nftables, iptables oder firewalld: Welche Linux-Firewall du heute nutzen solltest

# Welche Dienste beanspruchen die Firewall für sich?
systemctl is-enabled nftables firewalld ufw iptables 2>/dev/null
systemctl is-active  nftables firewalld ufw 2>/dev/null

# Welches Backend spricht das iptables-Kommando?
sudo iptables -V                                # "(nf_tables)" oder "(legacy)"
sudo update-alternatives --display iptables     # Debian/Ubuntu
sudo alternatives --display iptables            # RHEL/Rocky/Alma

# Der wahre Zustand im Kernel
sudo nft list tables
sudo nft list ruleset | head -40

# Immer zuerst: vollständige Sicherung mit Datum im Dateinamen
sudo iptables-save  > /root/fw-$(date +%F).v4
sudo ip6tables-save > /root/fw-$(date +%F).v6
sudo nft list ruleset > /root/nft-$(date +%F).nft

# Übersetzen: schreibt nach stdout und ändert nichts am laufenden System
sudo iptables-restore-translate  -f /root/fw-$(date +%F).v4 >  /root/uebersetzt.nft
sudo ip6tables-restore-translate -f /root/fw-$(date +%F).v6 >> /root/uebersetzt.nft

# Einzelne Regel im Vorbeigehen übersetzen
iptables-translate -A INPUT -p tcp --dport 22 -j ACCEPT

# Syntaxprüfung, ohne zu laden
sudo nft -c -f /root/uebersetzt.nft

#!/usr/sbin/nft -f
flush ruleset

table inet filter {
    set admin_hosts {
        type ipv4_addr
        flags interval
        elements = { 10.10.0.0/24, 192.0.2.10 }
    }

    chain input {
        type filter hook input priority filter; policy drop;

        ct state established,related accept
        ct state invalid drop
        iif lo accept

        ip protocol icmp accept
        ip6 nexthdr icmpv6 accept

        tcp dport 22 ip saddr @admin_hosts counter accept
        tcp dport { 80, 443 } counter accept

        limit rate 5/minute burst 10 packets log prefix "nft-drop " level info
    }

    chain forward {
        type filter hook forward priority filter; policy drop;
    }

    chain output {
        type filter hook output priority filter; policy accept;
    }
}

# Adresse freischalten, ohne die Datei anzufassen
sudo nft add element inet filter admin_hosts { 198.51.100.7 }
sudo nft list set inet filter admin_hosts

# Greift eine Regel überhaupt? Zähler ansehen
sudo nft list chain inet filter input

# Gezielt löschen: erst das Handle ermitteln
sudo nft -a list chain inet filter input
sudo nft delete rule inet filter input handle 12

# Dauerhaft machen
# Die Datei ist die Quelle, ein roher Dump ueberschreibt sie ohne Flush-Zeile
# und laesst sich danach nicht mehr sauber laden. Deshalb mit Flush schreiben:
{ echo '#!/usr/sbin/nft -f'; echo 'flush ruleset'; sudo nft list ruleset; } | sudo tee /etc/nftables.conf > /dev/null     # Debian/Ubuntu
# RHEL/Rocky/Alma: /etc/sysconfig/nftables.conf bindet eigene Dateien per include ein
sudo systemctl enable --now nftables

sudo firewall-cmd --state
sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=public --list-all

# Interne Netze in eine eigene Zone, SSH ausschließlich dort
sudo firewall-cmd --permanent --zone=internal --add-source=10.10.0.0/24
sudo firewall-cmd --permanent --zone=internal --add-service=ssh
sudo firewall-cmd --permanent --zone=public   --remove-service=ssh
sudo firewall-cmd --permanent --zone=public   --add-service=https

# Prüfen, dann anwenden
sudo firewall-cmd --check-config
sudo firewall-cmd --reload

# Zur Laufzeit erprobte Regeln festschreiben
sudo firewall-cmd --runtime-to-permanent

sudo nft list tables
sudo nft list ruleset | grep -iE 'docker|netavark|kube|cni'
sudo iptables -t nat -S 2>/dev/null | grep -i docker | head

# Der sichere Weg, einen Container-Port zu veröffentlichen
docker run -d -p 127.0.0.1:8080:80 <image>

# 1. Aktuellen Zustand sichern
{ echo 'flush ruleset'; sudo nft list ruleset; } > /root/fw-rollback.nft

# 2. Automatische Rücknahme in zehn Minuten einplanen
sudo systemd-run --on-active=10m --unit=fw-rollback \
  /usr/sbin/nft -f /root/fw-rollback.nft

# 3. Neues Regelwerk prüfen und erst dann laden
sudo nft -c -f /etc/nftables.conf && sudo nft -f /etc/nftables.conf

# 4. Aus einer ZWEITEN Sitzung testen, die alte offen lassen
ssh -v <benutzer>@<server>
ss -tulpen

# 5. Erst wenn alles läuft: Rücknahme abbestellen
sudo systemctl stop fw-rollback.timer