inetdoc.net

On commence par identifier la colonne FORWARD PATH au centre de la représentation.

Dans cette colonne, on trouve les tables mangle et filter.

Une recherche sur les différences entre ces deux tables nous donne les indications suivantes.

Comme on se concentre sur la colonne FORWARD PATH de la représentation graphique, on repère facilement la chaîne forward.

La politique appliquée à tous les paquets qui passent par la chaîne forward est drop.

Tous les flux qui ne sont pas explicitement autorisés dans les règles de la chaîne forward sont jetés.

Dans la topologie étudiée, c'est l'interface ppp0 du site distant qui donne accès à tous les autres réseaux. Dans les règles proposées, cette interface est précédées des clés iifname ou oifname.

Dans le cas des flux sortants, on voit que tous les nouveaux paquets sont autorisés à passer par l'interface ppp0 en sortie. La règle associe l'état new à l'autorisation accept.

oifname "ppp0" ct state new counter accept

Dans le cas des flux entrants, on voit qu'une liste fermée de protocoles sont acceptés. Tous les nouveaux flux qui ne correspondent pas à l'une des règles avec la décision accept sont jetés.

Prenons l'exemple du protocole HTTP, une règle autorise l'accès aux ports 80 et 443.

iifname "ppp0" meta l4proto {tcp, udp} th dport {80, 443} ct state new counter accept

Cette question touche au cœur du filtrage stateful. Tout flux retour relatif à une première transaction admise ou enregistrée est accepté. C'est la raison pour laquelle on doit insister encore et encore sur le fait qu'il faut décrire le premier paquet admis dans le système d'enregistrement de la façon la plus exhaustive possible.

Voici la règle qui laisse passer tous les flux relatifs à un enregistrement déjà effectué.

ct state established,related accept

On a une fois de plus recours au heredoc.

cat << 'EOF' | sudo tee -a /etc/nftables.conf

table inet filter {
    chain forward {
        type filter hook forward priority 0; policy drop;

        # Allow outbound new connections
        oifname "ppp0" ct state new counter accept

        # Allow established and related connections
        ct state established,related accept

        # Allow specific inbound traffic
        # ICMP IPv4 + IPv6
        iifname "ppp0" meta l4proto {icmp, ipv6-icmp} ct state new counter accept
        # SSH
        iifname "ppp0" tcp dport 2222 ct state new counter accept
        # HTTP(S)
        iifname "ppp0" meta l4proto {tcp, udp} th dport {80, 443} ct state new counter accept

        # Count dropped packets
        counter comment "count dropped packets"
    }
}
EOF

Ensuite, on relance le service et on vérifie que le jeu de règles actives est complet.

sudo systemctl restart nftables.service

sudo nft list ruleset

Voici un exemple qui passe par la couche application : la mise à jour du catalogue de paquets de chaque conteneur.

for i in {0..2}
do
    echo ">>>>>>>>>>>>>>>>> c$i"
    incus exec c$i -- apt update
done

Une fois la mise à jour effectuée dans les conteneurs, on peut relever les compteurs associés aux règles de filtrage.

sudo nft list table inet filter

table inet filter {
        chain forward {
                type filter hook forward priority filter; policy drop;
                oifname "ppp0" ct state new counter packets 41 bytes 3078 accept
                ct state established,related accept
                iifname "ppp0" meta l4proto { icmp, ipv6-icmp } ct state new counter packets 2 bytes 188 accept
                iifname "ppp0" tcp dport 2222 ct state new counter packets 0 bytes 0 accept
                iifname "ppp0" meta l4proto { tcp, udp } th dport { 80, 443 } ct state new counter packets 1 bytes 60 accept
                counter packets 0 bytes 0 comment "count dropped packets"
        }
}

On reprend l'accès aux pages Web depuis le routeur Hub.

for addr in {10..12}
do
    wget -O /dev/null http://10.0.10.$addr 2>&1 | grep "HTTP "
done

for addr in {10..12}
do
    wget -O /dev/null http://[fda0:7a62:a::$(printf "%x" $addr)] 2>&1 | grep "HTTP "
done

Ensuite, on vérifie la nouvelle valeur de comptage sur la règle de filtrage concernée.

sudo nft list table inet filter

table inet filter {
        chain forward {
                type filter hook forward priority filter; policy drop;
                oifname "ppp0" ct state new counter packets 0 bytes 0 accept
                ct state established,related counter packets 81 bytes 13581 accept
                iifname "ppp0" meta l4proto { icmp, ipv6-icmp } ct state new counter packets 0 bytes 0 accept
                iifname "ppp0" tcp dport 2222 ct state new counter packets 0 bytes 0 accept
                iifname "ppp0" meta l4proto { tcp, udp } th dport { 80, 443 } ct state new counter packets 9 bytes 600 accept
                counter packets 0 bytes 0 comment "count dropped packets"
        }
}