مقدمه

اگر چند سالی است با لینوکس کار می‌کنید، احتمالاً نام iptables را بارها شنیده‌اید. این ابزار سال‌ها فایروال پیش‌فرض لینوکس بود و تقریباً تمام مدیران سرور برای مدیریت ترافیک شبکه از آن استفاده می‌کردند.

اما با افزایش پیچیدگی شبکه‌ها و نیاز به مدیریت بهتر قوانین، پروژه‌ای جدید به نام nftables معرفی شد که امروزه در بسیاری از توزیع‌های لینوکس، جایگزین iptables شده است.

در این مقاله با مفهوم nftables، تفاوت آن با iptables، مزایا، ساختار و کاربردهای آن آشنا خواهیم شد.

nftables چیست؟

nftables نسل جدید سیستم مدیریت فایروال در هسته لینوکس است.

این ابزار از نسخه 3.13 هسته لینوکس معرفی شد و به‌عنوان جایگزین رسمی iptables، ip6tables، arptables و ebtables شناخته می‌شود.

هدف اصلی nftables، ساده‌تر کردن مدیریت قوانین فایروال و افزایش کارایی آن است.

چرا nftables معرفی شد؟

iptables سال‌ها عملکرد خوبی داشت، اما با گذشت زمان مشکلاتی مانند موارد زیر بیشتر احساس می‌شد:

• پیچیدگی زیاد قوانین
• مدیریت دشوار Ruleها
• وجود ابزارهای جداگانه برای IPv4 و IPv6
• عملکرد ضعیف در Ruleهای بسیار زیاد
• نگهداری سخت در زیرساخت‌های بزرگ

nftables برای حل این مشکلات طراحی شد.

nftables چگونه کار می‌کند؟

nftables مانند iptables ترافیک ورودی و خروجی را کنترل می‌کند.

می‌توانید مشخص کنید:

• چه IPهایی مجاز باشند.
• چه پورت‌هایی باز باشند.
• چه پروتکل‌هایی اجازه عبور داشته باشند.
• چه بسته‌هایی Drop یا Reject شوند.

تمام این قوانین در قالب ساختاری ساده‌تر مدیریت می‌شوند.

تفاوت nftables و iptables

nftables و UFW چه ارتباطی دارند؟

بسیاری از کاربران تصور می‌کنند UFW و nftables دو ابزار متفاوت با کاربردهای مشابه هستند.

در واقع:

• UFW یک ابزار مدیریتی است.
• nftables موتور اصلی اعمال قوانین در هسته لینوکس است.

در نسخه‌های جدید Ubuntu، زمانی که با UFW قانونی ایجاد می‌کنید، در بسیاری از موارد این قانون توسط nftables در سیستم اعمال می‌شود.

بررسی نصب nftables

برای بررسی وجود برنامه:

nft --version

بررسی وضعیت سرویس

در توزیع‌هایی که از systemd استفاده می‌کنند:

sudo systemctl status nftables

نصب nftables

در Ubuntu و Debian:

sudo apt update
sudo apt install nftables -y

در AlmaLinux و Rocky Linux:

sudo dnf install nftables -y

فعال کردن سرویس

sudo systemctl enable nftables

sudo systemctl start nftables

مشاهده قوانین

برای مشاهده تمام قوانین:

sudo nft list ruleset

اگر هیچ قانونی وجود نداشته باشد، خروجی تقریباً خالی خواهد بود.

فایل تنظیمات

فایل اصلی تنظیمات:

/etc/nftables.conf

تمام قوانین دائمی معمولاً در این فایل قرار می‌گیرند.

ساختار nftables

nftables از چهار بخش اصلی تشکیل شده است:

• Table
• Chain
• Rule
• Set

این ساختار نسبت به iptables بسیار منظم‌تر است.

Table چیست؟

Table یک مجموعه از Chainها است.

برای مثال:

• فیلتر کردن ترافیک
• NAT
• مدیریت بسته‌ها

هر کدام می‌توانند در یک Table جداگانه قرار بگیرند.

Chain چیست؟

هر Chain مجموعه‌ای از Ruleها است.

برای مثال:

• ورودی (Input)
• خروجی (Output)
• Forward

Rule چیست؟

Rule همان قانونی است که مشخص می‌کند با بسته‌های شبکه چه رفتاری انجام شود.

برای مثال:

• Accept
• Drop
• Reject

Set چیست؟

یکی از قابلیت‌های قدرتمند nftables استفاده از Setها است.

به جای ایجاد صدها Rule جداگانه، می‌توان مجموعه‌ای از IPها یا پورت‌ها را در یک Set تعریف کرد.

این ویژگی باعث افزایش سرعت و ساده‌تر شدن مدیریت قوانین می‌شود.

مزایای nftables

مهم‌ترین مزایا عبارت‌اند از:

• عملکرد بهتر
• ساختار ساده‌تر
• پشتیبانی هم‌زمان از IPv4 و IPv6
• مدیریت ساده‌تر Ruleها
• استفاده از Set و Map
• نگهداری آسان‌تر در شبکه‌های بزرگ

آیا iptables منسوخ شده است؟

iptables هنوز روی بسیاری از سرورها استفاده می‌شود و همچنان پشتیبانی می‌شود.

اما در توزیع‌های جدید لینوکس، nftables به‌عنوان راهکار استاندارد و آینده این بخش از سیستم‌عامل شناخته می‌شود.

چه زمانی از UFW استفاده کنیم؟

اگر:

• مدیر سیستم تازه‌کار هستید.
• سرور معمولی دارید.
• فقط چند قانون ساده نیاز دارید.

استفاده از UFW کاملاً کافی است.

چه زمانی از nftables استفاده کنیم؟

اگر:

• تعداد قوانین زیاد است.
• نیاز به Ruleهای پیشرفته دارید.
• چندین شبکه و VLAN مدیریت می‌کنید.
• در محیط‌های Enterprise فعالیت می‌کنید.
• به عملکرد بالا نیاز دارید.

استفاده از nftables انتخاب بهتری خواهد بود.

آیا باید مستقیم با nftables کار کنیم؟

برای بسیاری از سرورها، خیر.

اگر UFW یا Firewalld نیازهای شما را برطرف می‌کنند، لزومی ندارد مستقیماً قوانین nftables را مدیریت کنید.

اما آشنایی با ساختار آن برای هر مدیر سیستم حرفه‌ای ضروری است.

اشتباهات رایج

برخی از اشتباهات متداول عبارت‌اند از:

• استفاده هم‌زمان از ابزارهای مختلف بدون اطلاع از تداخل آن‌ها
• ویرایش مستقیم قوانین بدون داشتن نسخه پشتیبان
• حذف Ruleهای فعال روی سرور Production
• تصور اینکه UFW و nftables دو فایروال جداگانه هستند.
• اعمال تغییرات بدون آزمایش اتصال SSH

بهترین روش‌ها

برای افزایش امنیت:

• اگر سرور ساده‌ای دارید، از UFW یا Firewalld استفاده کنید.
• در محیط‌های حرفه‌ای، ساختار nftables را یاد بگیرید.
• قبل از اعمال تغییرات، از قوانین فعلی نسخه پشتیبان تهیه کنید.
• پس از هر تغییر، اتصال SSH را آزمایش کنید.
• قوانین غیرضروری را به‌صورت دوره‌ای حذف کنید.

چک‌لیست

پس از آشنایی با nftables، این موارد را بدانید:

• تفاوت nftables و iptables را می‌دانید.
• ساختار Table، Chain و Rule را می‌شناسید.
• محل فایل تنظیمات را می‌دانید.
• می‌توانید قوانین فعال را مشاهده کنید.
• می‌دانید چه زمانی از UFW و چه زمانی از nftables استفاده کنید.

جمع‌بندی

nftables نسل جدید سیستم مدیریت فایروال لینوکس است که با هدف ساده‌تر کردن مدیریت قوانین، افزایش کارایی و یکپارچه‌سازی ابزارهای قدیمی مانند iptables طراحی شده است. این ابزار امروزه در بسیاری از توزیع‌های لینوکس به‌عنوان راهکار استاندارد مدیریت فایروال شناخته می‌شود و قابلیت‌های پیشرفته‌تری مانند Setها، مدیریت هم‌زمان IPv4 و IPv6 و ساختار منظم‌تر را در اختیار مدیران سیستم قرار می‌دهد.

اگرچه برای بسیاری از سرورهای معمولی، استفاده از ابزارهایی مانند UFW یا Firewalld کافی است، اما آشنایی با nftables برای هر مدیر سیستم حرفه‌ای ضروری است؛ زیرا این ابزار پایه بسیاری از راهکارهای مدرن مدیریت فایروال در لینوکس محسوب می‌شود.

کیان پور