Firewall nftables

Qu'est-ce que nftables ?

nftables est le framework de filtrage réseau moderne du noyau Linux. Il remplace iptables avec une syntaxe unifiée, une configuration atomique et une gestion IPv4/IPv6 dans une même table inet.

Objectif de cette configuration

• Filtrer les connexions entrantes.
• Réduire la surface d'attaque réseau.
• Protéger contre scans et floods simples.
• Conserver un usage desktop sans friction.
• Prévoir une compatibilité optionnelle avec libvirt NAT.

Contexte

Configuration pensée pour un poste Arch Linux personnel derrière NAT, non exposé WAN. Pour un serveur public, les règles doivent être adaptées.

Installation

pacman -S nftables
nft --version
nft list tables
systemctl enable nftables.service
systemctl start nftables.service
systemctl status nftables.service

Configuration sécurisée complète

#!/usr/bin/nft -f

flush ruleset

table inet filter {
  chain input {
    type filter hook input priority filter;
    policy drop;

    iif lo accept
    ct state invalid drop
    ct state established,related accept
    meta l4proto { icmp, ipv6-icmp } limit rate 10/second accept
    udp sport 67 udp dport 68 accept

    # Optionnel libvirt:
    # iif "<LIBVIRT_BRIDGE>" udp sport 68 udp dport 67 accept
  }

  chain forward {
    type filter hook forward priority filter;
    policy drop;

    # Optionnel libvirt:
    # iif "<LIBVIRT_BRIDGE>" accept
    # oif "<LIBVIRT_BRIDGE>" ct state established,related accept
  }

  chain output {
    type filter hook output priority filter;
    policy accept;
  }
}

nft -c -f <NFTABLES_CONFIG>
nft -f <NFTABLES_CONFIG>
systemctl restart nftables.service
systemctl status nftables.service

Explications détaillées

• flush ruleset: remplace les règles existantes pour éviter les accumulations incohérentes.
• table inet filter: une table commune IPv4/IPv6.
• policy drop en input: deny-by-default.
• iif lo accept: conserve le trafic localhost indispensable.
• ct state invalid drop: rejette les paquets malformés ou incohérents.
• ct state established,related accept: autorise les réponses aux connexions sortantes.
• icmp limité: garde les diagnostics sans accepter un flood.
• DHCP: permet l'obtention automatique d'une adresse IP.
• forward drop: l'hôte ne devient pas routeur général.
• output accept: compromis desktop, durcissable ensuite.

Vérification

nft list ruleset
nft list table inet filter
nft list chain inet filter input
nft -s list ruleset
ping -c 4 <KNOWN_DOMAIN>
getent hosts <KNOWN_DOMAIN>
curl -I <KNOWN_HTTPS_URL>
ping -c 2 127.0.0.1
nmap -Pn <HOST_IP_FROM_OTHER_MACHINE>

Résultat attendu depuis une autre machine: aucun port ouvert inattendu.

Sécurité

• INPUT: drop par défaut, allow-by-exception.
• FORWARD: drop, pas de routage général.
• OUTPUT: accept pour le profil desktop.

Cette configuration ne remplace pas un IDS/IPS, ne filtre pas le contenu applicatif et ne bloque pas une application locale compromise qui initie une connexion sortante.

Configuration avancée

Exemples à adapter explicitement avant usage réel:

# Logging temporaire
log prefix "<FIREWALL_LOG_PREFIX>: " level info flags all

# SSH local uniquement
ip saddr <LAN_CIDR> tcp dport <SSH_PORT> accept

# OUTPUT filtré
chain output {
  type filter hook output priority filter;
  policy drop;
  oif lo accept
  ct state established,related accept
  udp dport 53 accept
  tcp dport { 80, 443 } accept
  udp dport 123 accept
}

# Bloquer une source
ip saddr <BLOCKED_CIDR> drop

# Rate limiting
tcp dport <SERVICE_PORT> ct state new limit rate <RATE> accept

Gestion et maintenance

nft -c -f <NFTABLES_CONFIG>
nft list ruleset
nft -s list ruleset
systemctl restart nftables.service
systemctl reload nftables.service
systemctl is-enabled nftables.service

Dépannage

nft list chain inet filter input
nft list chain inet filter forward
journalctl -u nftables.service -n 50 --no-pager
journalctl -k | rg '<FIREWALL_LOG_PREFIX>'
nft -s list ruleset

• Réseau cassé: vérifier established,related, DNS et output.
• DHCP cassé: vérifier udp sport 67 udp dport 68 accept.
• Ping cassé: vérifier la règle ICMP/ICMPv6 limitée.
• Logs trop bruyants: retirer le logging debug après diagnostic.

Intégration avec d'autres outils

• fail2ban peut utiliser nftables comme backend.
• Docker gère ses propres règles; documenter les interactions avant durcissement.
• Flatpak fonctionne normalement avec output ouvert.
• Libvirt NAT nécessite les exceptions virbr0 de la page dédiée.

Sauvegardes

cp <NFTABLES_CONFIG> <NFTABLES_CONFIG_BACKUP>
nft list ruleset > <NFTABLES_RULESET_EXPORT>
inspect <PACMAN_HOOK_FOR_BACKUP>

Ressources

• nftables Wiki.
• Arch Wiki nftables.
• nftables Quick Reference.
• Documentation kernel networking.