Définition et objectif
nftables est le framework de filtrage réseau moderne du noyau Linux. Il permet de définir les règles de pare-feu, la traduction d’adresses et le suivi des connexions.
Fonctionnement technique
Les règles nftables sont organisées en tables, chaînes et ensembles. Une chaîne de base se rattache à un hook réseau (input, forward, output, prerouting ou postrouting), avec une priorité et une politique par défaut. L’outil nft applique les transactions vers le noyau.
Exemple concret
Un serveur exposant HTTPS peut autoriser les connexions établies et le port TCP 443, puis refuser les nouveaux flux entrants non explicitement autorisés. Tester les règles avant activation évite la perte d’accès SSH.
Points de vigilance
Éviter de mélanger plusieurs gestionnaires de pare-feu. Prévoir une console de secours, sauvegarder la configuration persistante et vérifier le comportement IPv4/IPv6, le NAT et le routage.