nftablesを使用して動的ブラックリストを作成する

nftablesを使って動的ブラックリストを作成したいと思います。組み込みデバイスのバージョン0.8.3では、nftリストルールセットを使用して次のルールセットを作成しました。

table inet filter {
set blackhole {
    type ipv4_addr
    size 65536
    flags timeout
}

chain input {
    type filter hook input priority 0; policy drop;
    ct state invalid drop
    ct state established,related accept
    iif "lo" accept
    ip6 nexthdr 58 icmpv6 type { destination-unreachable, packet-too-big, time-exceeded, parameter-problem, echo-request, echo-reply, mld-listener-query, mld-listener-report, mld-listener-done, nd-router-solicit, nd-router-advert, nd-neighbor-solicit, nd-neighbor-advert, ind-neighbor-solicit, ind-neighbor-advert, mld2-listener-report } accept
    ip protocol icmp icmp type { echo-reply, destination-unreachable, echo-request, router-advertisement, router-solicitation, time-exceeded, parameter-problem } accept
    ip saddr @blackhole counter packets 0 bytes 0 drop
    tcp flags syn tcp dport ssh meter flood { ip saddr timeout 1m limit rate over 10/second burst 5 packets}  set add ip saddr timeout 1m @blackhole drop
    tcp dport ssh accept
}

chain forward {
    type filter hook forward priority 0; policy drop;
}

chain output {
    type filter hook output priority 0; policy accept;
}
}

私にとってこれは単なる一時的な解決策です。公式の例を使いたいマンページ動的ブラックリストに使用されます。マンページの公式例では、私のnftablesファイルは次のようになります。

table inet filter {
set blackhole{
        type ipv4_addr
        flags timeout
        size 65536
}
chain input {
        type filter hook input priority 0; policy drop;

        # drop invalid connections
        ct state invalid drop

        # accept traffic originating from us
        ct state established,related accept

        # accept any localhost traffic
        iif lo accept

        # accept ICMP
        ip6 nexthdr 58 icmpv6 type { destination-unreachable, packet-too-big, time-exceeded, parameter-problem, echo-request, echo-reply, mld-listener-query, mld-listener-report, mld-listener-done, nd-router-solicit, nd-router-advert, nd-neighbor-solicit, nd-neighbor-advert, ind-neighbor-solicit, ind-neighbor-advert, mld2-listener-report } accept
        ip protocol icmp icmp type { destination-unreachable, router-solicitation, router-advertisement, time-exceeded, parameter-problem, echo-request, echo-reply } accept

        # accept SSH (port 22)
        ip saddr @blackhole counter drop
        tcp flags syn tcp dport ssh meter flood { ip saddr timeout 10s limit rate over 10/second} add @blackhole { ip saddr timeout 1m } drop
        tcp dport 22 accept

}


chain forward {
        type filter hook forward priority 0; policy drop;
}

chain output {
        type filter hook output priority 0; policy accept;
}

}

ただし、nft -f myfileを使用してバージョン0.8.3でこのnftablesファイルをロードすると、次のエラーが発生します。

Error: syntax error, unexpected add, expecting newline or semicolon
    tcp flags syn tcp dport ssh meter flood { ip saddr timeout 10s limit rate over 10/second} add @blackhole { ip saddr timeout 1m } drop

なぜこのようなことが起こるのかわからないが、ウィキペディアバージョン0.8.1とカーネル4.3以降で動作します。

私のバージョンは0.8.3で、カーネルは4.19.94です。

私はDebian Busterのバージョン0.9.0の公式マニュアルページでルールセットをテストしました。マニュアルページのルールセットは Debian でうまく動作しますが、IP は一度だけブロックされます。

この例では、私のデバイスに対する無差別代入攻撃が発生した場合にSSHポートのIPアドレスをブロックするファイアウォールルールを作成したいと思います。しかし、たとえば5分間IPをブロックしたいと思います。その後、攻撃者のIPからデバイスに再接続できる必要があります。彼が再び無差別攻撃を加えると、そのIPは5分間再びブロックされなければなりません。 nftablesが利用可能な場合は、組み込みデバイスにsshguardやfall2banなどの他のソフトウェアを使用したくありません。

誰でも私を助けることができることを願っています。ありがとうございます！