nftables로 리눅스 방화벽 구성하기 - iptables 대체 가이드

nftables로 리눅스 방화벽 구성하기 - iptables 대체 가이드

 

리눅스 시스템 관리자와 보안 전문가들에게 방화벽 구성은 필수적인 업무입니다.

오랫동안 iptables가 리눅스 방화벽의 표준으로 사용되어 왔지만, 최근 nftables가 차세대 방화벽 솔루션으로 주목받고 있습니다.

본 가이드에서는 nftables의 기본 개념부터 실제 구성까지 상세히 알아보겠습니다.

---

nftables란 무엇인가?

nftables는 리눅스 커널의 새로운 패킷 필터링 프레임워크로, iptables의 후속 기술입니다.

2014년 리눅스 커널 3.13부터 도입되어 현재 대부분의 최신 리눅스 배포판에서 기본 방화벽 솔루션으로 채택되고 있습니다.

nftables는 단순한 문법과 향상된 성능을 제공하여 복잡한 방화벽 규칙을 효율적으로 관리할 수 있게 해줍니다.

nftables 공식 문서에 따르면, nftables는 기존 netfilter 프레임워크의 모든 기능을 통합하여 제공합니다.

nftables 아키텍처 개념도

---

iptables vs nftables 비교

기존 iptables 사용자들이 가장 궁금해하는 부분은 두 시스템의 차이점입니다.

성능 측면에서 nftables는 규칙 업데이트 시 전체 규칙셋을 재로드하지 않고 변경된 부분만 업데이트합니다.

이는 대용량 규칙셋을 운영하는 환경에서 상당한 성능 향상을 가져옵니다.

문법적으로도 nftables는 더욱 직관적이고 일관된 구조를 제공합니다.

iptables에서는 각각의 테이블(filter, nat, mangle)마다 다른 체인을 사용해야 했지만, nftables에서는 하나의 통합된 구조로 모든 규칙을 관리할 수 있습니다.

또한 nftables는 IPv4와 IPv6를 하나의 규칙으로 처리할 수 있어 관리 복잡성을 크게 줄여줍니다.

Red Hat의 nftables 가이드에서도 이러한 장점들을 상세히 설명하고 있습니다.

---

nftables 설치 및 기본 설정

대부분의 최신 리눅스 배포판에는 nftables가 기본으로 설치되어 있습니다.

Ubuntu 20.04 이상, CentOS 8 이상, Debian 10 이상에서는 별도 설치 없이 바로 사용할 수 있습니다.

만약 설치가 필요하다면 다음 명령어를 사용합니다:

# Ubuntu/Debian
sudo apt update && sudo apt install nftables

# CentOS/RHEL/Fedora
sudo dnf install nftables
# 또는 yum install nftables (구버전)

 

설치 후 nftables 서비스를 활성화합니다:

sudo systemctl enable nftables
sudo systemctl start nftables

 

현재 nftables 상태를 확인하려면 다음 명령어를 사용합니다:

sudo nft list ruleset

 

초기 상태에서는 아무 규칙도 표시되지 않는 것이 정상입니다.

---

nftables 기본 개념과 구조

nftables의 구조를 이해하는 것은 효과적인 방화벽 구성의 첫걸음입니다.

nftables는 계층적 구조로 되어 있으며, 상위부터 테이블(Table), 체인(Chain), 규칙(Rule)로 구성됩니다.

테이블(Table)은 특정 프로토콜 패밀리(IPv4, IPv6, ARP 등)에 대한 체인들의 컨테이너 역할을 합니다.

체인(Chain)은 특정 네트워크 훅 포인트에서 실행되는 규칙들의 집합입니다.

규칙(Rule)은 실제 패킷 필터링 로직을 담고 있습니다.

 

기본 테이블 생성 예시:

# IPv4용 필터 테이블 생성
sudo nft add table ip filter

# IPv6용 필터 테이블 생성  
sudo nft add table ip6 filter

# 듀얼 스택 테이블 생성 (IPv4와 IPv6 동시 처리)
sudo nft add table inet filter

 

 

nftables 테이블-체인-규칙 계층구조 다이어그램

---

기본 방화벽 규칙 작성

실제 방화벽 구성을 위해 기본적인 체인과 규칙을 생성해보겠습니다.

먼저 입력 트래픽을 처리할 input 체인을 생성합니다:

# input 체인 생성 (기본 정책: drop)
sudo nft add chain inet filter input { type filter hook input priority 0\; policy drop\; }

# output 체인 생성 (기본 정책: accept)
sudo nft add chain inet filter output { type filter hook output priority 0\; policy accept\; }

# forward 체인 생성 (기본 정책: drop)
sudo nft add chain inet filter forward { type filter hook forward priority 0\; policy drop\; }

기본적인 보안 규칙들을 추가합니다:

# 루프백 인터페이스 허용
sudo nft add rule inet filter input iif lo accept

# 연결 상태 기반 규칙 (established, related 연결 허용)
sudo nft add rule inet filter input ct state established,related accept

# SSH 포트 허용 (포트 22)
sudo nft add rule inet filter input tcp dport 22 accept

# HTTP, HTTPS 포트 허용
sudo nft add rule inet filter input tcp dport { 80, 443 } accept

# ICMP 핑 허용 (제한적)
sudo nft add rule inet filter input icmp type echo-request limit rate 5/second accept

Arch Linux nftables 위키에서 더 많은 규칙 예시를 확인할 수 있습니다.

---

고급 방화벽 규칙 구성

복잡한 네트워크 환경에서는 더욱 정교한 방화벽 규칙이 필요합니다.

nftables의 강력한 기능들을 활용하여 고급 규칙을 구성해보겠습니다.

셋(Set)을 활용한 IP 주소 그룹 관리:

# 허용할 IP 주소 셋 생성
sudo nft add set inet filter allowed_ips { type ipv4_addr\; }

# 셋에 IP 주소 추가
sudo nft add element inet filter allowed_ips { 192.168.1.100, 10.0.0.50 }

# 셋을 활용한 규칙 생성
sudo nft add rule inet filter input ip saddr @allowed_ips tcp dport 22 accept

포트 범위와 다중 조건 활용:

# 특정 IP 대역에서 특정 포트 범위 허용
sudo nft add rule inet filter input ip saddr 192.168.1.0/24 tcp dport 8000-8999 accept

# 시간 기반 접근 제어
sudo nft add rule inet filter input tcp dport 80 hour \"09:00\"-\"18:00\" accept

# 연결 속도 제한
sudo nft add rule inet filter input tcp dport 22 ct state new limit rate 3/minute accept

NAT 규칙 구성:

# NAT 테이블 생성
sudo nft add table ip nat

# POSTROUTING 체인 생성
sudo nft add chain ip nat postrouting { type nat hook postrouting priority 100\; }

# 마스커레이드 규칙 (인터넷 공유)
sudo nft add rule ip nat postrouting oif eth0 masquerade

# 포트 포워딩 규칙
sudo nft add chain ip nat prerouting { type nat hook prerouting priority -100\; }
sudo nft add rule ip nat prerouting iif eth0 tcp dport 8080 dnat to 192.168.1.100:80

---

nftables 구성 파일 관리

운영 환경에서는 규칙을 파일로 관리하는 것이 효율적입니다.

nftables는 구성을 파일로 저장하고 로드할 수 있는 기능을 제공합니다.

현재 규칙셋을 파일로 저장:

sudo nft list ruleset > /etc/nftables.conf

구성 파일 예시 (/etc/nftables.conf):

#!/usr/sbin/nft -f

# 기존 규칙 초기화
flush ruleset

# 기본 테이블 생성
table inet filter {
    # Input 체인 정의
    chain input {
        type filter hook input priority filter; policy drop;

        # 기본 허용 규칙들
        iif "lo" accept
        ct state established,related accept

        # 서비스 포트 허용
        tcp dport { 22, 80, 443 } accept
        icmp type echo-request limit rate 5/second accept

        # 로그 및 차단
        log prefix "nftables denied: " drop
    }

    # Output 체인 정의  
    chain output {
        type filter hook output priority filter; policy accept;
    }

    # Forward 체인 정의
    chain forward {
        type filter hook forward priority filter; policy drop;
    }
}

구성 파일 적용:

sudo nft -f /etc/nftables.conf

부팅 시 자동 적용을 위해 서비스 활성화:

sudo systemctl enable nftables

 

 

nftables 규칙 적용 프로세스 플로우차트

---

모니터링과 디버깅

효과적인 방화벽 운영을 위해서는 지속적인 모니터링과 디버깅이 필요합니다.

nftables는 다양한 모니터링 도구를 제공합니다.

 

실시간 규칙 모니터링:

# 모든 규칙 표시
sudo nft list ruleset

# 특정 테이블만 표시
sudo nft list table inet filter

# 규칙별 패킷 카운터 포함 표시
sudo nft list ruleset -a -n

 

로그 기능 활용:

# 특정 규칙에 로그 추가
sudo nft add rule inet filter input tcp dport 22 log prefix \"SSH Access: \" accept

# 거부된 패킷 로그
sudo nft add rule inet filter input log prefix \"Blocked: \" drop

 

로그는 /var/log/kern.log 또는 journalctl을 통해 확인할 수 있습니다:

# 실시간 로그 모니터링
sudo journalctl -f | grep nftables

# 특정 시간대 로그 확인  
sudo journalctl --since "2024-01-01 00:00:00" | grep "SSH Access"

 

성능 모니터링:

# 규칙별 통계 확인
sudo nft list chain inet filter input -n -a

# 메모리 사용량 확인
sudo nft monitor

Ubuntu nftables 문서에서 추가적인 모니터링 방법을 확인할 수 있습니다.

---

실제 운영 환경 적용 사례

웹 서버 환경에서의 nftables 구성 예시를 살펴보겠습니다.

일반적인 LAMP 스택 서버의 방화벽 구성:

#!/usr/sbin/nft -f

flush ruleset

table inet filter {
    # 허용할 관리자 IP 셋
    set admin_ips {
        type ipv4_addr
        elements = { 203.0.113.100, 198.51.100.50 }
    }

    # 차단할 악성 IP 셋
    set blacklist {
        type ipv4_addr
        timeout 1h
    }

    chain input {
        type filter hook input priority filter; policy drop;

        # 기본 허용
        iif "lo" accept
        ct state established,related accept

        # 블랙리스트 차단
        ip saddr @blacklist drop

        # 관리자 전용 SSH 접근
        ip saddr @admin_ips tcp dport 22 accept

        # 웹 서비스 포트 (속도 제한 적용)
        tcp dport 80 limit rate 100/second burst 200 packets accept
        tcp dport 443 limit rate 100/second burst 200 packets accept

        # MySQL 포트 (내부 네트워크만)
        ip saddr 192.168.1.0/24 tcp dport 3306 accept

        # DDoS 방어 규칙
        tcp dport { 80, 443 } ct state new limit rate 25/second burst 50 packets accept

        # 로그 및 차단
        limit rate 5/minute log prefix "nftables blocked: "
        drop
    }

    chain output {
        type filter hook output priority filter; policy accept;
    }

    chain forward {
        type filter hook forward priority filter; policy drop;
    }
}

# NAT 테이블 (필요시)
table ip nat {
    chain prerouting {
        type nat hook prerouting priority dstnat; policy accept;
    }

    chain postrouting {
        type nat hook postrouting priority srcnat; policy accept;
        oif "eth0" masquerade
    }
}

이 구성은 다음과 같은 보안 정책을 구현합니다:

• 관리자 IP에서만 SSH 접근 허용
• 웹 트래픽에 대한 속도 제한
• 데이터베이스는 내부 네트워크에서만 접근
• DDoS 공격 기본 방어
• 의심스러운 트래픽 로깅

---

성능 최적화 팁

대용량 트래픽을 처리하는 환경에서는 성능 최적화가 중요합니다.

nftables의 성능을 최적화하는 몇 가지 방법을 소개합니다.

 

규칙 순서 최적화:

가장 자주 매칭되는 규칙을 앞쪽에 배치하여 처리 속도를 향상시킵니다:

# 잘못된 예: 자주 사용되지 않는 규칙이 앞에
sudo nft add rule inet filter input tcp dport 8080 accept
sudo nft add rule inet filter input tcp dport 80 accept  # 더 자주 사용됨

# 올바른 예: 자주 사용되는 규칙을 앞에
sudo nft add rule inet filter input tcp dport 80 accept
sudo nft add rule inet filter input tcp dport 8080 accept

 

셋과 맵 활용:

다수의 IP나 포트를 처리할 때는 개별 규칙보다 셋을 사용하는 것이 효율적입니다:

# 비효율적인 방법
sudo nft add rule inet filter input ip saddr 192.168.1.1 accept
sudo nft add rule inet filter input ip saddr 192.168.1.2 accept
sudo nft add rule inet filter input ip saddr 192.168.1.3 accept

# 효율적인 방법
sudo nft add set inet filter allowed_networks { type ipv4_addr\; flags interval\; }
sudo nft add element inet filter allowed_networks { 192.168.1.0/24 }
sudo nft add rule inet filter input ip saddr @allowed_networks accept

 

메모리 사용량 최적화:

불필요한 연결 추적을 비활성화하여 메모리 사용량을 줄입니다:

# 연결 추적이 필요 없는 트래픽에 대해 비활성화
sudo nft add rule inet filter output tcp dport 53 notrack
sudo nft add rule inet filter input tcp sport 53 notrack

---

마이그레이션 가이드: iptables에서 nftables로

기존 iptables 사용자들을 위한 단계별 마이그레이션 가이드입니다.

1단계: 기존 iptables 규칙 백업

# 현재 iptables 규칙 저장
sudo iptables-save > /backup/iptables-backup.rules
sudo ip6tables-save > /backup/ip6tables-backup.rules

 

2단계: 자동 변환 도구 활용

nftables는 iptables 규칙을 자동으로 변환하는 도구를 제공합니다:

# iptables 규칙을 nftables 형식으로 변환
sudo iptables-restore-translate -f /backup/iptables-backup.rules > nftables-migration.conf

# 변환된 규칙 검토 및 수정
sudo nano nftables-migration.conf

 

3단계: 테스트 환경에서 검증

변환된 규칙을 테스트 환경에서 충분히 검증한 후 운영 환경에 적용합니다.

 

4단계: 점진적 마이그레이션

# iptables 서비스 중지
sudo systemctl stop iptables
sudo systemctl disable iptables

# nftables 규칙 적용
sudo nft -f nftables-migration.conf

# nftables 서비스 활성화
sudo systemctl enable nftables
sudo systemctl start nftables

 

일반적인 변환 예시:

# iptables 규칙
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# nftables 등가 규칙  
nft add rule inet filter input tcp dport 22 accept

Netfilter 프로젝트 마이그레이션 가이드에서 더 자세한 정보를 확인할 수 있습니다.

---

보안 베스트 프랙티스

nftables를 운영 환경에서 안전하게 사용하기 위한 보안 모범 사례들을 정리합니다.

 

기본 거부 정책 적용:

모든 체인에 기본 거부(drop) 정책을 설정하고 필요한 트래픽만 명시적으로 허용합니다:

# 안전한 기본 정책
sudo nft add chain inet filter input { type filter hook input priority 0\; policy drop\; }
sudo nft add chain inet filter forward { type filter hook forward priority 0\; policy drop\; }

 

최소 권한 원칙:

필요한 최소한의 포트와 서비스만 허용합니다:

# 필수 서비스만 허용
sudo nft add rule inet filter input tcp dport 22 ip saddr 192.168.1.0/24 accept  # SSH는 내부망만
sudo nft add rule inet filter input tcp dport { 80, 443 } accept  # 웹 서비스만 공개

 

정기적인 규칙 검토:

불필요하거나 오래된 규칙을 정기적으로 검토하고 제거합니다:

# 규칙별 사용량 통계 확인
sudo nft list ruleset -a -n

# 사용되지 않는 규칙 식별 및 제거

 

로그 모니터링:

의심스러운 활동을 감지하기 위해 적절한 로깅을 설정합니다:

# 차단된 트래픽 로깅
sudo nft add rule inet filter input limit rate 10/minute log prefix \"nftables-blocked: \" drop

# 중요 서비스 접근 로깅  
sudo nft add rule inet filter input tcp dport 22 log prefix \"SSH-access: \" accept

---

트러블슈팅 가이드

nftables 운영 중 발생할 수 있는 일반적인 문제들과 해결 방법을 정리합니다.

 

연결 문제 해결:

# 현재 활성 규칙 확인
sudo nft list ruleset

# 특정 포트 트래픽 테스트
sudo tcpdump -i any port 22

# 방화벽 임시 비활성화 (테스트용)
sudo nft flush ruleset

 

규칙 구문 오류:

# 구문 검사 모드로 테스트
sudo nft -c -f /etc/nftables.conf

# 상세한 오류 메시지 확인
sudo nft -d all list ruleset

 

성능 문제 진단:

# 규칙 처리 통계 확인
sudo nft list chain inet filter input -a -n

# 시스템 리소스 모니터링
sudo htop
sudo iotop

 

복구 절차:

문제 발생 시 안전한 복구를 위한 절차:

# 1. 백업된 규칙으로 복구
sudo nft flush ruleset
sudo nft -f /backup/nftables-working.conf

# 2. 임시 SSH 접근 규칙 추가 (원격 관리 시)
sudo nft add rule inet filter input tcp dport 22 accept

# 3. 문제 해결 후 정상 규칙 적용
sudo nft -f /etc/nftables.conf

---

결론

nftables는 기존 iptables의 한계를 극복하고 현대적인 네트워크 환경에 적합한 강력한 방화벽 솔루션입니다.

통합된 문법 구조, 향상된 성능, 그리고 IPv4/IPv6 듀얼 스택 지원 등의 장점으로 인해 많은 조직에서 iptables를 대체하고 있습니다.

본 가이드에서 소개한 기본 개념부터 고급 구성, 그리고 실제 운영 사례까지를 참고하여 안전하고 효율적인 방화벽 시스템을 구축할 수 있을 것입니다.

nftables 도입을 고려 중이라면 테스트 환경에서 충분한 검증을 거친 후 단계적으로 마이그레이션하는 것을 권장합니다.

지속적인 모니터링과 규칙 최적화를 통해 보안성과 성능을 동시에 확보할 수 있습니다.

추가적인 정보와 업데이트는 nftables 공식 위키에서 확인할 수 있습니다.