Merkmal	iptables	nftables
Eingeführt	2001 (Linux 2.4)	2014 (Linux 3.13)
Performance	Gut	Besser
IPv4/IPv6	Getrennt	Nativ kombiniert (inet)
Syntax	Kryptisch	Moderner, konsistent
Sets/Maps	Nur ipset	Nativ eingebaut
Atomare Updates	Nein	Ja
Status	Legacy	Standard

Empfehlung:

• Neue Systeme: native nftables-Syntax
• Bestehende Skripte: iptables-nft (Kompatibilität)
• Frontends: UFW/firewalld nutzen nftables-Backend

inet kombiniert IPv4 und IPv6 in einer einzigen Table:

• Vorteil: Regeln gelten für beide Protokolle
• Weniger Duplizierung: Kein separates iptables/ip6tables
• Familie-spezifisch: Bei Bedarf meta nfproto ipv4

Beispiel:

• nft add rule inet filter input tcp dport 22 accept
• Diese Regel gilt für IPv4 und IPv6

Wann ip/ip6 nutzen? Wenn du protokoll-spezifische Regeln brauchst (z.B. nur IPv6 blocken).

Sets und Maps sind mächtige Werkzeuge für effiziente Regeln:

Sets (Liste):

• Inline: tcp dport { 22, 80, 443 } accept
• Benannt: nft add set inet filter ssh_ips { type ipv4_addr; }
• Mit Timeout: flags timeout
• Für viele IPs/Ports ideal

Maps (Zuordnung):

• Port → IP: dnat to ip saddr map { 1.2.3.4 : 10.0.0.1 }
• Zur Laufzeit änderbar
• Für dynamische Konfigurationen

Vorteil: Ein einziger Regel-Lookup statt vieler Einzelregeln.

Standardverfahren:

• 1. Konfiguration speichern: nft list ruleset > /etc/nftables.conf
• 2. Service aktivieren: systemctl enable nftables
• 3. Service starten: systemctl start nftables

Alternativ:

• Direkt schreiben: Regeln in /etc/nftables.conf manuell pflegen
• Include: Weitere Dateien via include "/etc/nftables.d/*.conf"
• Distribution-spezifisch: Auf RHEL: /etc/sysconfig/nftables.conf

Wichtig: nft -c -f /etc/nftables.conf prüft Syntax ohne zu laden!

NAT in nftables – sauber in Chain prerouting/postrouting:

1. IP-Forwarding aktivieren:

• sysctl -w net.ipv4.ip_forward=1

2. DNAT für Port-Forwarding:

• nft add rule ip nat prerouting iif eth0 tcp dport 8080 dnat to 192.168.1.100:80

3. SNAT/Masquerade für Rückweg:

• nft add rule ip nat postrouting oif eth0 masquerade

4. Forward erlauben (inet Table):

• nft add rule inet filter forward iif eth0 oif eth1 accept

Wichtig: nftables NAT braucht eine nat-Table und passende Chains (prerouting/postrouting).

nftables nutzt Conntrack (Connection Tracking) für Stateful Inspection:

• ct state new: Neue Verbindung
• ct state established: Bestehende Verbindung
• ct state related: Verwandte Verbindung (FTP, ICMP)
• ct state invalid: Ungültig

Typische Regel-Reihenfolge:

• 1. ct state established,related accept
• 2. ct state invalid drop
• 3. Neue Verbindungen (spezifische Ports)
• 4. drop

Vorteil: Ausgehende Verbindungen erlauben automatisch die Rückrichtung.

Mehrere Wege:

• Alles löschen: nft flush ruleset
• Table löschen: nft delete table inet filter
• Chain leeren: nft flush chain inet filter input
• Einzelne Regel: nft delete rule inet filter input handle 5

Handle finden:

• nft list ruleset -a zeigt Handle-Nummern
• Handle ist stabil und eindeutig

Wichtig: flush ruleset löscht wirklich alles – auch NAT und alle Tables!

Einfachster Weg: iptables-nft (Kompatibilitätsschicht):

• Installation: apt install iptables-nft
• iptables-Befehle werden auf nftables übersetzt
• iptables-save funktioniert weiter
• Kein sofortiger Umstieg nötig

Manuelle Migration:

• iptables-save > /tmp/iptables.rules
• Konvertieren: iptables-restore-translate -f /tmp/iptables.rules
• Ausgabe prüfen und in nftables-Syntax nutzen

Empfehlung: Nicht sofort umstellen. Neue Regeln in nftables schreiben, alte in iptables-nft belassen. Schrittweise migrieren.