nftables(8)MAPS、VMAPS

MAPS

MAPS简介

上篇文章我们介绍了SETS集合相关的内容，本篇文章主要介绍map，在nftables中，Map（映射）用于存储键值对，类似于许多编程语言中的关联数组/字典/哈希表。在nftables规则中，可以指定一个数据包字段（例如：tcp目的端口），然后引用一个映射来搜索具有与数据包字段值匹配的键的映射元素，并返回该映射元素的值（或者如果映射中没有匹配元素则返回失败）。

可以把map想象成一个集合，但它不仅返回“在集合中/不在集合中”的结果，而且返回一个具体的值。在内部实现上，集合和map都使用了相同的通用集合基础设施，因此它们共享许多相同的选项和语义。

maps和前面所介绍的集合非常相似也分为匿名映射（Anonymous Maps）和命名映射（Named Maps），匿名映射和命名映射的区别如下：

区别

匿名映射

虽然这么区分，但是在nftables的上下文中，实际上并没有直接称为“匿名映射”的明确概念，因为nftables中的映射（sets）通常是通过名称来引用的，以便在多个规则中重复使用。然而，可以理解为在某些场景下，nftables规则中直接使用了类似映射的功能，但这些功能并没有事先声明为独立的命名映射，而是直接在规则表达式中定义，这种情况可以视为一种“匿名”的使用方式。

不过，由于nftables的规则和表达式设计并不直接支持传统意义上的“匿名映射”，我将通过下面的示例来说明如何在nftables规则中模拟类似映射的功能，尽管这些并不是严格意义上的匿名映射。

如上图所示，这是前面我们在做测试的时候我们配置的内容，我们在规则中直接使用了IP地址列表，这可以视为一种“匿名”的映射方式。

命名映射

命名映射的语法如下：

add map [family] table map { type type | typeof expression [flags flags ;] [elements = { element[, ...] } ;] [size size ;] [comment comment ;] [policy 'policy ;] }
{delete | destroy | list | flush | reset } map [family] table map
list maps [family]

Set 和 Map 标志

以上的这些参数是不是和我们前面所配置的set很相似，因为它们使用了相同的通用集合基础设施。

添加元素语法如下

{add | create | delete | destroy | get | reset } element [family] table set { ELEMENT[, ...] }
ELEMENT := key_expression OPTIONS [: value_expression]
OPTIONS := [timeout TIMESPEC] [expires TIMESPEC] [comment string]
TIMESPEC := [numd][numh][numm][num[s]]

元素选项

配置命名映射

创建map

添加元素

引用map

vmaps

Verdict Maps (vmaps) 在 nftables 防火墙规则集中是一种特殊类型的映射（map），它们允许将元素直接映射到裁决（verdict）语句上。裁决语句决定了当匹配到特定规则时应该采取的动作，比如接受（accept）、拒绝（reject）或丢弃（drop）数据包。

使用 vmap 语句创建的 Verdict Maps 内部基于通用的集合（set）基础设施，因此它们共享一些语义和选项。某些文档中可能将 vmaps 称为字典（dictionaries），在 nftables 上下文中具有特定的用途和行为。

expression vmap { VMAP_ELEMENTS }
VMAP_ELEMENTS := VMAP_ELEMENT [, VMAP_ELEMENTS]
VMAP_ELEMENT  := key : verdict

裁决语句（verdict statement）

Anonymous vmaps（匿名映射）

nftables本身不直接支持“匿名映射”的概念，但我们可以将这个概念理解为那些没有显式命名的映射。然而，在nftables的实际使用中，几乎所有的映射都是命名的，因为你需要一个引用来在规则中引用它们。

例如可以从逻辑上将对 TCP 和 UDP 数据包的处理规则拆分开来，那么vmaps是如何做的呢？

我们先清空现有的nftables表，然后进行配置：

root@debian:~# nft flush ruleset
root@debian:~# nft list ruleset
root@debian:~# nft add table filter-vmap
root@debian:~# nft add chain filter-vmap input-vmap { type filter hook input priority -200 \; }
root@debian:~# nft list table filter-vmap
table ip filter-vmap {
        chain input-vmap {
                type filter hook input priority -200; policy accept;
        }
}
root@debian:~# nft add chain filter-vmap tcp-vmap
root@debian:~# nft add chain filter-vmap udp-vmap
root@debian:~# nft list table filter-vmap
table ip filter-vmap {
        chain input-vmap {
                type filter hook input priority -200; policy accept;
        }
 
        chain tcp-vmap {
        }
 
        chain udp-vmap {
        }
}
root@debian:~#  nft add rule filter-vmap input-vmap meta l4proto vmap { tcp : jump tcp-vmap , udp : jump udp-vmap }
root@debian:~# nft list table filter-vmap
table ip filter-vmap {
        chain input-vmap {
                type filter hook input priority -200; policy accept;
                meta l4proto vmap { tcp : jump tcp-vmap, udp : jump udp-vmap }
        }
 
        chain tcp-vmap {
        }
 
        chain udp-vmap {
        }
}

测试

现在已经分流了，我们可以对效果进行测试。如果我们需要匹配放行从192.168.140.248访问本机的80端口的tcp流量应该怎么做呢？

Name vmaps（命名映射）

在上部分匿名映射中，我们可以可以从逻辑上将对 TCP 和 UDP 数据包的处理规则拆分开来，那么命名映射该如何做的呢？

我们先清空现有的nftables表，然后进行配置：

创建表和分流链

创建默认链

创建vmap

流量分流策略

引用vmap分流策略

root@debian:~# nft flush ruleset
root@debian:~# nft list ruleset
root@debian:~# nft add table filter-name-vmap
root@debian:~# nft add chain filter-name-vmap input-name-tcp
root@debian:~# nft add chain filter-name-vmap input-name-udp
root@debian:~# nft list table filter-name-vmap
table ip filter-name-vmap {
        chain input-name-tcp {
        }
 
        chain input-name-udp {
        }
}
root@debian:~# nft add chain filter-name-vmap input-name-vmap { type filter hook input priority -200 \; }
root@debian:~# nft list table filter-name-vmap
table ip filter-name-vmap {
        chain input-name-tcp {
        }
 
        chain input-name-udp {
        }
 
        chain input-name-vmap {
                type filter hook input priority -200; policy accept;
        }
}
root@debian:~# nft add map filter-name-vmap input-name-vmap { type inet_proto : verdict \; }
root@debian:~# nft list table filter-name-vmap
table ip filter-name-vmap {
        map input-name-vmap {
                type inet_proto : verdict
        }
 
        chain input-name-tcp {
        }
 
        chain input-name-udp {
        }
 
        chain input-name-vmap {
                type filter hook input priority -200; policy accept;
        }
}
root@debian:~# nft add element filter-name-vmap input-name-vmap   { tcp : jump input-name-tcp , udp : jump input-name-udp }
root@debian:~# nft list table filter-name-vmap
table ip filter-name-vmap {
        map input-name-vmap {
                type inet_proto : verdict
                elements = { tcp : jump input-name-tcp, udp : jump input-name-udp }
        }
 
        chain input-name-tcp {
        }
 
        chain input-name-udp {
        }
 
        chain input-name-vmap {
                type filter hook input priority -200; policy accept;
        }
}
root@debian:~# nft add rule filter-name-vmap input-name-vmap  meta l4proto vmap @input-name-vmap
root@debian:~# nft list table filter-name-vmap
table ip filter-name-vmap {
        map input-name-vmap {
                type inet_proto : verdict
                elements = { tcp : jump input-name-tcp, udp : jump input-name-udp }
        }
 
        chain input-name-tcp {
        }
 
        chain input-name-udp {
        }
 
        chain input-name-vmap {
                type filter hook input priority -200; policy accept;
                meta l4proto vmap @input-name-vmap
        }
}

测试

如果我们需要匹配阻止从192.168.140.248访问本机的80端口的tcp流量应该怎么做呢？我们在匿名映射那里配置的是放心，这里我们配置阻止。

总结

通过我们前篇文章介绍的sets集合，和本篇文章介绍的maps和vmaps，可以极大的提升防火墙策略的灵活程度，我们所介绍的示例只是基础的规则应用和原理，更多的功能搭配和更复杂的事项方式需要自己根据需求自行进行探索。