この記事のポイント

・nft list ruleset で現在の全ルールをまとめて確認できる
・テーブル→チェーン→ルールの3層構造を理解すれば設定がシンプルになる
・/etc/nftables.conf に書いて systemctl enable nftables で永続化する
・iptables-translate コマンドで既存ルールを nftables 形式に変換できる

# 全テーブル・チェーン・ルールを一覧表示
nft list ruleset

# 特定テーブルのみ確認
nft list table inet filter

# テーブル一覧のみ確認
nft list tables

$ nft list ruleset
table inet filter {
        chain input {
                type filter hook input priority filter; policy drop;
                ct state established,related accept
                iifname "lo" accept
                tcp dport 22 accept
        }
        chain forward {
                type filter hook forward priority filter; policy drop;
        }
        chain output {
                type filter hook output priority filter; policy accept;
        }
}

# テーブルを作成（inet は IPv4+IPv6 両対応）
nft add table inet myfilter

# input チェーンを作成（policy drop でデフォルト拒否）
nft add chain inet myfilter input '{ type filter hook input priority 0; policy drop; }'

# output チェーンを作成（policy accept でデフォルト許可）
nft add chain inet myfilter output '{ type filter hook output priority 0; policy accept; }'

# 確立済みセッションと関連パケットを許可（必須の設定）
nft add rule inet myfilter input ct state established,related accept

# ループバックインタフェース（lo）を許可
nft add rule inet myfilter input iifname "lo" accept

# SSH（TCP 22番ポート）を許可
nft add rule inet myfilter input tcp dport 22 accept

# HTTP/HTTPS を許可
nft add rule inet myfilter input tcp dport { 80, 443 } accept

# 特定IPアドレスからのみSSHを許可
nft add rule inet myfilter input ip saddr 192.168.1.0/24 tcp dport 22 accept

# 全ルールを確認してハンドル番号を調べる
nft list ruleset -a

# 出力例（handle XX の番号を使って削除）
# table inet myfilter {
#     chain input {
#         type filter hook input priority filter; policy drop;
#         ct state established,related accept # handle 3
#         tcp dport 22 accept # handle 5
#     }
# }

# ハンドル番号を指定してルールを削除
nft delete rule inet myfilter input handle 5

# チェーン全体を削除（ルールを先にすべて削除してから実行）
nft delete chain inet myfilter input

# テーブル全体を削除
nft delete table inet myfilter

# 現在のルールセットを設定ファイルに書き出す
nft list ruleset > /etc/nftables.conf

# nftables サービスを有効化（OS起動時に自動でルールを読み込む）
systemctl enable nftables

# すぐに設定を反映する
systemctl start nftables

# または設定ファイルを直接読み込む
nft -f /etc/nftables.conf

#!/usr/sbin/nft -f

# 既存ルールをすべてクリアしてから適用
flush ruleset

table inet filter {
        chain input {
                type filter hook input priority filter; policy drop;

                # 確立済みセッションを許可
                ct state established,related accept

                # ループバックを許可
                iifname "lo" accept

                # ICMPを許可（pingなど）
                ip protocol icmp accept
                ip6 nexthdr icmpv6 accept

                # SSH を許可
                tcp dport 22 accept

                # HTTP/HTTPS を許可
                tcp dport { 80, 443 } accept
        }

        chain forward {
                type filter hook forward priority filter; policy drop;
        }

        chain output {
                type filter hook output priority filter; policy accept;
        }
}

# ファイルで named set を使った設定例
table inet filter {
        set allowed_ssh {
                type ipv4_addr
                elements = { 192.168.1.10, 192.168.1.20, 10.0.0.0/8 }
        }

        chain input {
                type filter hook input priority filter; policy drop;
                ct state established,related accept
                iifname "lo" accept
                # セットに含まれるIPからのSSHのみ許可
                ip saddr @allowed_ssh tcp dport 22 accept
        }
}

# セットにIPを追加
nft add element inet filter allowed_ssh { 192.168.1.30 }

# セットからIPを削除
nft delete element inet filter allowed_ssh { 192.168.1.20 }

# SSH への接続を1分間に5回に制限
table inet filter {
        chain input {
                type filter hook input priority filter; policy drop;
                ct state established,related accept
                iifname "lo" accept

                # SSHへの接続試行を1分間5回に制限（ブルートフォース対策）
                tcp dport 22 ct state new limit rate 5/minute accept

                tcp dport { 80, 443 } accept
        }
}

# 単一ルールの変換例
iptables-translate -A INPUT -p tcp --dport 22 -j ACCEPT
# 出力: nft add rule ip filter INPUT tcp dport 22 counter accept

# 既存のルールセット全体を変換
iptables-save | iptables-restore-translate -f /etc/nftables.conf

# ip6tables のルールも変換
ip6tables-save | ip6tables-restore-translate >> /etc/nftables.conf

# 設定ファイルの構文チェック（実際には適用しない）
nft -c -f /etc/nftables.conf

# 確認できたら実際に適用
nft -f /etc/nftables.conf

# firewalld の状態確認
systemctl status firewalld

# nft を直接使う場合は firewalld を停止する
systemctl stop firewalld
systemctl disable firewalld

# または firewalld 経由で管理する（推奨）
firewall-cmd --add-port=80/tcp --permanent
firewall-cmd --reload

# 緊急回避：全ルールをクリアしてデフォルト許可に戻す
# （コンソール接続が必要な場合）
nft flush ruleset

# または systemd サービスを停止
systemctl stop nftables