Netfilter와 nftables

01무엇이고, 어떤 일을 하나

• 주소·포트·인터페이스·연결 상태에 따라 패킷 처리를 결정한다.
• 흐름의 연결 추적 정보를 이용해 응답 허용과 NAT 매핑을 유지한다.
• base chain의 hook·priority를 통해 처리 지점과 순서를 표현한다.

02어떤 순서로 동작하나

1. 수신 진입

   외부 패킷은 PREROUTING 계열 처리 지점을 지나며 구성에 따라 연결 추적과 DNAT 등이 적용된다.

2. 경로 결정

   라우팅 결과가 로컬 목적이면 INPUT, 다른 호스트로 전달이면 FORWARD 경로를 택한다.

3. 규칙 평가

   해당 hook의 체인과 우선순위에 따라 조건·카운터·verdict를 평가한다. 한 base chain의 accept가 뒤의 모든 필터를 없애지는 않는다.

4. 송출 처리

   전달 또는 로컬 출력 패킷은 송출 경로를 거치며 필요 시 POSTROUTING의 SNAT 매핑을 적용해 나간다.

03먼저 알아둘 용어와 구성요소

Netfilter

Netfilter는 커널 네트워크 처리 중 특정 지점에서 필터링·주소 변환 등을 수행할 수 있게 하는 틀이다.

nftables와 iptables

nftables와 iptables는 규칙을 표현하고 관리하는 인터페이스 계열이고, firewalld나 UFW는 서비스·영역 같은 더 높은 수준의 정책을 관리한다. 따라서 패킷이 firewalld, iptables, Netfilter라는 독립된 세 방화벽을 차례로 통과한다고 그리면 구현 관계를 오해하게 된다.

chain과 rule

일반 체인은 다른 규칙이 jump 또는 goto로 호출해야 방문한다.

conntrack

conntrack은 프로토콜과 주소·포트 등의 정보를 이용하여 패킷을 연결 흐름에 연결한다.

accept 범위

한 체인의 accept 뒤에도 뒤 우선순위 체인이 적용될 수 있다. 다른 체인의 drop은 최종 전달을 막으므로 한 규칙의 hit만 보고 전체 허용으로 단정하지 않는다.

NAT 첫 패킷

상태 기반 NAT는 첫 패킷에서 변환 규칙을 찾아 연결의 바인딩을 만든다. 후속 패킷은 매번 같은 NAT 규칙을 새로 검색하는 대신 저장된 변환 관계를 사용한다.

04예제로 따라가기

• 서버 자신의 TCP 443 수신을 허용하는 INPUT 규칙은 같은 호스트를 라우터처럼 통과하는 FORWARD 흐름 허용을 대신하지 않는다.
• NAT 규칙을 수정한 뒤에도 기존 연결은 이미 만들어진 매핑을 유지할 수 있어 새 연결과 결과가 다를 수 있다.
• 규칙 카운터 증가가 확인돼도 애플리케이션 응답까지 성공한 것은 아니다. 패킷 도달과 소켓 수신·응답 경로를 분리한다.

05혼동하기 쉬운 점과 확인 기준

• 규칙의 packet/byte 카운터 증가는 해당 규칙까지 와서 조건에 맞았다는 근거다. 뒤 단계의 drop·라우팅 실패·서비스 오류까지 성공했다고 말해 주지는 않는다.
• 다른 chain·zone·주소 계열로 들어가거나 앞에서 판정됐으면 예상 규칙 카운터가 늘지 않는다. 트래픽이 장비 자체에 오지 않은 경우도 구별해야 한다.
• 기존 세션에서만 통신이 되고 새 세션이 실패하면 state 또는 신규 허용 규칙의 차이를 의심한다. 전체 conntrack 초기화는 진단 조회가 아니라 다른 연결도 바꾸는 작업이다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.