Nftables Webserver Beispiel - Versionsgeschichte

Thomas.will am 3. August 2026 um 07:45 Uhr

2026-08-03T07:45:52Z

Thomas.will am 3. August 2026 um 07:28 Uhr

2026-08-03T07:28:26Z

Maximilian.pottgiesser: Die Seite wurde neu angelegt: „

 #!/usr/sbin/nft -f  # Flush existing rules  flush ruleset  # Define the main table for filtering  table inet filter { # Input chain - handles incoming tr…“

2026-02-26T06:55:43Z

Die Seite wurde neu angelegt: „<pre> #!/usr/sbin/nft -f # Flush existing rules flush ruleset # Define the main table for filtering table inet filter { # Input chain - handles incoming tr…“

Neue Seite

<pre>
#!/usr/sbin/nft -f

# Flush existing rules

flush ruleset

# Define the main table for filtering

table inet filter {
# Input chain - handles incoming traffic
chain input {
type filter hook input priority filter; policy drop;
# Accept loopback traffic
iif lo accept

# Accept established and related connections
ct state established,related accept

# Accept SSH (port 22) - consider limiting to specific IPs in production
tcp dport 22 accept

# Accept HTTP (port 80)
tcp dport 80 accept

# Accept HTTPS (port 443)
tcp dport 443 accept

# Accept ICMP for ping and network diagnostics
ip protocol icmp accept
ip6 nexthdr icmpv6 accept

# Log and drop everything else (optional logging)
# counter log prefix "nftables-dropped: " drop
counter drop
}

# Forward chain - for routing (usually not needed for web servers)
chain forward {
type filter hook forward priority filter; policy drop;
}

# Output chain - handles outgoing traffic
chain output {
type filter hook output priority filter; policy accept;

# Allow all outgoing traffic by default
# You can add restrictions here if needed
}

}
</pre>

@@ Zeile 12: / Zeile 12: @@
 #     Verbindungen aufbauen -> verhindert Reverse Shells, Malware-Downloads,
 #     C2-Callbacks im Falle einer Kompromittierung (z.B. via Webshell)
-#   - IPv6 ICMP nicht pauschal erlaubt, sondern nur die für den Betrieb nötigen Typen
+#
 # SSH (Port 22) wird bewusst NICHT weiter eingeschränkt (Source-IP-Filter,
@@ Zeile 40: / Zeile 43: @@
          # SSH - unverändert offen, wird separat abgesichert
-         tcp dport 22 accept
+         ct state new tcp dport 22 accept
-         # HTTP/HTTPS mit SYN-Flood-Schutz: neue Verbindungen pro Quelle begrenzen
+         # HTTP/HTTPS mit SYN-Flood-Schutz: neue Verbindungen pro Quelle begrenzen.
-         tcp dport { 80, 443 } ct state new limit rate 50/second burst 20 packets accept
+         # Bewusst NUR diese eine Regel - established/related ist bereits weiter
-        tcp dport { 80, 443 } accept
+        # oben abgedeckt. Eine zusätzliche ungefilterte "tcp dport {80,443} accept"
          # ICMP für Diagnose, aber mit Rate-Limit gegen Ping-Flood
-         ip protocol icmp icmp type echo-request limit rate 10/second accept
+         ct state new ip protocol icmp icmp type echo-request limit rate 10/second accept
-         ip protocol icmp accept
+         ct state new ip protocol icmp accept
          # Alles andere: mit Rate-limitiertem Logging verwerfen
@@ Zeile 93: / Zeile 84: @@
          # Ab hier: regulärer System-Traffic (läuft NICHT unter WEBSERVER_UID)
          # DNS-Auflösung
-         udp dport 53 accept
+         ct state new udp dport 53 accept
-         tcp dport 53 accept
+         ct state new tcp dport 53 accept
          # NTP für Zeitsynchronisation
-         udp dport 123 accept
+         ct state new udp dport 123 accept
          # HTTPS für Paket-Updates, externe API-Calls des Systems etc.
-         tcp dport 443 accept
+         ct state new tcp dport 443 accept
          # SSH-Verbindungen vom System selbst nach außen (z.B. für Admin-Zwecke),
          # bei Bedarf entfernen, falls nicht benötigt
-         tcp dport 22 accept
+         ct state new tcp dport 22 accept
          # ICMP für Diagnosezwecke (ping, traceroute vom Host aus)
-         ip protocol icmp accept
+         ct state new ip protocol icmp accept
          # Alles andere ausgehende: loggen und verwerfen