Rust网络过滤库nftnl的使用指南

概述

nftnl是一个Rust库，提供了高性能的Netlink通信接口，用于管理Linux防火墙规则(nftables)。它是libnftnl的Rust绑定，允许开发者以类型安全的方式与Linux内核的netfilter子系统交互。

主要特性

• 类型安全的Rust接口
• 高性能Netlink通信
• 支持nftables的所有主要功能
• 异步友好的设计

安装

在Cargo.toml中添加依赖：

[dependencies]
nftnl = "0.1"

基本使用方法

1. 创建nftnl上下文

use nftnl::{Batch, Socket};

fn main() -> Result<(), Box<dyn std::error::Error>> {
    let mut socket = Socket::new()?;
    let mut batch = Batch::new();
    
    // 在这里添加规则
    
    socket.send(&batch)?;
    Ok(())
}

2. 添加简单规则

use nftnl::{Batch, Socket, Rule, Table, Chain, Expr};

fn add_drop_rule() -> Result<(), Box<dyn std::error::Error>> {
    let mut socket = Socket::new()?;
    let mut batch = Batch::new();

    // 创建表
    let table = Table::new("filter")
        .family(nftnl::Family::IP)
        .create();

    // 创建链
    let chain = Chain::new("input")
        .table("filter")
        .hook(nftnl::Hook::Input)
        .priority(0)
        .policy(nftnl::ChainPolicy::Drop)
        .create();

    // 创建规则
    let mut rule = Rule::new()
        .table("filter")
        .chain("input")
        .create();

    // 添加表达式 - 丢弃所有TCP流量
    rule.add_expr(Expr::meta(nftnl::MetaKey::L4PROTO, nftnl::Register::REG_1));
    rule.add_expr(Expr::cmp(nftnl::Register::REG_1, nftnl::CmpOp::Eq, libc::IPPROTO_TCP as u32));
    rule.add_expr(Expr::verdict(nftnl::Verdict::Drop));

    batch.add(&table);
    batch.add(&chain);
    batch.add(&rule);

    socket.send(&batch)?;
    Ok(())
}

3. 列出当前规则

use nftnl::{Socket, UserData};

fn list_rules() -> Result<(), Box<dyn std::error::Error>> {
    let mut socket = Socket::new()?;
    
    // 设置回调处理接收到的规则
    let callback = |msg: &nftnl::Message| {
        println!("Received rule: {:?}", msg);
        true // 继续接收
    };
    
    // 查询所有规则
    let mut msg = nftnl::Message::new(nftnl::MsgType::GetRule);
    msg.set_family(nftnl::Family::IP);
    
    socket.send_msg(&msg)?;
    socket.recv_msgs(callback)?;
    
    Ok(())
}

高级用法

1. 使用批处理优化性能

use nftnl::{Batch, Socket};

fn batch_operations() -> Result<(), Box<dyn std::error::Error>> {
    let mut socket = Socket::new()?;
    let mut batch = Batch::new();
    
    // 批处理开始
    batch.begin();
    
    // 添加多个操作...
    
    // 批处理结束并提交
    batch.end();
    
    socket.send(&batch)?;
    Ok(())
}

2. 处理异步事件

use nftnl::{Socket, PollFd};
use std::os::unix::io::AsRawFd;

async fn async_monitor() -> Result<(), Box<dyn std::error::Error>> {
    let socket = Socket::new?;
    let fd = PollFd::new(socket.as_raw_fd());
    
    // 使用async_std或tokio等异步运行时监听事件
    loop {
        // 等待事件
        // async_std::task::block_on(fd.readable()).await?;
        
        // 处理接收到的消息
        let callback = |msg: &nftnl::Message| {
            println!("Event received: {:?}", msg);
            true
        };
        
        socket.recv_msgs(callback)?;
    }
}

注意事项

1. 需要root权限才能修改防火墙规则
2. 错误处理很重要 - 错误的规则可能导致网络中断
3. 生产环境中建议使用事务或批处理来确保规则的一致性
4. 考虑使用libc crate来处理协议常量(如libc::IPPROTO_TCP)

完整示例

下面是一个完整的防火墙规则管理示例，包含创建表、链、添加规则和列出规则的功能：

use nftnl::{Batch, Socket, Rule, Table, Chain, Expr, Message, MsgType, Family, MetaKey, Register, CmpOp, Verdict, Hook, ChainPolicy};
use libc;

fn main() -> Result<(), Box<dyn std::error::Error>> {
    // 1. 初始化Socket和Batch
    let mut socket = Socket::new()?;
    let mut batch = Batch::new();
    
    // 2. 创建表和链
    let table = Table::new("rust_filter")
        .family(Family::IP)
        .create();
    
    let input_chain = Chain::new("input")
        .table("rust_filter")
        .hook(Hook::Input)
        .priority(0)
        .policy(ChainPolicy::Accept)
        .create();
    
    // 3. 添加规则 - 丢弃所有ICMP流量(ping)
    let mut drop_icmp = Rule::new()
        .table("rust_filter")
        .chain("input")
        .create();
    
    drop_icmp.add_expr(Expr::meta(MetaKey::L4PROTO, Register::REG_1));
    drop_icmp.add_expr(Expr::cmp(Register::REG_1, CmpOp::Eq, libc::IPPROTO_ICMP as u32));
    drop_icmp.add_expr(Expr::verdict(Verdict::Drop));
    
    // 4. 添加规则 - 允许SSH端口(22)
    let mut allow_ssh = Rule::new()
        .table("rust_filter")
        .chain("input")
        .create();
    
    allow_ssh.add_expr(Expr::meta(MetaKey::L4PROTO, Register::REG_1));
    allow_ssh.add_expr(Expr::cmp(Register::REG_1, CmpOp::Eq, libc::IPPROTO_TCP as u32));
    allow_ssh.add_expr(Expr::payload(nftnl::Payload::TransportHeader, 2, Register::REG_1)); // 目标端口
    allow_ssh.add_expr(Expr::cmp(Register::REG_1, CmpOp::Eq, 22)); // 端口22
    allow_ssh.add_expr(Expr::verdict(Verdict::Accept));
    
    // 5. 批量添加所有规则
    batch.add(&table);
    batch.add(&input_chain);
    batch.add(&drop_icmp);
    batch.add(&allow_ssh);
    
    // 6. 提交规则
    socket.send(&batch)?;
    
    // 7. 列出当前规则
    println!("Current rules:");
    let callback = |msg: &Message| {
        println!("{:?}", msg);
        true
    };
    
    let mut msg = Message::new(MsgType::GetRule);
    msg.set_family(Family::IP);
    socket.send_msg(&msg)?;
    socket.recv_msgs(callback)?;
    
    Ok(())
}

这个完整示例展示了如何使用nftnl库：

1. 创建一个名为"rust_filter"的表
2. 添加一个input链
3. 添加两条规则：一条阻止所有ICMP流量，另一条允许TCP端口22(SSH)
4. 批量提交所有更改
5. 列出当前规则进行验证

实际使用时，可以根据需要调整规则条件和操作，构建更复杂的防火墙配置。