golang nftable

### 使用 Golang 操作 nftables 配置网络规则的方法 要在 Golang 中操作 nftables 进行网络规则管理，可以利用现有的第三方库或直接调用系统的 `nft` 命令。以下是两种主要方法的详细介绍。 #### 方法一：使用第三方库 `github.com/google/nftables` Google 开发并维护了一个名为 `nftables` 的 Go 库[^2]，它允许开发者以编程方式与 nftables 交互而无需执行外部命令。这个库封装了底层的 netlink 协议接口，从而简化了复杂的系统调用过程。 ##### 添加依赖 首先，在项目中引入该库： ```bash go get github.com/google/nftables ``` ##### 示例代码 以下是一个简单的例子，演示如何创建一个新的表、链以及添加一条接受所有流量的基础规则： ```go package main import ( "log" "github.com/mdlayher/netlink" "github.com/google/nftables" "github.com/google/nftables/binaryutil" "github.com/google/nftables/expr" ) func main() { conn, err := netlink.Dial(netlink.NETFILTER, &netlink.Config{}) if err != nil { log.Fatalf("Failed to dial netlink: %v", err) } defer conn.Close() nf := &nftables.Conn{Conn: conn} // Define table and chain. table := &nftables.Table{ Name: "my_table", Family: nftables.FAMILY_INET, } chain := &nftables.Chain{ Name: "input_chain", Hooknum: nftables.HOOK_INPUT, Priority: nftables.PRIORITY_FILTER, Table: table, } rule := &nftables.Rule{ Chain: chain, Exprs: []expr.Any{ &expr.Verdict{ Kind: expr.VerdictAccept, }, }, } // Add the objects into kernel space. nf.AddTable(table) nf.AddChain(chain) nf.AddRule(rule) // Flush any existing rules before applying new ones. err = nf.Flush() if err != nil { log.Fatalf("Error flushing previous state: %v", err) } // Apply changes. err = nf.FlushChanges() if err != nil { log.Fatalf("Error applying changes: %v", err) } log.Println("Successfully added rule using Google's nftables library.") } ``` 这段代码展示了如何通过 API 构建自定义表格和链条，并插入基本的接收数据包指令^。 #### 方法二：调用系统命令行工具 `nft` 如果不想依赖额外的库，则可以通过运行子进程的方式来间接操控 nftables 设置。这种方法虽然简单易懂，但在某些情况下可能不够灵活且效率较低。 ##### 示例代码 这里给出一段示例代码片段，说明怎样运用标准库中的 `exec.Command` 来完成相似的任务： ```go package main import ( "bytes" "fmt" "os/exec" ) func runCommand(command string, args ...string) ([]byte, error) { cmd := exec.Command(command, args...) var out bytes.Buffer cmd.Stdout = &out err := cmd.Run() return out.Bytes(), err } func addNFTRule() { output, err := runCommand("sudo", "nft", "add", "rule", "inet", "filter", "input", "accept") if err != nil { fmt.Printf("An error occurred while adding NFT rule: %v\nOutput was:\n%s\n", err, output) } else { fmt.Println("Added an accept-all INPUT rule successfully!") } } func main() { addNFTRule() } ``` 尽管这种方式较为直观，但它会受到权限限制的影响（比如需要 root 访问权才能修改防火墙策略）。因此推荐优先考虑第一种方案[^1]^。 --- ###