Nftables - 版の履歴

Nakarch: /* Docker と共に使う */ PrivateMounts=No を追加（英語版を反映）

2026-03-01T06:00:59Z

Docker と共に使う: PrivateMounts=No を追加（英語版を反映）

← 古い版		2026年3月1日 (日) 15:00時点における版
583行目:		583行目:
	[Service]		[Service]
	PrivateNetwork=yes		PrivateNetwork=yes
			PrivateMounts=No

	# cleanup		# cleanup

Hkiku482: /* マスカレード */ 同期

2026-02-13T18:48:27Z

マスカレード: 同期

← 古い版		2026年2月14日 (土) 03:48時点における版
468行目:		468行目:
	CONFIG_NFT_MASQ=m		CONFIG_NFT_MASQ=m

	* {{ic\|masquerade}} キーワードは {{ic\|nat}} タイプのチェインでのみ使うことが~~でき、{{ic\|inet}} ファミリーのテーブルでは利用~~できま~~せん。{{ic\|ip}} ファミリーや {{ic\|ip6}} ファミリーのテーブルを使ってください~~。		* {{ic\|masquerade}} キーワードは {{ic\|nat}} タイプのチェインでのみ使うことができます。
	* マスカレードは一種のソース NAT であり、出力パスでのみ機能します。		* マスカレードは一種のソース NAT であり、出力パスでのみ機能します。

	2つのインターフェイスが存在し {{ic\|nsp3s0}} が LAN に接続され、{{ic\|enp2s0}} がインターネットに接続されているマシンでの設定例:		2つのインターフェイスが存在し {{ic\|nsp3s0}} が LAN に接続され、{{ic\|enp2s0}} がインターネットに接続されているマシンでの設定例:

	<nowiki>table ip ~~nat~~ {		<nowiki>table inet my_nat {
	chain ~~prerouting~~ {		chain my_masquerade {
	type nat hook ~~prerouting~~ priority 0;		type nat hook postrouting priority srcnat;
		⚫	oifname "enp2s0" masquerade
	}
	chain postrouting {
	type nat hook postrouting priority 0;
⚫	oifname "~~enp0s2~~" masquerade
	}		}
	}</nowiki>		}</nowiki>

			テーブルタイプが{{ic\|inet}}であるため、IPv4パケットとIPv6パケットの両方がマスカレードされます。IPv4パケットのみをマスカレードしたい場合（IPv6のアドレス空間が拡張されているためNATが不要）、{{ic\|oifname "enp2s0"}}の前に{{ic\|meta nfproto ipv4}}を追記するか、テーブルタイプを{{ic\|ip}}に変更してください。

	== ヒントとテクニック ==		== ヒントとテクニック ==

Akira: /* およびの順番を入れ替え */
2025-11-15T12:51:46Z

<table> および<family>の順番を入れ替え

← 古い版 2025年11月15日 (土) 21:51時点における版
168行目: 168行目:

チェインを編集したいときは、チェインの名前を指定して変更したいルールを定義します:

チェインを編集したいときは、チェインの名前を指定して変更したいルールを定義します:

# <nowiki>nft chain <table> <family> <chain> { [ type <type> hook <hook> device <device> priority <priority> \; policy <policy> \; ] }</nowiki>

# <nowiki>nft chain <family> <table> <chain> { [ type <type> hook <hook> device <device> priority <priority> \; policy <policy> \; ] }</nowiki>

例えば、デフォルトテーブルの input チェインポリシーを "accept" から "drop" に変更したい場合:

例えば、デフォルトテーブルの input チェインポリシーを "accept" から "drop" に変更したい場合:

Kusanaginoturugi: /* Docker と共に使う */ ルートレスに統一

2025-07-31T10:40:58Z

Docker と共に使う: ルートレスに統一

← 古い版		2025年7月31日 (木) 19:40時点における版
569行目:		569行目:
	{{Note\|		{{Note\|
	* 次のセットアップでは、{{ic\|--net host --privileged}} を使用してもコンテナ内で {{ic\|AF_BLUETOOTH}} などのプロトコルを利用できなくなります。		* 次のセットアップでは、{{ic\|--net host --privileged}} を使用してもコンテナ内で {{ic\|AF_BLUETOOTH}} などのプロトコルを利用できなくなります。
	* ~~Rootless~~ Dockerコンテナはすでに別のネットワーク名前空間で実行されています。何もする必要がないかもしれません。		* ルートレス Dockerコンテナはすでに別のネットワーク名前空間で実行されています。何もする必要がないかもしれません。
	}}		}}

Hikali: マークアップの訂正 (""使用しない"" -> '''使用しない'')

2023-09-20T06:51:56Z

マークアップの訂正 (""使用しない"" -> '''使用しない'')

← 古い版		2023年9月20日 (水) 15:51時点における版
577行目:		577行目:

	信頼できる方法は、docker を別のネットワーク名前空間で実行させ、そこで任意の処理を実行できるようにすることです。		信頼できる方法は、docker を別のネットワーク名前空間で実行させ、そこで任意の処理を実行できるようにすることです。
	Docker が nftables と iptables ルールを混在させないように、{{Pkg\|iptables-nft}} を""使用しない"" 方が良いでしょう。		Docker が nftables と iptables ルールを混在させないように、{{Pkg\|iptables-nft}} を'''使用しない'''方が良いでしょう。

	以下の docker サービス [[ドロップインファイル]] を使用してください:		以下の docker サービス [[ドロップインファイル]] を使用してください:

Hikali: nftables#トラブルシューティングの翻訳

2023-09-20T04:27:04Z

nftables#トラブルシューティングの翻訳

← 古い版		2023年9月20日 (水) 13:27時点における版
568行目:		568行目:

	{{Note\|		{{Note\|
			* 次のセットアップでは、{{ic\|--net host --privileged}} を使用してもコンテナ内で {{ic\|AF_BLUETOOTH}} などのプロトコルを利用できなくなります。
	* With the following setup, you will not be able to use protocols like {{ic\|AF_BLUETOOTH}} inside containers even with {{ic\|--net host --privileged}}.
			* Rootless Dockerコンテナはすでに別のネットワーク名前空間で実行されています。何もする必要がないかもしれません。
	* Rootless Docker containers already run in a separate network namespace. You may not need to do anything.
	}}		}}

			nftables を使用すると、[[Docker]] のネットワーク (おそらく他のコンテナランタイムも同様) に干渉する可能性があります。
	Using nftables can interfere with [[Docker]] networking (and probably other container runtimes as well). You can find various workarounds on the internet which either involve patching iptables rules and ensuring a defined service start order or disabling dockers iptables management completely which makes using docker very restrictive (think port forwarding or docker-compose).
			iptables ルールにパッチを適用して定義されたサービス開始順序を確保するか、docker の使用が非常に制限される dockerのiptablesの管理を完全に無効にするなど、さまざまな回避策がインターネット上で見つかります。
			(ポートフォワーディングや docker-compose を考えてください)

			信頼できる方法は、docker を別のネットワーク名前空間で実行させ、そこで任意の処理を実行できるようにすることです。
	A reliable method is letting docker run in a separate network namespace where it can do whatever it wants. It is probably best to '''not''' use {{Pkg\|iptables-nft}} to prevent docker from mixing nftables and iptables rules.
			Docker が nftables と iptables ルールを混在させないように、{{Pkg\|iptables-nft}} を""使用しない"" 方が良いでしょう。

			以下の docker サービス [[ドロップインファイル]] を使用してください:
	Use the following docker service [[drop-in file]]:

	{{hc\|/etc/systemd/system/docker.service.d/netns.conf\|2=		{{hc\|/etc/systemd/system/docker.service.d/netns.conf\|2=
600行目:		603行目:
	}}		}}

			セットアップにおいてIPアドレス {{ic\|10.0.0.*}} が適切でない場合は、調整してください。
	Adjust the {{ic\|10.0.0.*}} IP addresses if they are not appropriate for your setup.

			以下のポストルーティングルールで、{{ic\|docker0}} のIPフォワーディングを有効にし、NATを設定します:
	Enable IP forwarding and set-up NAT for docker0 with the following postrouting rule:

	iifname docker0 oifname eth0 masquerade		iifname docker0 oifname eth0 masquerade

			次に、[[インターネット共有#パケット転送の有効化\|kernel IP forwarding]] が有効になっていることを確認します。
	Then, ensure that [[Internet sharing#Enable packet forwarding\|kernel IP forwarding]] is enabled.


	Now you can setup a firewall and port forwarding for the {{ic\|docker0}} interface using nftables without any interference.
			これで、nftables を使用して {{ic\|docker0}} インターフェイスのファイアウォールとポートフォワーディングを干渉することなくセットアップできるようになります。

	==参照==		==参照==

Hikali: 誤字の修正 (設定をが付属 -> 設定が付属)

2023-09-16T22:44:32Z

誤字の修正 (設定をが付属 -> 設定が付属)

← 古い版		2023年9月17日 (日) 07:44時点における版
30行目:		30行目:
	=== シンプルなファイアウォール ===		=== シンプルなファイアウォール ===

	{{Pkg\|nftables}} には、{{ic\|/etc/nftables.conf}} ファイルに保存されたシンプルで安全なファイアウォール設定をが付属しています。		{{Pkg\|nftables}} には、{{ic\|/etc/nftables.conf}} ファイルに保存されたシンプルで安全なファイアウォール設定が付属しています。

	{{ic\|nftables.service}} は、[[起動]]または[[有効化]]時に、このファイルからルールを読み込みます。		{{ic\|nftables.service}} は、[[起動]]または[[有効化]]時に、このファイルからルールを読み込みます。

AshMyzk: /* トラブルシューティング */ 追加

2022-09-26T11:02:19Z

トラブルシューティング: 追加

← 古い版		2022年9月26日 (月) 20:02時点における版
562行目:		562行目:

	[[Sshguard]] はブルートフォース攻撃を検出して一時的に IP アドレスに基づきブロックするようにファイアウォールを編集します。Sshguard で nftables を使うように設定する方法は [[Sshguard#nftables]] を見てください。		[[Sshguard]] はブルートフォース攻撃を検出して一時的に IP アドレスに基づきブロックするようにファイアウォールを編集します。Sshguard で nftables を使うように設定する方法は [[Sshguard#nftables]] を見てください。

			== トラブルシューティング ==

			=== Docker と共に使う ===

			{{Note\|
			* With the following setup, you will not be able to use protocols like {{ic\|AF_BLUETOOTH}} inside containers even with {{ic\|--net host --privileged}}.
			* Rootless Docker containers already run in a separate network namespace. You may not need to do anything.
			}}

			Using nftables can interfere with [[Docker]] networking (and probably other container runtimes as well). You can find various workarounds on the internet which either involve patching iptables rules and ensuring a defined service start order or disabling dockers iptables management completely which makes using docker very restrictive (think port forwarding or docker-compose).

			A reliable method is letting docker run in a separate network namespace where it can do whatever it wants. It is probably best to '''not''' use {{Pkg\|iptables-nft}} to prevent docker from mixing nftables and iptables rules.

			Use the following docker service [[drop-in file]]:

			{{hc\|/etc/systemd/system/docker.service.d/netns.conf\|2=
			[Service]
			PrivateNetwork=yes

			# cleanup
			ExecStartPre=-nsenter -t 1 -n -- ip link delete docker0

			# add veth
			ExecStartPre=nsenter -t 1 -n -- ip link add docker0 type veth peer name docker0_ns
			ExecStartPre=sh -c 'nsenter -t 1 -n -- ip link set docker0_ns netns "$$BASHPID" && true'
			ExecStartPre=ip link set docker0_ns name eth0

			# bring host online
			ExecStartPre=nsenter -t 1 -n -- ip addr add 10.0.0.1/24 dev docker0
			ExecStartPre=nsenter -t 1 -n -- ip link set docker0 up

			# bring ns online
			ExecStartPre=ip addr add 10.0.0.100/24 dev eth0
			ExecStartPre=ip link set eth0 up
			ExecStartPre=ip route add default via 10.0.0.1 dev eth0
			}}

			Adjust the {{ic\|10.0.0.*}} IP addresses if they are not appropriate for your setup.

			Enable IP forwarding and set-up NAT for docker0 with the following postrouting rule:

			iifname docker0 oifname eth0 masquerade

			Then, ensure that [[Internet sharing#Enable packet forwarding\|kernel IP forwarding]] is enabled.

			Now you can setup a firewall and port forwarding for the {{ic\|docker0}} interface using nftables without any interference.

	==参照==		==参照==

Kusanaginoturugi: /* Simple firewall */

2021-06-21T09:07:22Z

Simple firewall

← 古い版		2021年6月21日 (月) 18:07時点における版
28行目:		28行目:
	# nft list ruleset		# nft list ruleset

			=== シンプルなファイアウォール ===
	=== Simple firewall ===

			{{Pkg\|nftables}} には、{{ic\|/etc/nftables.conf}} ファイルに保存されたシンプルで安全なファイアウォール設定をが付属しています。
	{{Pkg\|nftables}} comes with simple and secure firewall configuration stored in {{ic\|/etc/nftables.conf}} file.

			{{ic\|nftables.service}} は、[[起動]]または[[有効化]]時に、このファイルからルールを読み込みます。
	The {{ic\|nftables.service}} will load rules from that file when [[start/enable\|started or enabled]].

	== 設定 ==		== 設定 ==

Kusanaginoturugi: /* 使用方法 */ note の削除と === Simple firewall === 節の追加

2021-06-21T08:59:13Z

使用方法: note の削除と === Simple firewall === 節の追加

← 古い版		2021年6月21日 (月) 17:59時点における版
28行目:		28行目:
	# nft list ruleset		# nft list ruleset

			=== Simple firewall ===
	{{Note\|systemd サービスが正しく動作するように必要な nftables 関連のモジュール全てのエントリを含む {{ic\|/etc/modules-load.d/nftables.conf}} を作成する必要があります。モジュールのリストは次のコマンドで取得可能です: {{bc\|<nowiki>$ lsmod \| grep '^nf'</nowiki>}} 作成していないと、{{ic\|Error: Could not process rule: No such file or directory}} エラーで終了してしまいます。}}

			{{Pkg\|nftables}} comes with simple and secure firewall configuration stored in {{ic\|/etc/nftables.conf}} file.

			The {{ic\|nftables.service}} will load rules from that file when [[start/enable\|started or enabled]].

	== 設定 ==		== 設定 ==

← 古い版		2025年11月15日 (土) 21:51時点における版
168行目:		168行目:
	チェインを編集したいときは、チェインの名前を指定して変更したいルールを定義します:		チェインを編集したいときは、チェインの名前を指定して変更したいルールを定義します:

	# <nowiki>nft chain <~~table~~> <~~family~~> <chain> { [ type <type> hook <hook> device <device> priority <priority> \; policy <policy> \; ] }</nowiki>		# <nowiki>nft chain <family> <table> <chain> { [ type <type> hook <hook> device <device> priority <priority> \; policy <policy> \; ] }</nowiki>

	例えば、デフォルトテーブルの input チェインポリシーを "accept" から "drop" に変更したい場合:		例えば、デフォルトテーブルの input チェインポリシーを "accept" から "drop" に変更したい場合: