新的 linux 防火墙 - nft - 带有串联和间隔的映射似乎不起作用

如何解决新的 linux 防火墙 - nft - 带有串联和间隔的映射似乎不起作用

你好 linux 防火墙大师，

我正在尝试从基于 iptables 的防火墙迁移到 nft。我发现集合/映射/连接非常有用，但现在我试图将更多的概念结合在一起......但它对我来说并不像我认为的那样工作。我想标记某些数据包以备后用。我在网络上有一些主机，它们由：输入接口、MAC 地址、IP 地址（或 IP 网络）标识。当然我可以逐案标记，但这里的地图似乎更好。

让我举一些例子来说明什么对我不起作用。这就是我加载包含一些 defs 的文件并将其从内核转储的方式（在 nft list ruleset 下）：

$ cat example.nft 
flush ruleset

table ip filter {

    set s1 {
        type iface_index . ether_addr . ipv4_addr
        flags interval
        elements = {
            "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1,"lan" . aa:aa:aa:aa:aa:02 . 10.1.1.2,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0/24
        }
    }

    map m1 {
        type ipv4_addr : mark;
        flags interval;
        elements = {
            10.1.1.1 : 1,10.1.1.2 : 2,10.1.2.0/24 : 3
        }
    }

    map m2 {
        type iface_index . ether_addr . ipv4_addr : mark;
        elements = {
            "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1 : 1,"lan" . aa:aa:aa:aa:aa:02 . 10.1.1.2 : 2,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0/24 : 3
        }
    }

    map m3 {
        type iface_index . ether_addr . ipv4_addr : mark;
        flags interval;
        elements = {
            "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1 : 1,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0/24 : 3
        }
    }

}
$ nft -f example.nft 
$ nft list ruleset
table ip filter {
        set s1 {
                type iface_index . ether_addr . ipv4_addr
                flags interval
                elements = { "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0/24 }
        }

        map m1 {
                type ipv4_addr : mark
                flags interval
                elements = { 10.1.1.1 : 0x00000001,10.1.1.2 : 0x00000002,10.1.2.0/24 : 0x00000003 }
        }

        map m2 {
                type iface_index . ether_addr . ipv4_addr : mark
                elements = { "lan" . aa:aa:aa:aa:aa:01 . 10.1.1.1 : 0x00000001,"lan" . aa:aa:aa:aa:aa:02 . 10.1.1.2 : 0x00000002,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0 : 0x00000003 }
        }

        map m3 {
                type iface_index . ether_addr . ipv4_addr : mark
                flags interval
                elements = { "lan" . aa:aa:aa:aa:aa:01-aa:aa:aa:aa:aa:02 . 10.1.1.1-10.1.1.2 : 0x00000002,"lan" . aa:aa:aa:aa:aa:03 . 10.1.2.0 : 0x00000003 }
        }
}

Set s1 在我的 lan 界面上显示“主机定义” - 2 台主机具有 1 个 IP 地址，1 台主机具有整个 /24 网络。从内核转储就像它应该的那样。效果很好！

Map m1 显示 map 可以使用间隔。这里也没有问题。

Map m2 表明 map 可以与串联一起使用。 m2 的转储版本看起来不错，但没有正确显示第三行：10.1.2.0 代替 10.1.2.0/24。但这是意料之中的，因为 m2 不使用间隔标志。

Map m1 在源文件中显示了我想要的内容 - 但不像您在转储中看到的那样工作。我想要一个映射，用各自的值标记每个元素（三元组：接口、MAC、IP 或 IPnet）。但是当它从内核中出来时，它与加载的配置完全不同。

最后我的问题是：如何使 map 与串联和间隔一起工作？

谢谢。

PS：这是在 linux 5.10.2 上。