Nftables Netze absichern - Versionsgeschichte

Thomas.will: /* vim /etc/nftables.conf */

2026-05-22T09:41:41Z

vim /etc/nftables.conf

2026-05-22T09:41:20Z

vim /etc/nftables.conf

2026-05-22T09:29:02Z

DMZ

2026-05-22T09:28:50Z

DMZ

2026-05-19T16:17:27Z

Forwarding

2026-05-19T05:16:21Z

SNAT

2026-05-19T05:15:59Z

vim /etc/nftables.conf

2026-05-08T07:33:41Z

Erklärungen

2026-05-08T07:32:44Z

Erklärungen

2026-05-08T07:31:12Z

vim /etc/nftables.conf

@@ Zeile 46: / Zeile 46: @@
                   <span style="color:#FF0000">log prefix "--nftables-drop-forward--"</span>
         <span style="color:#FF0000">}</span>
-−
 {{vorlage:output.conf}}
 {{vorlage:nat2}}

@@ Zeile 20: / Zeile 20: @@
 * Dort werden meistens Dienste wie Mail oder Web gehostet. Teilweise auch Proxy Server.
-==SERVER==
+=SERVER=
 * Hier stehen die internen SERVER
 * Fileserver oder LDAP Server

@@ Zeile 19: / Zeile 19: @@
 * Die Zugriffe werden aber durch die Firewall abgesichert.
 * Dort werden meistens Dienste wie Mail oder Web gehostet. Teilweise auch Proxy Server.
 = Der Plan =

@@ Zeile 45: / Zeile 45: @@
 {{vorlage:output.conf}}
 {{vorlage:nat2}}
 == Weitere Tabellen ==

← Nächstältere Version		Version vom 19. Mai 2026, 05:16 Uhr
Zeile 64:		Zeile 64:

	{{#drawio:nft-inet1}}		{{#drawio:nft-inet1}}
−
−	~~== SNAT ==~~
−
−	* Rechner in einem LAN können nicht ohne weiteres mit dem WAN kommunizieren, da an die lokale IP-Adresse der Rechner im LAN nicht von außen geroutet werden kann.
−	* Um eine Internetverbindung aufzubauen, muss die Adresse aus dem LAN in eine öffentliche umgeschrieben werden.
−	* Wir haben das im am Anfang der Kurses schon gemacht
−	* Wir wollen dies nun verbessern.
−	* Wie stellen von masquerade auf SNAT um dies ist schneller
−	~~===vim /etc/nftables-vars.conf===~~
−	~~{{vorlage:nftables-vars.conf}}~~
−	~~===vim /etc/nftables.conf===~~
−	~~#!/usr/sbin/nft -f~~
−	~~include "/etc/nftables-vars.conf"~~
−	~~flush ruleset~~
−	~~table inet filter {~~
−
−	~~{{vorlage:input.conf}}~~
−	~~chain forward {~~
−	~~type filter hook forward priority filter; policy drop;~~
−	~~ct state established,related accept~~
−	~~log prefix "--nftables-drop-forward--"~~
−	}
−	~~{{vorlage:output.conf}}~~
−	}
−	~~{{vorlage:nat2}}~~

	=Forward von innen nach aussen=		=Forward von innen nach aussen=

@@ Zeile 44: / Zeile 44: @@
+  }
 {{vorlage:output.conf}}
-{{vorlage:nat1}}
+{{vorlage:nat2}}
 = Forwarding =

@@ Zeile 138: / Zeile 138: @@
 {{vorlage:nat2}}
 =Erklärungen=
 {| class="wikitable"
 ! Schlüsselwort / Variable !! Typ !! Erklärung

@@ Zeile 150: / Zeile 150: @@
 |-
 | <code>$DMZDEV</code> || Variable || Enthält den Namen des DMZ-Interfaces (z. B. <code>eth2</code>), über das das Paket weitergeleitet wird
 |-
 | <code>ip daddr</code> || Schlüsselwort || Zieladresse auf IPv4-Ebene (Destination Address)

@@ Zeile 137: / Zeile 137: @@
+  }
 {{vorlage:nat2}}
+=Erklärungen=
-;Paket wir getrackt
+{| class="wikitable"
-ct
+! Schlüsselwort / Variable !! Typ !! Erklärung
-;Esw wird state deklariert
+|-
-state
+| <code>ct state new</code> || nftables-Ausdruck || Paket-Tracking via Connection Tracking: Trifft auf neue Verbindungen zu (kein bestehendes ct-Entry)
-;In diesem Fall der state new
+|-
-new
+| <code>iif</code> || Schlüsselwort || Eingehendes Interface (Input Interface Flag)
-;Input Interface
+|-
-iif
+| <code>$WANDEV</code> || Variable || Enthält den Namen des WAN-Interfaces (z. B. <code>eth0</code>), über das das Paket eingeht
-;Variable des Input Interface
+|-
-$WANDEV
+| <code>oif</code> || Schlüsselwort || Ausgehendes Interface (Output Interface Flag)
-;Output Interface
+|-
-oif
+| <code>$DMZDEV</code> || Variable || Enthält den Namen des DMZ-Interfaces (z. B. <code>eth2</code>), über das das Paket weitergeleitet wird
-;Variable des Output Interface
+|-
-$DMZDEV
+| <code>ip daddr</code> || Schlüsselwort || Zieladresse auf IPv4-Ebene (Destination Address)
-;IPv4 Protokoll
+|-
-ip
+| <code>$WWW</code> || Variable || Enthält die IPv4-Adresse des Ziel-Webservers
-;Quell Adresse
+|-
-;saddr
+| <code>tcp dport 80</code> || Ausdruck || Protokoll TCP, Zielport 80 (HTTP)
-;Variable der Quelladresse
+|-
-;$HOST
+| <code>accept</code> || Aktion || Paket wird akzeptiert und passiert die Regel
-;Ziel Adresse
+|}
 =old stuff=
 *[[nftables-net-oldstuff]]