Nftables - 版の履歴

Kusanaginoturugi: /* 参照 */ update

2026-05-27T04:16:04Z

参照: update

@@ 934行目: / 934行目: @@
 ==参照==
 * [https://wiki.nftables.org/ netfilter nftables wiki]
-* [https://lwn.net/Articles/564095/ nftables の帰還]
+* [https://lwn.net/Articles/324251/ First release of nftables]

Kusanaginoturugi: /* ヒントとテクニック */ 記事を更新

2026-05-27T04:14:17Z

ヒントとテクニック: 記事を更新

@@ 684行目: / 684行目: @@
 == ヒントとテクニック ==
 === シンプルなステートフルファイアウォール ===
@@ 762行目: / 770行目: @@
 [[Sshguard]] はブルートフォース攻撃を検出して一時的に IP アドレスに基づきブロックするようにファイアウォールを編集します。Sshguard で nftables を使うように設定する方法は [[Sshguard#nftables]] を見てください。
 == トラブルシューティング ==

Kusanaginoturugi: /* サンプル */ 記事を更新

2026-05-27T04:11:44Z

サンプル: 記事を更新

差分を表示

Kusanaginoturugi: /* 設定 */ 記事の更新

2026-05-27T04:06:37Z

設定: 記事の更新

差分を表示

Kusanaginoturugi: /* 使用方法 */ 記事を更新

2026-05-27T03:56:15Z

使用方法: 記事を更新

← 古い版		2026年5月27日 (水) 12:56時点における版
31行目:		31行目:
	== 使用方法 ==		== 使用方法 ==

			{{Tip\|すでに iptables ルールがある場合は、その iptables ルールを nftables ルールに変換できます。詳しくは [https://wiki.nftables.org/wiki-nftables/index.php/Moving_from_iptables_to_nftables] を参照してください。}}
	nftables ではコマンドラインで作成される一時的なルールと、ファイルに保存して読み込まれる永続的なルールを区別していません。デフォルトファイルの {{ic\|/etc/nftables.conf}} には "inet filter" という名前のシンプルな ipv4/ipv6 ファイアウォールテーブルが既に記述されています。

			'''nftables''' は、コマンドラインで作成された一時的なルールと、ファイルから読み込まれた、またはファイルに保存された永続的なルールを'''区別しません'''。
	{{ic\|nftables.service}} を[[起動]]・[[有効化]]してください。

			すべてのルールは {{ic\|nft}} コマンドラインユーティリティを使って作成または読み込む必要があります。
	以下のコマンドでルールセットを確認できます:

			使用方法については [[#設定]] セクションを参照してください。

			現在の ruleset は次のコマンドで表示できます:

	# nft list ruleset		# nft list ruleset

			すべての ruleset を削除し、システムにファイアウォールがない状態にします:

			# nft flush ruleset

			{{ic\|nftables.service}} を[[再起動]]することで、{{ic\|/etc/nftables.conf}} から ruleset を読み込みます。

	=== シンプルなファイアウォール ===		=== シンプルなファイアウォール ===


	{{Pkg\|nftables}} には、{{ic\|/etc/nftables.conf}} ファイルに保存されたシンプルで安全なファイアウォール設定が付属しています。		{{Pkg\|nftables}} には、{{ic\|/etc/nftables.conf}} ファイルに保存されたシンプルで安全なファイアウォール設定が付属しています。


	{{ic\|nftables.service}} は、[[起動~~]]または[[~~有効化]]時に、このファイルからルールを読み込みます。		{{ic\|nftables.service}} は、[[起動/有効化]]されたときに、そのファイルからルールを読み込みます。

	== 設定 ==		== 設定 ==

Kusanaginoturugi: /* インストール */ 記事を更新

2026-05-27T03:03:40Z

インストール: 記事を更新

← 古い版		2026年5月27日 (水) 12:03時点における版
14行目:		14行目:
	== インストール ==		== インストール ==

	~~nftables の~~ユーザー~~ランド~~ユーティリティ~~は {{Pkg\|nftables}}~~ パッケージ~~で利用できます。開発版の~~ {{~~AUR~~\|nftables~~-git~~}} ~~パッケ~~ー~~ジも存在~~します。		ユーザースペースユーティリティパッケージ {{Pkg\|nftables}} を[[インストール]]してください。

			{{Pkg\|iptables-legacy}} がインストールされている場合は、{{Pkg\|iptables}} をインストールしてください。これにより {{Pkg\|iptables-legacy}} が自動的にアンインストールされ、{{Pkg\|nftables}} との競合を防ぎます。
⚫	{{Tip\|ほとんどの [[iptables#Front-ends\|iptables フロントエンド]] はnftables の直接的または間接的なサポート~~を備え~~ていませんが、導入する~~ことは~~可能です。[https://www.spinics.net/lists/netfilter/msg58215.html] nftables と iptables の両方をサポートするグラフィカルなフロントエンド~~として~~は、[[firewalld]] ~~がありま~~す。[https://firewalld.org/2018/07/nftables-backend]}}

			{{Note\|{{Pkg\|iptables}} パッケージは、実際には nftables ルールを作成し操作する {{ic\|iptables}} コマンドの実装を提供します。ただし、古い {{Pkg\|iptables-legacy}} ツールで作成されたルールは別のオブジェクトであり、それらが存在する場合、''iptables'' は警告を表示します。}}

			=== フロントエンド ===

		⚫	{{Tip\|ほとんどの [[iptables#Front-ends\|iptables フロントエンド]]は nftables を直接または間接的にサポートしていませんが、将来的に対応する可能性があります。[https://www.spinics.net/lists/netfilter/msg58215.html] nftables と iptables の両方をサポートするグラフィカルフロントエンドの 1 つは [[firewalld]] です。[https://firewalld.org/2018/07/nftables-backend] [[ufw]] は互換レイヤー ''iptables-nft'' を介してサポートされています。[https://bugs.launchpad.net/ufw/+bug/1880453]}}

			* {{App\|[[firewalld]] (firewall-cmd)\|ネットワークとファイアウォールゾーンの設定、およびファイアウォールルールの設定と構成を行うデーモンおよびコンソールインターフェイス。\|https://firewalld.org/\|{{Pkg\|firewalld}}}}
			* {{App\|nft-blackhole\|国別およびブラックリストによって nftables で IP をブロックするスクリプト / デーモン。\|https://github.com/tomasz-c/nft-blackhole\|{{AUR\|nft-blackhole}}}}
			* {{App\|[[ufw]]\|Ufw は Uncomplicated Firewall の略で、netfilter ファイアウォールを管理するためのプログラムです。\|https://help.ubuntu.com/community/UFW\|{{Pkg\|ufw}}}}
			* {{App\|reaction\|プログラムの出力から繰り返し出現するパターンをスキャンし、アクションを実行するデーモン。fail2ban の軽量な代替です。\|https://framagit.org/ppom/reaction\|{{AUR\|reaction}}}}

	== 使用方法 ==		== 使用方法 ==

Kusanaginoturugi: リンクを追加

2026-05-27T02:57:30Z

リンクを追加

← 古い版		2026年5月27日 (水) 11:57時点における版
6行目:		6行目:
	{{Related\|Firewalld}}		{{Related\|Firewalld}}
	{{Related articles end}}		{{Related articles end}}
	[https://netfilter.org/projects/nftables/ nftables] は既存の ip-, ip6-, arp-, ebtables フレームワークを置き換える ~~netfilter~~ のプロジェクトです。新しいパケットフィルタリングフレームワーク、新しいユーザースペースユーティリティ (nft)、そして ip- と ip6tables の互換レイヤーを提供します。現行のフック、接続追跡システム、ユーザースペースのキューイングコンポーネント、そして netfilter のログサブシステムを使っています。		[https://netfilter.org/projects/nftables/ nftables] は既存の ip-, ip6-, arp-, ebtables フレームワークを置き換える [[Wikipedia:Netfilter\|Netfilter]] のプロジェクトです。新しいパケットフィルタリングフレームワーク、新しいユーザースペースユーティリティ (nft)、そして ip- と ip6tables の互換レイヤーを提供します。現行のフック、接続追跡システム、ユーザースペースのキューイングコンポーネント、そして netfilter のログサブシステムを使っています。

	nftables は3つのメインコンポーネントから構成されています: カーネルの実装、libnl netlink communication そして nftables ユーザースペースフロントエンド。カーネルは netlink の設定インターフェイスだけでなく、小さなクラス言語インタプリタを使用するランタイムのルールセットの評価も提供します。libnl にはカーネルと通信するためのローレベルな関数が含まれています。nftables フロントエンドはユーザーが対話するものです。		nftables は3つのメインコンポーネントから構成されています: カーネルの実装、libnl netlink communication そして nftables ユーザースペースフロントエンド。カーネルは netlink の設定インターフェイスだけでなく、小さなクラス言語インタプリタを使用するランタイムのルールセットの評価も提供します。libnl にはカーネルと通信するためのローレベルな関数が含まれています。nftables フロントエンドはユーザーが対話するものです。

Nakarch: /* Docker と共に使う */ PrivateMounts=No を追加（英語版を反映）

2026-03-01T06:00:59Z

Docker と共に使う: PrivateMounts=No を追加（英語版を反映）

← 古い版		2026年3月1日 (日) 15:00時点における版
583行目:		583行目:
	[Service]		[Service]
	PrivateNetwork=yes		PrivateNetwork=yes
			PrivateMounts=No

	# cleanup		# cleanup

Hkiku482: /* マスカレード */ 同期

2026-02-13T18:48:27Z

マスカレード: 同期

← 古い版		2026年2月14日 (土) 03:48時点における版
468行目:		468行目:
	CONFIG_NFT_MASQ=m		CONFIG_NFT_MASQ=m

	* {{ic\|masquerade}} キーワードは {{ic\|nat}} タイプのチェインでのみ使うことが~~でき、{{ic\|inet}} ファミリーのテーブルでは利用~~できま~~せん。{{ic\|ip}} ファミリーや {{ic\|ip6}} ファミリーのテーブルを使ってください~~。		* {{ic\|masquerade}} キーワードは {{ic\|nat}} タイプのチェインでのみ使うことができます。
	* マスカレードは一種のソース NAT であり、出力パスでのみ機能します。		* マスカレードは一種のソース NAT であり、出力パスでのみ機能します。

	2つのインターフェイスが存在し {{ic\|nsp3s0}} が LAN に接続され、{{ic\|enp2s0}} がインターネットに接続されているマシンでの設定例:		2つのインターフェイスが存在し {{ic\|nsp3s0}} が LAN に接続され、{{ic\|enp2s0}} がインターネットに接続されているマシンでの設定例:

	<nowiki>table ip ~~nat~~ {		<nowiki>table inet my_nat {
	chain ~~prerouting~~ {		chain my_masquerade {
	type nat hook ~~prerouting~~ priority 0;		type nat hook postrouting priority srcnat;
		⚫	oifname "enp2s0" masquerade
	}
	chain postrouting {
	type nat hook postrouting priority 0;
⚫	oifname "~~enp0s2~~" masquerade
	}		}
	}</nowiki>		}</nowiki>

			テーブルタイプが{{ic\|inet}}であるため、IPv4パケットとIPv6パケットの両方がマスカレードされます。IPv4パケットのみをマスカレードしたい場合（IPv6のアドレス空間が拡張されているためNATが不要）、{{ic\|oifname "enp2s0"}}の前に{{ic\|meta nfproto ipv4}}を追記するか、テーブルタイプを{{ic\|ip}}に変更してください。

	== ヒントとテクニック ==		== ヒントとテクニック ==

Akira: /* およびの順番を入れ替え */
2025-11-15T12:51:46Z

<table> および<family>の順番を入れ替え

← 古い版 2025年11月15日 (土) 21:51時点における版
168行目: 168行目:

チェインを編集したいときは、チェインの名前を指定して変更したいルールを定義します:

チェインを編集したいときは、チェインの名前を指定して変更したいルールを定義します:

# <nowiki>nft chain <table> <family> <chain> { [ type <type> hook <hook> device <device> priority <priority> \; policy <policy> \; ] }</nowiki>

# <nowiki>nft chain <family> <table> <chain> { [ type <type> hook <hook> device <device> priority <priority> \; policy <policy> \; ] }</nowiki>

例えば、デフォルトテーブルの input チェインポリシーを "accept" から "drop" に変更したい場合:

例えば、デフォルトテーブルの input チェインポリシーを "accept" から "drop" に変更したい場合:

← 古い版		2025年11月15日 (土) 21:51時点における版
168行目:		168行目:
	チェインを編集したいときは、チェインの名前を指定して変更したいルールを定義します:		チェインを編集したいときは、チェインの名前を指定して変更したいルールを定義します:

	# <nowiki>nft chain <~~table~~> <~~family~~> <chain> { [ type <type> hook <hook> device <device> priority <priority> \; policy <policy> \; ] }</nowiki>		# <nowiki>nft chain <family> <table> <chain> { [ type <type> hook <hook> device <device> priority <priority> \; policy <policy> \; ] }</nowiki>

	例えば、デフォルトテーブルの input チェインポリシーを "accept" から "drop" に変更したい場合:		例えば、デフォルトテーブルの input チェインポリシーを "accept" から "drop" に変更したい場合: