Ubuntuルータはnftablesを使用してトラフィックをブロックします。

Ubuntuで簡単なルーターを設定しようとしています。 2つのネットワークインターフェイスがあります。 eth0 - インターネットに接続された有線ネットワークインターフェイス、wlan0 - IPアドレス10.0.9.1を使用してAPとして設定されます。

IPv4転送が有効になっています。

次の構成でdnsmasqを使用します。

interface=wlan0
dhcp-range=10.0.9.2,10.0.9.30,255.255.255.0,12h
dhcp-host=40:a3:6b:c1:9a:54,10.0.9.100

デバイスが自分のAPに接続し、割り当てられたIPアドレスを正しく取得します。

次に、NAT を設定します。私のnftables設定は次のとおりです。

table ip nat {
        chain prerouting {
                type nat hook prerouting priority dstnat; policy accept;
                iif "eth0" tcp dport 8010 dnat to 10.0.9.100:80
                iif "eth0" tcp dport 9001 dnat to 10.0.9.100:9001
        }

        chain postrouting {
                type nat hook postrouting priority srcnat; policy accept;
                oif "eth0" masquerade
        }
}

この設定は期待どおりに機能します。

• wlan0に接続されているデバイスは、eth0を介してインターネットにアクセスできます。
• wlan0に接続されているデバイスは、ルーターの10.0.9.1にあるサーバーに接続できます。
• IP 10.0.9.1.100を持つデバイスは、ポート8010および9001のeth0を介してアクセスできます。

しかし、不正アクセスからデバイスを保護するために簡単なファイアウォールを設定したいと思います。これが私がnftables設定に追加したものです：

table inet filter {
        chain input {
                type filter hook input priority filter; policy drop;
                ct state vmap { established : accept, related : accept, invalid : drop }
                iifname lo accept
                icmp type echo-request limit rate 5/second accept
                ip protocol icmp drop

                iif "eth0" tcp dport { ssh, 8080 } accept
        }

        chain forward {
                type filter hook forward priority 0; policy drop;

                ct status dnat accept
                iif "wlan0" oif "wlan0" accept
                iif "wlan0" oif "eth0" accept
                iif "eth0" oif "wlan0" ct state established,related accept
        }

        chain output {
                type filter hook output priority filter; policy accept;
        }
}

この設定は期待どおりに機能しません。

• wlan0に接続されたデバイスできないeth0を介してインターネットに接続する
• wlan0に接続されたデバイスできないルーターからサーバー10.0.9.1に接続する
• IP 10.0.9.1.100を持つデバイスは、ポート8010および9001のeth0を介してアクセスできます。

nfconfigですべての保護を無効にすると、期待どおりに機能します。

table inet filter {
        chain input {
                type filter hook input priority filter; policy accept;
        }

        chain forward {
                type filter hook forward priority 0; policy accept;
        }

        chain output {
                type filter hook output priority filter; policy accept;
        }
}

そのセクションを編集すると、ジョブが停止しchain inputます。

私はnftablesに最初に触れ、nftablesをどのように機能させるかを調べるために一日中過ごしました。どんなアイデアがありますか？

ありがとうございます！