nftables czy iptables: co wybrać?

nftables to nowszy, domyślny firewall w aktualnych dystrybucjach Linuksa (Debian 10+, RHEL 8+, Ubuntu). Ma czytelniejszą składnię i obsługuje IPv4 oraz IPv6 w jednej rodzinie inet. iptables to starszy, wciąż powszechny standard, zwłaszcza na istniejących serwerach. Na nowych instalacjach wybieraj nftables; iptables stosuj, gdy musisz zachować zgodność z istniejącą konfiguracją.

Jak nie zablokować sobie dostępu SSH przy wdrażaniu firewalla?

Upewnij się, że reguła dopuszczająca port SSH jest wczytywana przed polityką drop, i wdrażaj zmiany z konsoli (KVM, panel hostingu) lub z drugiej, już otwartej sesji. Dobrą praktyką jest tymczasowe zadanie, które po kilku minutach przywróci poprzednie reguły, gdyby nowe odcięły dostęp.

Generator firewalla Linux (nftables, iptables)

Strona główna / Narzędzia

nftables i iptables w skrócie

Linux od lat filtruje ruch w jądrze przez podsystem netfilter, do którego dostęp dają dwa narzędzia. iptables to klasyczny, wszechobecny interfejs, w którym reguły dodaje się pojedynczymi poleceniami w łańcuchach INPUT, OUTPUT i FORWARD. nftables to jego następca: ma czytelniejszą, deklaratywną składnię, obsługuje IPv4 i IPv6 w jednej rodzinie inet i jest domyślnym backendem w nowych dystrybucjach. Ten generator tworzy konfigurację w wybranej składni, zachowując ten sam, bezpieczny układ: domyślny drop, akceptacja stanu established/related, loopback, jawne reguły dla SSH i wybranych usług. Zaporę warto traktować jako jeden z elementów szerszego utrzymania i hardeningu serwera, obok aktualizacji, kopii zapasowych i monitoringu.

Co składa się na bezpieczną zaporę serwera

Polityka default-deny Łańcuch wejściowy z domyślną polityką drop, a następnie jawne reguły accept tylko dla potrzebnych usług. Wszystko nieprzewidziane jest odrzucane.

Śledzenie stanu (conntrack) Reguła akceptująca established/related sprawia, że wystarczy dopuścić ruch w jedną stronę, a odpowiedzi przechodzą automatycznie. Pakiety invalid są odrzucane.

Loopback Akceptacja ruchu na interfejsie lo jest konieczna dla usług komunikujących się lokalnie. Jej brak to częsta przyczyna awarii po włączeniu zapory.

SSH z limitem prób Ograniczenie tempa nowych połączeń na port SSH (limit rate) utrudnia ataki słownikowe. Opcjonalnie zawęź dostęp do zaufanych adresów źródłowych.

Ochrona przed skanowaniem i SYN-flood Odrzucanie pakietów o nietypowych flagach i limitowanie tempa nowych połączeń ogranicza skutki skanowania portów i prostych ataków wolumetrycznych.

Najczęstsze pytania o firewall Linux

nftables czy iptables?+

nftables to nowszy, domyślny firewall w aktualnych dystrybucjach (Debian 10+, RHEL 8+, Ubuntu), z czytelniejszą składnią i obsługą IPv4/IPv6 w rodzinie inet. iptables to starszy standard, wciąż częsty. Na nowych instalacjach wybieraj nftables.

Jak wczytać konfigurację nftables?+

Zapisz do /etc/nftables.conf, sprawdź: nft -c -f /etc/nftables.conf, wczytaj: nft -f /etc/nftables.conf. Włącz przy starcie: systemctl enable --now nftables. Reguły podejrzysz przez nft list ruleset.

Jak zapisać reguły iptables na stałe?+

Polecenia iptables działają do restartu. Aby przetrwały, użyj iptables-persistent (Debian/Ubuntu): netfilter-persistent save lub iptables-save > /etc/iptables/rules.v4. W RHEL służy do tego iptables-services.

Jak nie zablokować sobie SSH?+

Reguła dopuszczająca SSH musi być przed polityką drop. Wdrażaj z konsoli KVM lub drugiej sesji. Pomocne jest tymczasowe zadanie przywracające poprzednie reguły, gdyby nowe odcięły dostęp.

Czy generator wysyła konfigurację na serwer?+

Nie. Konfiguracja składana jest w przeglądarce w JavaScript. Wpisane porty, adresy i interfejsy nie są nigdzie wysyłane ani zapisywane poza Twoim urządzeniem.

Narzędzie i opracowanie: Marcin Szewczyk-Wilgan, WebOptimo. Składnia oparta na dokumentacji nftables i iptables oraz praktyce konfiguracji zapór na serwerach Linux. Wygenerowaną konfigurację przetestuj przed wdrożeniem. Generator działa w przeglądarce, bez wysyłania danych.

Kontakt

Skonfigurujemy zaporę Twojego serwera

Projektujemy i wdrażamy reguły nftables oraz iptables, hardening serwerów Linux i opiekę nad infrastrukturą. Bez zobowiązań, konkretna propozycja po krótkiej rozmowie.

Telefon