service
-  systemctl start nftables.service
-  apt purge iptables
-En français:
-  * activer le service nftables sur systemd,
-  * démarrer ce service,
-  * virer tout ce qu'avait installé le paquet Iptables.
-Autrement-dit, si ça a foiré, il faudra tout reprendre à zéro, d'où l'intérêt d'y aller prudemment.
-==== Ajustement utile ====
-Par curiosité, regardons ce que fait le service «nftables» de systemd. Le script se trouve dans ''/usr/lib/systemd/system/'':
-<html><pre class="code">
-<b>cat /usr/lib/systemd/system/nftables.service </b>
-[Unit]
-Description=nftables
-Documentation=man:nft(8) http://wiki.nftables.org
-Wants=network-pre.target
-Before=network-pre.target shutdown.target
-Conflicts=shutdown.target
-DefaultDependencies=no
-[Service]
-Type=oneshot
-RemainAfterExit=yes
-StandardInput=null
-ProtectSystem=full
-ProtectHome=true
-<span class="hly"><b>ExecStart=/usr/sbin/nft -f /etc/nftables.conf</b>
-ExecReload=/usr/sbin/nft -f /etc/nftables.conf
-<span class="bhlo">ExecStop=/usr/sbin/nft flush ruleset</span>
-[Install]
-WantedBy=sysinit.target
-</pre></html>
-  * au démarrage (//ou au re-démarrage//) le fichier ''/etc/nftables.conf'' sera chargé;
-  * à l'arrêt, la configuration est simplement détruite, mais pas sauvée.
-Il revient donc à l'administrateur de maintenir à jour ce fichier ''/etc/nftables.conf'' et cette opération peut s'avérer compliquée, suivant le contexte.
-Lors de l'installation de ''nftables'', un fichier ''/etc/nftables.conf'' est créé par défaut et contient ceci:
-<html><pre class="code">
-<span class="bhly">#!/usr/sbin/nft -f</span>
-<span class="bhlo">flush ruleset</span>
-table inet filter {
-	chain input {
-		type filter hook input priority filter;
-	}
-	chain forward {
-		type filter hook forward priority filter;
-	}
-	chain output {
-		type filter hook output priority filter;
-	}
-}
-</pre></html>
-** Ce fichier est déjà par lui-même un [[https://wiki.nftables.org/wiki-nftables/index.php/Scripting#File_formats|script exécutable]]**