Nftables

يعتبر نظام Nftables الجيل الحديث من أدوات تصفية حزم الشبكة (Packet Filtering) في أنظمة لينكس، وقد تم تطويره من قبل مشروع نت فلتر (Netfilter) ليكون البديل الرسمي والمدعوم للأنظمة القديمة مثل Iptables و Arptables. يعمل هذا النظام مباشرة مع نواة لينكس (Linux Kernel) لتنظيم حركة مرور البيانات وحماية الخوادم بكفاءة عالية جدا.

كيف يعمل نظام Nftables؟

يعتمد النظام على هيكلية هرمية تتكون من الجداول (Tables) والسلاسل (Chains) والقواعد (Rules). عند وصول بيانات من خلال الشبكة، تمر هذه البيانات عبر السلاسل التي تحتوي على مجموعة من القواعد المنطقية. إذا تطابقت البيانات مع قاعدة معينة، يتم تنفيذ الإجراء المطلوب مثل السماح بالمرور (Accept) أو إسقاط الحزمة ومنعها (Drop).

أداة التحكم الأساسية: يتم التحكم بهذا النظام بالكامل عبر واجهة سطر الأوامر (Command Line) باستخدام الأداة المركزية nft.

إضافة القواعد الأساسية لجدار الحماية (Firewall)

قبل أن نتمكن من فلترة البيانات، نحتاج إلى إنشاء جدول جديد وسلسلة للتعامل مع البيانات الواردة، ثم إضافة قاعدة للسماح بالاتصالات المحلية الأساسية:

أمر إنشاء الجدول والسلسلة وتحديد سياسة المنع الافتراضية:

sudo nft add table inet my_filter
sudo nft add chain inet my_filter input { type filter hook input priority 0 \; policy drop \; }
sudo nft add rule inet my_filter input iif "lo" accept

أهم الاختلافات والمميزات التقنية التي يقدمها Nftables:

• عائلة بروتوكولات موحدة: يسمح بدمج قواعد بروتوكولات IPv4 و IPv6 معا تحت عائلة واحدة تسمى inet، مما يقلل من تكرار القواعد.
• أداء أعلى: يتم تقييم القواعد وتنفيذها باستخدام جهاز افتراضي (Virtual Machine) مصغر ومحسن داخل نواة النظام.
• صيغة كتابة مبسطة: يمكن دمج إجراءات متعددة وقوائم في قاعدة واحدة (Sets and Dictionaries)، وهو ما كان يتطلب عشرات الأسطر في الأنظمة القديمة.

ملاحظة ختامية: الصورة الكبرى (نصيحة احترافية)

التغييرات التي تجريها باستخدام أوامر nft هي تغييرات مؤقتة وتزول بمجرد إعادة تشغيل الخادم. لضمان بقاء جدار الحماية نشطا، يجب عليك حفظ القواعد في ملف الإعدادات الرسمي باستخدام الأمر sudo nft list ruleset > /etc/nftables.conf، ثم التأكد من تفعيل الخدمة لتبدأ مع إقلاع النظام. الانتقال إلى Nftables اليوم يعد خطوة ضرورية لأي مدير نظام، حيث تم تصنيف Iptables كتقنية قديمة (Deprecated).