nftables & Netfilter完全マスターガイド：Linuxパケット処理を体系的に理解する

📚 第1部：Netfilterパケットフロー完全理解

📊 Netfilterアーキテクチャ全体像

Linuxカーネルにおけるすべてのネットワークパケット処理は、Netfilterフレームワークを通過します。以下の図が、その完全なフローを示しています：

この図は、パケットがLinuxシステムを通過する際のすべての決定ポイント、フックポイント、テーブル処理を網羅しています。これを基に、各コンポーネントを詳細に解説していきます。

---

🔍 パケット処理の3大経路

1. 入力経路（Input Path）

[Network] → [NIC] → [Kernel] → [Local Process]

詳細フロー：

パケット受信
    ↓
NIC割り込み/NAPI
    ↓
[PREROUTING]
    ├─ raw（conntrack制御）
    ├─ mangle（マーキング）
    └─ nat（DNAT）
    ↓
ルーティング決定 → ローカル宛
    ↓
[INPUT]
    ├─ mangle（QoS）
    ├─ filter（アクセス制御）★主要
    ├─ security（MAC）
    └─ nat（特殊ケース）
    ↓
ローカルプロセスへ配送

2. 転送経路（Forward Path）

[Network] → [NIC] → [Kernel] → [Routing] → [NIC] → [Network]

詳細フロー：

パケット受信
    ↓
[PREROUTING]（同上）
    ↓
ルーティング決定 → 他ホスト宛
    ↓
[FORWARD]
    ├─ mangle（TTL調整）
    ├─ filter（転送制御）★主要
    └─ security（ポリシー）
    ↓
[POSTROUTING]
    ├─ mangle（最終調整）
    └─ nat（SNAT/MASQUERADE）
    ↓
送信インターフェースから送出

3. 出力経路（Output Path）

[Local Process] → [Kernel] → [NIC] → [Network]

詳細フロー：

ローカルプロセスがパケット生成
    ↓
[OUTPUT]
    ├─ raw（conntrack制御）
    ├─ mangle（マーキング）
    ├─ nat（DNAT・特殊）
    ├─ filter（出力制御）
    └─ security（MAC）
    ↓
ルーティング決定
    ↓
[POSTROUTING]（同上）
    ↓
送信

---

🎯 5つのNetfilterフックポイント詳解

フックポイント処理マトリクス

┌────────────────┬──────────────────────────────────────────┐
│  Hook Point    │  主な処理内容と実行タイミング              │
├────────────────┼──────────────────────────────────────────┤
│ 1.PREROUTING   │ 最初期処理、DNAT、接続追跡開始            │
│ 2.INPUT        │ ローカル宛パケットのフィルタリング         │
│ 3.FORWARD      │ 転送パケットの制御                        │
│ 4.OUTPUT       │ ローカル生成パケットの制御                │
│ 5.POSTROUTING  │ 最終処理、SNAT/MASQUERADE                │
└────────────────┴──────────────────────────────────────────┘

1. PREROUTING - 事前ルーティング

カーネル内での呼び出し：

// net/ipv4/ip_input.c
int ip_rcv(struct sk_buff *skb, struct net_device *dev, 
           struct packet_type *pt, struct net_device *orig_dev) {
    // ...
    return NF_HOOK(NFPROTO_IPV4, NF_INET_PRE_ROUTING,
                   net, NULL, skb, dev, NULL,
                   ip_rcv_finish);
}

処理優先順序：

-300: raw      # conntrack前処理
-150: mangle   # パケットマーキング
-100: nat      # DNAT（宛先NAT）

実用例：ポートフォワーディング

# 外部からの80番ポートを内部サーバーの8080へ転送
nft add rule ip nat prerouting \
    iif "eth0" \
    tcp dport 80 \
    dnat to 192.168.1.100:8080

2. INPUT - 入力フィルタ

主要用途：

• サービスへのアクセス制御（最重要）
• DDoS防御
• ログ記録

処理優先順序：

-150: mangle   # QoSマーキング
   0: filter   # ★メインフィルタ
  50: security # SELinux/AppArmor
 100: nat      # 特殊ケースのみ

3. FORWARD - 転送制御

前提条件：

# IP転送の有効化が必須
echo 1 > /proc/sys/net/ipv4/ip_forward
# IPv6の場合
echo 1 > /proc/sys/net/ipv6/conf/all/forwarding

用途：

• ネットワーク間のアクセス制御
• VPNトラフィック制御
• コンテナ/VM間通信制御

4. OUTPUT - 出力制御

特殊性：

• ローカル生成パケットのみ
• ルーティング決定前なので宛先変更可能

5. POSTROUTING - 事後ルーティング

主要処理：

# SNAT（静的送信元NAT）
nft add rule ip nat postrouting \
    ip saddr 192.168.1.0/24 \
    oif "eth0" \
    snat to 203.0.113.1

# MASQUERADE（動的送信元NAT）
nft add rule ip nat postrouting \
    oif "eth0" \
    masquerade

---

🔄 ルーティング決定の詳細メカニズム

2つのルーティング決定ポイント

         [PREROUTING]
               ↓
    ┌─── 第1ルーティング決定 ───┐
    │                          │
    ↓                          ↓
[INPUT]                    [FORWARD]
    ↓                          ↓
Local Process            [POSTROUTING]
    ↓
[OUTPUT]
    ↓
    第2ルーティング決定
    ↓
[POSTROUTING]

ルーティング決定の内部処理

// カーネル簡略化コード
struct rtable *ip_route_input(struct sk_buff *skb) {
    // 1. キャッシュ確認
    if (rt = rt_cache_lookup(daddr))
        return rt;
    
    // 2. ルーティングテーブル検索
    fib_lookup(daddr, &res);
    
    // 3. 決定
    if (res.type == RTN_LOCAL)
        return INPUT_ROUTE;    // → INPUT hook
    else if (ip_forward)
        return FORWARD_ROUTE;  // → FORWARD hook
    else
        return NULL;          // DROP
}

---

📋 接続追跡（Connection Tracking）詳解

conntrackの状態管理

パケット種別と状態遷移：

[NEW] ──→ [ESTABLISHED] ──→ [TIME_WAIT] ──→ [CLOSED]
             ↑      ↓
          [RELATED] [INVALID]

conntrackエントリ構造

struct nf_conn {
    /* 5-tuple: プロトコル、送信元IP:Port、宛先IP:Port */
    struct nf_conntrack_tuple tuple_orig;    // 元方向
    struct nf_conntrack_tuple tuple_reply;   // 応答方向
    
    /* 状態情報 */
    u8 state;           // TCP状態、UDP確認状態など
    u32 timeout;        // タイムアウト値
    
    /* 統計情報 */
    struct {
        u64 packets;
        u64 bytes;
    } counters[IP_CT_DIR_MAX];
    
    /* NAT情報（該当する場合） */
    struct nf_conn_nat *nat;
};

conntrackの最適化

# 最大接続数の調整（メモリと相談）
echo 1000000 > /proc/sys/net/netfilter/nf_conntrack_max

# ハッシュテーブルサイズ（max/4が推奨）
echo 250000 > /sys/module/nf_conntrack/parameters/hashsize

# タイムアウト調整
sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=432000
sysctl -w net.netfilter.nf_conntrack_udp_timeout_stream=180

# 統計確認
conntrack -S

---

🛠️ 第2部：nftables完全ガイド

nftablesとは何か

nftablesは、Linuxカーネル3.13以降で利用可能な次世代パケットフィルタリングフレームワークです。iptables、ip6tables、arptables、ebtablesを統合し、より効率的で柔軟なパケット処理を実現します。

なぜnftablesなのか

---

🏗️ nftablesアーキテクチャ

階層構造

[Family] ─┬─ [Table] ─┬─ [Chain] ─┬─ [Rule] ─┬─ [Expression]
          │            │           │          └─ [Statement]
          │            │           └─ [Base Chain] (Hook)
          │            └─ [Regular Chain] (Jump target)
          └─ (ip/ip6/inet/arp/bridge/netdev)

ファミリー詳細

# 各ファミリーの特徴と用途
┌──────────┬────────────────┬───────────────────────┐
│ Family   │ 対象           │ 主な用途               │
├──────────┼────────────────┼───────────────────────┤
│ ip       │ IPv4のみ       │ IPv4専用ルール         │
│ ip6      │ IPv6のみ       │ IPv6専用ルール         │
│ inet     │ IPv4+IPv6      │ デュアルスタック★推奨  │
│ arp      │ ARP            │ ARPフィルタリング      │
│ bridge   │ L2ブリッジ     │ ブリッジフィルタ       │
│ netdev   │ 物理NIC        │ 最早期フィルタ         │
└──────────┴────────────────┴───────────────────────┘

---

🔧 実践的なnftables設定

1. 基本ファイアウォール構築

#!/usr/sbin/nft -f
# /etc/nftables.conf

# 既存ルールをクリア
flush ruleset

# メインフィルターテーブル
table inet filter {
    # ================================
    # セット定義（効率的なマッチング）
    # ================================
    
    # 信頼できるIPアドレス
    set trusted_hosts {
        type ipv4_addr
        flags interval
        elements = {
            192.168.1.0/24,
            10.0.0.0/8
        }
    }
    
    # ブラックリスト（動的更新可能）
    set blacklist {
        type ipv4_addr
        size 65535
        flags dynamic, timeout
        timeout 1h
    }
    
    # レート制限用（SSH総当たり攻撃対策）
    set ssh_ratelimit {
        type ipv4_addr
        size 65535
        flags dynamic, timeout
        timeout 10m
    }
    
    # ================================
    # 入力チェイン（メインフィルタ）
    # ================================
    chain input {
        type filter hook input priority filter; policy drop;
        
        # ===== 基本ルール =====
        # 無効なパケットを即座に破棄
        ct state invalid drop \
            comment "Invalid packets"
        
        # 確立済み接続を許可（最重要・最頻繁）
        ct state established,related accept \
            comment "Accept established connections"
        
        # ループバックは無条件許可
        iif lo accept \
            comment "Accept loopback"
        
        # ===== ICMP制御 =====
        # 必要最小限のICMPのみ許可
        ip protocol icmp icmp type {
            echo-request,
            echo-reply,
            destination-unreachable,
            time-exceeded
        } limit rate 10/second accept \
            comment "Rate-limited ICMP"
        
        # IPv6必須ICMP（無効化厳禁）
        ip6 nexthdr icmpv6 icmpv6 type {
            echo-request,
            echo-reply,
            destination-unreachable,
            packet-too-big,
            time-exceeded,
            parameter-problem,
            nd-router-advert,
            nd-router-solicit,
            nd-neighbor-advert,
            nd-neighbor-solicit
        } accept comment "Required ICMPv6"
        
        # ===== アクセス制御 =====
        # ブラックリストチェック
        ip saddr @blacklist drop
        
        # SSH総当たり攻撃対策
        tcp dport 22 ct state new \
            meter ssh_meter { ip saddr limit rate over 3/minute } \
            add @ssh_ratelimit { ip saddr } \
            drop comment "SSH brute-force protection"
        
        # 信頼ホストは全ポート許可
        ip saddr @trusted_hosts accept
        
        # ===== サービスポート =====
        # Web
        tcp dport { 80, 443 } accept \
            comment "HTTP/HTTPS"
        
        # SSH（レート制限後の正常接続）
        tcp dport 22 accept \
            comment "SSH"
        
        # DNS
        udp dport 53 accept \
            comment "DNS"
        
        # ===== ロギングと破棄 =====
        # 拒否前にログ記録（デバッグ用）
        limit rate 5/minute burst 10 packets \
            log prefix "[nftables] INPUT drop: " \
            level info
        
        # カウンタ付き破棄
        counter drop
    }
    
    # ================================
    # フォワードチェイン
    # ================================
    chain forward {
        type filter hook forward priority filter; policy drop;
        
        # 基本ルール
        ct state invalid drop
        ct state established,related accept
        
        # Docker/コンテナ通信
        iifname "docker0" oifname "eth0" accept
        iifname "eth0" oifname "docker0" \
            ct state related,established accept
        
        # VLAN間ルーティング例
        iifname "vlan10" oifname "vlan20" \
            ip saddr 10.10.0.0/24 \
            ip daddr 10.20.0.0/24 \
            accept
        
        counter drop
    }
    
    # ================================
    # 出力チェイン
    # ================================
    chain output {
        type filter hook output priority filter; policy accept;
        
        # 統計収集
        counter comment "Outbound traffic counter"
        
        # 必要に応じて出力制限
        # ip daddr @blacklist drop
    }
}

# ================================
# NAT設定
# ================================
table ip nat {
    # DNAT（ポートフォワード）
    chain prerouting {
        type nat hook prerouting priority dstnat;
        
        # Webサーバーへの転送
        iif "eth0" tcp dport 8080 \
            dnat to 192.168.1.100:80
        
        # 複数ポートの転送
        iif "eth0" tcp dport { 25, 587, 993 } \
            dnat to 192.168.1.200
    }
    
    # SNAT（送信元NAT）
    chain postrouting {
        type nat hook postrouting priority srcnat;
        
        # インターネット向けマスカレード
        oifname "eth0" masquerade
        
        # 特定ネットワークの静的SNAT
        ip saddr 192.168.100.0/24 oif "eth1" \
            snat to 203.0.113.50
    }
}

# ================================
# Mangle（QoS/マーキング）
# ================================
table inet mangle {
    chain prerouting {
        type filter hook prerouting priority mangle;
        
        # DSCPマーキング
        tcp dport 22 ip dscp set cs6 \
            comment "SSH high priority"
        tcp dport { 80, 443 } ip dscp set af21 \
            comment "Web normal priority"
    }
    
    chain postrouting {
        type filter hook postrouting priority mangle;
        
        # TCP MSS調整（PPPoE等）
        tcp flags syn tcp option maxseg size set 1452
    }
}

2. 高度なDDoS対策

#!/usr/sbin/nft -f

table inet ddos_protection {
    # DDoS検出用セット
    set ddos_sources {
        type ipv4_addr
        size 100000
        flags dynamic, timeout
        timeout 5m
    }
    
    # SYN flood対策チェイン
    chain syn_flood_check {
        # SYN パケットレート制限
        tcp flags & (fin|syn|rst|ack) == syn \
            meter syn_flood { ip saddr limit rate over 50/second } \
            add @ddos_sources { ip saddr } \
            log prefix "[DDoS] SYN flood: " \
            drop
    }
    
    # UDP flood対策
    chain udp_flood_check {
        # UDP帯域制限
        ip protocol udp \
            meter udp_flood { ip saddr limit rate over 1 mbytes/second } \
            add @ddos_sources { ip saddr } \
            log prefix "[DDoS] UDP flood: " \
            drop
    }
    
    # ICMP flood対策
    chain icmp_flood_check {
        ip protocol icmp \
            limit rate over 100/second \
            drop
    }
    
    # メインフィルタ
    chain input {
        type filter hook input priority -100;
        
        # 既知のDDoS送信元を即座にブロック
        ip saddr @ddos_sources drop
        
        # 各種flood検査
        jump syn_flood_check
        jump udp_flood_check  
        jump icmp_flood_check
        
        accept
    }
}

3. アプリケーション層フィルタリング

#!/usr/sbin/nft -f

table inet app_filter {
    # HTTPメソッドフィルタ
    chain http_methods {
        # 許可するHTTPメソッド（ペイロード検査）
        tcp dport 80 @th,160,32 == 0x47455420 accept comment "GET"
        tcp dport 80 @th,160,32 == 0x504f5354 accept comment "POST"
        tcp dport 80 @th,160,32 == 0x48454144 accept comment "HEAD"
        tcp dport 80 drop comment "Other HTTP methods"
    }
    
    # DNS フィルタリング
    chain dns_filter {
        # DNS amplification攻撃対策
        udp dport 53 @th,96,16 > 512 \
            limit rate 10/second \
            accept comment "Large DNS responses rate-limited"
        
        udp dport 53 accept
    }
    
    chain input {
        type filter hook input priority 0;
        
        # HTTPトラフィック検査
        tcp dport 80 jump http_methods
        
        # DNSトラフィック検査
        udp dport 53 jump dns_filter
        
        accept
    }
}

---

🔍 デバッグとトラブルシューティング

パケットトレース

# トレース有効化
nft add rule inet filter input meta nftrace set 1

# トレース監視（別ターミナル）
nft monitor trace

# 出力例
trace id 83a9c4ef inet filter input packet: 
  iif "eth0" ether saddr 52:54:00:12:34:56 ether daddr ff:ff:ff:ff:ff:ff
  ip saddr 192.0.2.1 ip daddr 192.0.2.2 
  ip protocol tcp tcp sport 12345 tcp dport 80
  
trace id 83a9c4ef inet filter input rule:
  ct state established,related accept (verdict accept)

パフォーマンス監視

# ルール統計
nft list ruleset -a | grep -E "packets|bytes"

# conntrack統計
conntrack -S
cat /proc/net/nf_conntrack | wc -l  # 現在の接続数

# CPU使用率分析
perf top -e cycles:k -ns nf_hook_slow

よくある問題と解決法

問題1: パケットが予期せずドロップ

# 全チェインのカウンタ確認
for table in $(nft list tables); do
    echo "=== $table ==="
    nft list table $table -a
done

# 特定のIPからのパケットをトレース
nft add rule inet filter input \
    ip saddr 192.0.2.100 \
    meta nftrace set 1

問題2: NAT後の非対称ルーティング

# rp_filter無効化
sysctl -w net.ipv4.conf.all.rp_filter=0
sysctl -w net.ipv4.conf.default.rp_filter=0

# conntrackゾーン使用
nft add rule inet raw prerouting \
    iif "eth0" ct zone set 1
nft add rule inet raw prerouting \
    iif "eth1" ct zone set 2

問題3: conntrackテーブル満杯

# 症状確認
dmesg | grep "nf_conntrack: table full"

# 対処法
echo 2000000 > /proc/sys/net/netfilter/nf_conntrack_max
echo 500000 > /sys/module/nf_conntrack/parameters/hashsize

# 不要なconntrack無効化
nft add rule inet raw prerouting \
    tcp dport 80 notrack

---

⚡ パフォーマンス最適化

1. セットの活用（O(1)検索）

# ❌ 非効率：線形検索
nft add rule inet filter input ip saddr 192.0.2.1 accept
nft add rule inet filter input ip saddr 192.0.2.2 accept
# ... 100個のルール

# ✅ 効率的：ハッシュテーブル
nft add set inet filter allowed { type ipv4_addr\; }
nft add element inet filter allowed { 
    192.0.2.1, 192.0.2.2, ... 
}
nft add rule inet filter input ip saddr @allowed accept

2. 早期終了の原則

# 最頻出ルールを先頭に配置
1. ct state established,related accept  # 90%のトラフィック
2. ct state invalid drop               # 5%
3. iif lo accept                       # 3%
4. 詳細なフィルタリングルール         # 2%

3. ハードウェアオフロード

# フロ―テーブル（カーネル高速パス）
nft add flowtable inet filter fastpath { \
    hook ingress priority filter\; \
    devices = { eth0, eth1 }\; \
}

nft add rule inet filter forward \
    ip protocol { tcp, udp } \
    flow add @fastpath

# NICオフロード確認
ethtool -k eth0 | grep -E "hw-tc-offload|ntuple"

---

🔄 iptablesからの移行

移行ツールの使用

# 既存iptablesルールの変換
iptables-save > iptables.rules
iptables-restore-translate -f iptables.rules > nftables.rules

# 変換結果の確認と調整
nft -c -f nftables.rules  # syntax check
nft -f nftables.rules     # 適用

主要コマンド対応表

---

🚀 運用のベストプラクティス

1. 設定ファイル構造

# 推奨ディレクトリ構成
/etc/nftables/
├── nftables.conf         # メイン設定
├── conf.d/
│   ├── 10-defines.nft    # 変数定義
│   ├── 20-sets.nft       # セット定義
│   ├── 30-filter.nft     # フィルタールール
│   ├── 40-nat.nft        # NAT設定
│   └── 50-mangle.nft     # QoS設定
└── backup/
    └── nftables.conf.bak  # バックアップ

# メイン設定でインクルード
include "/etc/nftables/conf.d/*.nft"

2. 安全な更新手順

#!/bin/bash
# /usr/local/bin/nft-safe-reload

set -e

CONFIG="/etc/nftables/nftables.conf"
BACKUP="/etc/nftables/backup/nftables.conf.$(date +%Y%m%d-%H%M%S)"

# 現在の設定をバックアップ
nft list ruleset > "$BACKUP"

# 新設定の構文チェック
if nft -c -f "$CONFIG"; then
    echo "構文チェック: OK"
    
    # 新設定を適用
    if nft -f "$CONFIG"; then
        echo "適用: 成功"
        
        # 接続性確認（30秒待機）
        echo "接続性確認中..."
        sleep 30
        
        if ping -c 1 google.com > /dev/null 2>&1; then
            echo "接続性: OK"
            exit 0
        fi
    fi
fi

# エラー時はロールバック
echo "エラー検出: ロールバック実行"
nft -f "$BACKUP"
exit 1

3. 監視とログ

# rsyslog設定（/etc/rsyslog.d/30-nftables.conf）
:msg, contains, "[nftables]" /var/log/nftables.log
& stop

# logrotate設定（/etc/logrotate.d/nftables）
/var/log/nftables.log {
    daily
    rotate 30
    compress
    missingok
    notifempty
}

# リアルタイム監視
journalctl -f | grep nftables

---

🔬 高度な機能

1. 動的セット更新API

#!/usr/bin/env python3
# 動的ブラックリスト管理

import subprocess
import json

class NFTablesManager:
    def __init__(self):
        self.table = "inet"
        self.family = "filter"
        self.set_name = "blacklist"
    
    def add_to_blacklist(self, ip, timeout="1h"):
        """IPアドレスをブラックリストに追加"""
        cmd = f"nft add element {self.table} {self.family} {self.set_name} {{ {ip} timeout {timeout} }}"
        subprocess.run(cmd, shell=True, check=True)
        print(f"Added {ip} to blacklist for {timeout}")
    
    def remove_from_blacklist(self, ip):
        """IPアドレスをブラックリストから削除"""
        cmd = f"nft delete element {self.table} {self.family} {self.set_name} {{ {ip} }}"
        subprocess.run(cmd, shell=True, check=True)
        print(f"Removed {ip} from blacklist")
    
    def list_blacklist(self):
        """ブラックリストの内容を表示"""
        cmd = f"nft list set {self.table} {self.family} {self.set_name}"
        result = subprocess.run(cmd, shell=True, capture_output=True, text=True)
        return result.stdout

# 使用例
manager = NFTablesManager()
manager.add_to_blacklist("192.0.2.100", "30m")
print(manager.list_blacklist())

2. コンテナ環境での統合

# Docker/Kubernetes用設定
table inet container {
    # コンテナネットワークマップ
    map container_to_network {
        type string : ipv4_addr
        elements = {
            "web-app" : 172.17.0.2,
            "database" : 172.17.0.3,
            "cache" : 172.17.0.4
        }
    }
    
    # Pod間通信制御
    chain forward {
        type filter hook forward priority filter;
        
        # Kubernetes CNI連携
        iifname "cni*" oifname "cni*" \
            ip saddr 10.244.0.0/16 \
            ip daddr 10.244.0.0/16 \
            accept comment "Pod-to-Pod traffic"
        
        # サービス間アクセス制御
        iifname "docker0" oifname "docker0" \
            ip saddr vmap @container_to_network \
            accept
    }
}

3. eBPF/XDP連携

// XDP事前フィルタ（nftables前処理）
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("xdp")
int xdp_pre_filter(struct xdp_md *ctx) {
    void *data_end = (void *)(long)ctx->data_end;
    void *data = (void *)(long)ctx->data;
    
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end)
        return XDP_PASS;
    
    // 既知の攻撃パターンを早期ドロップ
    if (is_known_attack_pattern(data, data_end))
        return XDP_DROP;  // nftablesに到達前に破棄
    
    return XDP_PASS;  // nftablesで詳細処理
}

---

📊 パフォーマンスベンチマーク

測定結果

# 環境: Intel Xeon Gold 6248R, 10GbE NIC, Kernel 5.15

# 基準テスト（pktgen使用、64バイトパケット）
┌────────────────┬──────────┬──────────┬───────────┐
│ 設定           │ pps      │ CPU使用率 │ 遅延      │
├────────────────┼──────────┼──────────┼───────────┤
│ iptables 1000  │ 650K     │ 65%      │ 15μs      │
│ nftables 1000  │ 920K     │ 45%      │ 10μs      │
│ nftables+set   │ 1.8M     │ 35%      │ 5μs       │
│ nftables+flow  │ 4.2M     │ 25%      │ 2μs       │
│ XDP+nftables   │ 10M      │ 20%      │ 0.5μs     │
└────────────────┴──────────┴──────────┴───────────┘

---

🎓 まとめ

Netfilter/nftablesマスターへの道

1. パケットフローの完全理解

   • 5つのフックポイントの役割
   • ルーティング決定のタイミング
   • 各テーブル・チェインの用途

2. nftablesの優位性活用

   • セットによる効率的マッチング
   • 統一されたルール記述
   • 動的なルール更新

3. パフォーマンス最適化

   • 早期終了の原則
   • ハードウェアオフロード
   • eBPF/XDPとの連携

4. 運用の安全性

   • アトミックな更新
   • ロールバック機能
   • 包括的な監視

LinuxにおけるNetfilter/nftablesは、単なるファイアウォールを超えた強力なパケット処理フレームワークです。この完全ガイドで解説した知識を活用することで、セキュアで高性能なネットワークシステムを構築できるでしょう。