nftables Nedir ve iptables'tan Farkı Ne?

Bir sunucuyu internete açtığınız andan itibaren, o makineye giren ve çıkan her paketi kimin, hangi kurala göre denetleyeceği kritik bir soru haline gelir. Yıllarca bu işi Linux dünyasında iptables yaptı; hatta o kadar yerleşti ki pek çok yönetici için "güvenlik duvarı" ile "iptables" neredeyse eş anlamlı oldu. Ancak modern Linux dağıtımlarının varsayılan çekirdek çerçevesi artık iptables değil, nftables. Debian 10, RHEL 8, Ubuntu 21.10 ve sonrasında iptables komutunu çalıştırsanız bile arka planda çoğu zaman nftables motoru devreye giriyor. Yani geçiş çoktan başladı, sadece çoğu insan farkında değil.

Bu rehberde nftables'ın ne olduğunu, neden iptables'ın halefi sayıldığını ve pratikte nasıl kullanıldığını sıfırdan anlatacağım. Amacım size ezberletmek değil; table, chain ve rule kavramlarının nasıl bir mantık kurduğunu göstermek, ardından gerçek bir web sunucusunda kullanabileceğiniz somut bir kural seti yazmak ve bu setin nft list ruleset ile nasıl doğrulandığını adım adım göstermek. Kıdemli bir sistem yöneticisinin yeni bir ekip arkadaşına anlatacağı sadelikle ilerleyeceğiz.

nftables Neden iptables'ın Halefi?#

iptables aslında tek bir araç değildi; iptables, ip6tables, arptables ve ebtables şeklinde birbirinden ayrı komutlar bütünüydü. IPv4 için bir kural yazıyor, aynı kuralı IPv6 için ip6tables ile bir kez daha yazıyordunuz. Bu ikilik hem hataya açıktı hem de bir kuralı unutmanız durumunda sunucunuzun IPv6 tarafını tamamen korumasız bırakabiliyordu. nftables ise bunların hepsini nft adı verilen tek bir çerçeve altında birleştirir. Tek komut, tek sözdizimi, tek yerde yönetilen kurallar.

nftables'ı öne çıkaran farkları şöyle özetleyebiliriz:

• Tek araç, tek sözdizimi: IPv4, IPv6, ARP ve bridge trafiğinin tamamı nft üzerinden yönetilir. inet aile tanımıyla tek bir kural hem IPv4 hem IPv6 için geçerli olur.
• Daha okunur kurallar: iptables'ın uzun, bayrak bayrak dizilen satırları yerine küme (set), sözlük (map) ve değişken destekli, insan gözünün rahat takip ettiği bir dil vardır.
• Daha iyi performans: Kurallar çekirdek içinde bir sanal makinede (VM benzeri bytecode) çalışır. Yüzlerce IP'yi tek tek kural olarak eklemek yerine bir set içine koyup tek seferde eşleştirebilir, atomik güncelleme yapabilirsiniz.
• Atomik güncelleme: Tüm kural setini tek işlemde yükler. iptables'ta olduğu gibi "kuralları silerken yarı yolda kalıp sunucuyu açıkta bırakma" riski ortadan kalkar.
• Sayaç ve loglama esnekliği: İstediğiniz kurala sayaç ekler, istediğinizi loglar, gereksiz yere kaynak tüketmezsiniz.

Bu farkları bir karşılaştırmayla netleştirelim:

Tablodaki son satır önemli: nftables'ta hiçbir zincir hazır gelmez, hepsini siz kurarsınız. Bu ilk başta fazladan iş gibi görünse de sunucunuzda ne olup bittiğini tam olarak bilmenizi sağlar; sihirli, gizli varsayılanlar yoktur.

Table, Chain ve Rule Yapısı#

nftables'ı anlamanın en hızlı yolu üç kavramı iç içe geçmiş kutular gibi düşünmektir: en dışta table, onun içinde chain, en içte rule.

Table (Tablo), belirli bir protokol ailesine ait kuralları gruplayan en üst kaptır. Bir tablonun ailesi olur: ip (yalnız IPv4), ip6 (yalnız IPv6), inet (ikisi birden), arp ve bridge. Pratikte modern kurulumların büyük çoğunluğunda inet ailesini kullanırız, çünkü tek kuralla her iki IP sürümünü de kapsar.

Chain (Zincir), tablonun içinde paketlerin uğradığı denetim noktasıdır. İki tür zincir vardır: bir "hook" (kanca) noktasına bağlanan base chain ve yalnızca başka zincirlerden çağrılan regular chain. Base chain'ler paketin yaşam döngüsündeki belirli anlara takılır: input (bu makineye gelen), output (bu makineden çıkan), forward (bu makine üzerinden geçen). Base chain tanımlarken üç şey belirtirsiniz: type, hook ve priority, bir de varsayılan karar olan policy.

Rule (Kural), bir zincir içindeki tek bir satırdır; "şu koşulu sağlayan pakete şunu yap" der. Koşul bir port, bir protokol, bir kaynak IP olabilir; eylem ise accept, drop, reject, log gibi bir sonuçtur.

Bu hiyerarşiyi tek bir dosyada görelim:

table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;
        # buraya kurallar gelecek
    }
    chain forward {
        type filter hook forward priority 0; policy drop;
    }
    chain output {
        type filter hook output priority 0; policy accept;
    }
}

Burada filter adında inet ailesinde bir tablo, içinde üç base chain var. input zincirinin policy drop olması şu anlama gelir: bu zincirdeki hiçbir kurala uymayan bir paket sessizce düşürülür. Bu "önce her şeyi reddet, sonra ihtiyaç duyduklarına izin ver" yaklaşımı güvenlik duvarı tasarımının altın kuralıdır ve bu mantığı sunucu güvenliğinin temelleri yazımızda da vurguluyoruz.

nftables Sözdizimini Yakından Tanıyalım#

Kurallar iki şekilde yazılabilir: doğrudan komut satırından tek tek (nft add rule ...) ya da bir yapılandırma dosyasında topluca. Üretim ortamında ikincisini şiddetle öneririm; çünkü tüm kural seti tek dosyada durur, sürüm kontrolüne alınabilir ve atomik olarak yüklenir.

Komut satırıyla hızlı bir örnek şöyle görünür:

# Tabloyu oluştur
nft add table inet filter

# input zincirini bir hook'a bağla
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }

# SSH'a izin ver
nft add rule inet filter input tcp dport 22 accept

Aynı işi dosya üzerinden yaparken sözdizimi çok daha temiz olur. Kuralların anatomisini parçalarına ayıralım. Örneğin şu kural:

tcp dport { 80, 443 } accept

Burada tcp protokolü seçer, dport hedef portu (destination port) belirtir, süslü parantez içindeki { 80, 443 } bir anonim kümedir; yani "80 ya da 443" demenin kısa yolu. iptables'ta bunu iki ayrı kural olarak yazmanız gerekirdi. nftables'ta tek satır yeter.

Bağlantı durumunu izlemek için ct state ifadesini kullanırız. Bu, güvenlik duvarının en önemli parçalarından biridir:

ct state established,related accept
ct state invalid drop

İlk satır, sunucunun zaten kurulmuş bir bağlantısına ait yanıt paketlerine izin verir; olmazsa dışarıya yaptığınız her istek geri dönemez. İkinci satır ise duruma uymayan bozuk paketleri baştan atar. Bir de sık kullanılan sayaç ve log ekleme örneği:

tcp dport 22 ct state new limit rate 4/minute log prefix "SSH-NEW " accept

Bu tek satır, yeni SSH bağlantılarını dakikada dörtle sınırlar, her birini SSH-NEW önekiyle loglar ve kabul eder; kaba kuvvet denemelerine karşı sade ama etkili bir frendir. Değişken tanımlayarak kuralları daha da okunur yapabilirsiniz:

define web_ports = { 80, 443 }
define admin_ip = 203.0.113.10

table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;
        tcp dport $web_ports accept
        ip saddr $admin_ip tcp dport 22 accept
    }
}

define ile tanımlanan $web_ports ve $admin_ip değişkenleri, kural setini bir yıl sonra açtığınızda bile ne yaptığını anında anlamanızı sağlar. Bakımı kolay güvenlik duvarı, iyi güvenlik duvarıdır.

Temel Bir Web ve SSH Kural Seti#

Şimdi teoriyi bırakıp gerçek bir web sunucusunda kullanabileceğiniz eksiksiz bir kural seti yazalım. Senaryomuz tipik: 80 ve 443 portlarında bir web sitesi çalışıyor, 22 portundan SSH ile bağlanıyoruz, geri kalan her şey kapalı. Bu dosyayı genellikle /etc/nftables.conf içine koyarız.

#!/usr/sbin/nft -f

# Önce mevcut tüm kuralları temizle (atomik yeniden yükleme için)
flush ruleset

define web_ports = { 80, 443 }

table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;

        # Yerel arayüz (loopback) her zaman serbest
        iif "lo" accept

        # Kurulmuş ve ilişkili bağlantılar geçsin
        ct state established,related accept

        # Bozuk paketleri at
        ct state invalid drop

        # Ping (ICMP) — teşhis için makul, hız sınırlı
        ip protocol icmp icmp type echo-request limit rate 5/second accept
        ip6 nexthdr icmpv6 icmpv6 type echo-request limit rate 5/second accept

        # SSH — kaba kuvvete karşı hız sınırlı
        tcp dport 22 ct state new limit rate 6/minute accept

        # Web trafiği
        tcp dport $web_ports accept

        # Reddedileni açıkça bildir (isteğe bağlı)
        # log prefix "NFT-DROP " counter
    }

    chain forward {
        type filter hook forward priority 0; policy drop;
    }

    chain output {
        type filter hook output priority 0; policy accept;
    }
}

Bu setin mantığını yukarıdan aşağıya okuyalım. flush ruleset başta çalışır ve eski kuralları temizler; böylece dosyayı her yüklediğinizde tertemiz bir başlangıç olur. iif "lo" satırı loopback arayüzüne koşulsuz izin verir, çünkü pek çok yerel servis kendi kendine bu arayüz üzerinden konuşur ve bunu engellerseniz uygulamalarınız garip biçimde çöker. Ardından established,related kuralı, sunucunun dışarıya yaptığı isteklerin yanıtlarının geri dönmesini sağlar. SSH kuralında hız sınırı koyduk; bu, UFW güvenlik duvarı rehberinde de anlattığımız kaba kuvvet koruması mantığının nftables karşılığıdır.

Dikkat edin: ICMP kurallarını hem IPv4 (ip protocol icmp) hem IPv6 (ip6 nexthdr icmpv6) için ayrı yazdık. IPv6 ağlarında ICMPv6, komşu keşfi (neighbor discovery) gibi hayati işlevler için gereklidir; onu tamamen kapatırsanız IPv6 bağlantınız bozulur. Bu, inet ailesinin gücünü gösterir: her iki sürümü aynı tabloda yönetiyoruz ama protokole özgü ince ayarları da kaçırmıyoruz.

Kural setini yüklemek için:

sudo nft -f /etc/nftables.conf

Bir uyarı: Uzaktan SSH ile bağlıyken kural setini yüklüyorsanız, SSH portunu yanlışlıkla kapatıp kendinizi dışarıda bırakma riskiniz vardır. Bu yüzden VPS'lerde her zaman sunucu panelindeki konsol/VNC erişimini yedekte tutun. Clou.TR sanal sunucularında ve VDS paketlerinde panelden KVM konsoluna erişebildiğiniz için, SSH'ı kazara kesseniz bile makineye web konsolundan girip kuralı geri alabilirsiniz.

Kuralları nft list ruleset ile Doğrulamak#

Bir güvenlik duvarını yazmak yeterli değildir; çekirdeğe gerçekten ne yüklendiğini gözünüzle görmelisiniz. nftables'ta bunun tek ve net komutu vardır:

sudo nft list ruleset

Bu komut, o an çekirdekte yüklü olan tüm kural setini olduğu gibi döker. Çıktı, yazdığınız dosyaya çok benzer; çünkü nftables kuralları normalize ederek geri gösterir. Beklediğiniz bir çıktı şuna benzer:

table inet filter {
	chain input {
		type filter hook input priority 0; policy drop;
		iif "lo" accept
		ct state established,related accept
		ct state invalid drop
		tcp dport 22 ct state new limit rate 6/minute accept
		tcp dport { 80, 443 } accept
	}
	chain forward {
		type filter hook forward priority 0; policy drop;
	}
	chain output {
		type filter hook output priority 0; policy accept;
	}
}

Sadece tek bir tabloyu görmek isterseniz komutu daraltabilirsiniz:

sudo nft list table inet filter

Doğrulama sırasında en çok işinize yarayacak numara sayaçlardır. Bir kurala counter eklerseniz, o kuralın kaç paket ve kaç bayt eşlediğini görürsünüz; böylece "bu kural gerçekten çalışıyor mu" sorusunu somut sayılarla yanıtlarsınız:

# Sayaçlı bir kural ekleyelim
nft add rule inet filter input tcp dport 443 counter accept

# Biraz trafik geçtikten sonra
sudo nft list ruleset
# ... tcp dport 443 counter packets 1834 bytes 210456 accept

packets ve bytes değerleri sıfırdan yukarı çıkıyorsa kuralınız fiilen paket görüyor demektir. Ayrıca dosyanızı yüklemeden önce sözdizimini kontrol etmek için -c (check) bayrağını kullanın; bu, hatalı bir dosyayı canlıya sürüp sunucuyu kilitlemenin önüne geçer:

sudo nft -c -f /etc/nftables.conf && echo "Sözdizimi temiz"

Log satırlarını da izleyebilirsiniz. log prefix "NFT-DROP " eklediğiniz kurallar sistem günlüğüne düşer:

sudo journalctl -k | grep "NFT-DROP"

Bu üçlü — list ruleset ile görsel doğrulama, counter ile sayısal doğrulama ve log ile davranış izleme — güvenlik duvarınızın gerçekten söylediğiniz şeyi yaptığından emin olmanın en güvenilir yoludur.

Kuralları Kalıcı Yapmak ve Servis Yönetimi#

nft -f ile yüklediğiniz kurallar çekirdekte anında etkindir; ancak sunucuyu yeniden başlattığınızda bellekten silinirler. Kuralların kalıcı olması için nftables servisinin açılışta dosyanızı yüklemesini sağlamalısınız. Modern dağıtımlarda bunun için hazır bir systemd servisi vardır:

# Servisi açılışta etkinleştir ve şimdi başlat
sudo systemctl enable --now nftables

# Durumunu kontrol et
sudo systemctl status nftables

Bu servis, açılışta /etc/nftables.conf dosyasını okur. Dolayısıyla kural setinizi bu dosyada tuttuğunuz sürece her yeniden başlatmada otomatik yüklenir. Değişiklik yaptığınızda tek yapmanız gereken dosyayı düzenleyip yeniden yüklemektir:

sudo nft -f /etc/nftables.conf

Servisin yönetiminde işinize yarayacak temel komutlar şunlardır:

Son satır özellikle değerli: Canlı bir sunucuda birikmiş kuralları düzenli olarak dışa aktarıp bir yere yedeklemek, felaket anında hayat kurtarır. Aynı disiplini tüm sunucu verileriniz için uygulamanızı öneririm; düzenli yedekleme alışkanlığı, güvenlik duvarı kadar önemli bir sigortadır. Sunucularınızın gündelik bakımını kendiniz üstlenmek istemiyorsanız Clou.TR'nin sunucu yönetimi hizmeti ile güvenlik duvarı, güncelleme ve izleme işlerini uzman ekibe devredebilirsiniz.

iptables'tan nftables'a Geçiş İpuçları#

Elinizde yıllardır biriktirdiğiniz iptables kuralları varsa, hepsini elle yeniden yazmanıza gerek yok. nftables, iptables kurallarını çeviren bir araçla birlikte gelir. Önce mevcut kurallarınızı iptables-save ile alır, ardından iptables-restore-translate ile nftables sözdizimine dönüştürürsünüz:

# Mevcut iptables kurallarını kaydet
sudo iptables-save > kurallar-v4.txt

# nftables sözdizimine çevir
sudo iptables-restore-translate -f kurallar-v4.txt > cevrilen.nft

# Çıktıyı gözden geçir, sonra yükle
sudo nft -f cevrilen.nft

Bu araç çok işe yarar ama gözü kapalı güvenmeyin. Otomatik çeviri, iptables'ın satır satır mantığını birebir taşır; nftables'ın set, map ve inet ailesi gibi zarafetlerinden yararlanmaz. Yani makine çalışan ama pek "nftables'ça" olmayan bir çıktı elde edersiniz. En temiz yol, çıktıyı bir referans olarak kullanıp kural setini nftables mantığıyla elden geçirmektir.

Geçiş sırasında iki noktaya dikkat edin. Birincisi, hangi arka ucun aktif olduğunu bilin: Bazı sistemlerde iptables komutu aslında nftables motoruna yazan bir uyumluluk katmanıdır ve iptables --version çıktısında (nf_tables) ibaresini görürsünüz. Bu durumda iki farklı araçla aynı çekirdeğe kural yazmamak için tek bir yönetim yöntemine geçin. İkincisi, fail2ban gibi araçların nftables ile uyumlu bir eylem (action) seçtiğinden emin olun; aksi halde yasakladığı IP'ler sizin ana kural setinizle çakışabilir.

Uygulama katmanında daha akıllı bir koruma istiyorsanız — SQL enjeksiyonu, XSS ya da bot trafiği gibi paket seviyesinde görünmeyen tehditler — nftables tek başına yetmez. Bu noktada bir web uygulama güvenlik duvarı (WAF) ve hacimsel saldırılara karşı DDoS koruması devreye girer. nftables ağ katmanının sağlam kapıcısıdır; WAF ise HTTP isteklerinin içeriğini okuyup zararlı olanları eler. İkisi birbirini tamamlar. Web siteleriniz için hosting ve WordPress hosting paketlerimizde bu katmanlı korumanın bir kısmı zaten hazır gelir.

Sıkça Sorulan Sorular#

nftables iptables'ın yerini tamamen aldı mı?#

Evet, yön açıkça bu tarafta. Linux çekirdeği içindeki geleneksel iptables alt sistemi (xtables) yerini nf_tables çerçevesine bırakıyor ve neredeyse tüm güncel dağıtımlar varsayılan olarak nftables ile geliyor. iptables komutu hâlâ çalışsa da çoğu sistemde arka planda nftables motorunu kullanan bir uyumluluk katmanı üzerinden çalışıyor. Yeni kurulan sunucularda doğrudan nftables öğrenmek, artık kaybolmakta olan eski aracı öğrenmekten çok daha mantıklı.

iptables kurallarımı nftables'a nasıl taşırım?#

Elinizle her şeyi yeniden yazmanıza gerek yok. Önce iptables-save ile mevcut kurallarınızı bir dosyaya alın, ardından iptables-restore-translate aracıyla bu dosyayı nftables sözdizimine çevirin. Çıktıyı nft -f ile yükleyebilirsiniz. Ancak otomatik çevirinin sonucunu mutlaka gözden geçirin; çünkü araç iptables mantığını birebir taşır, nftables'ın set ve inet ailesi gibi modern özelliklerinden faydalanmaz. En temiz sonuç için çeviriyi bir taslak kabul edip kuralları elden geçirmenizi öneririm.

Tek bir kuralla hem IPv4 hem IPv6'yı koruyabilir miyim?#

Bunun için inet ailesinde bir tablo tanımlamanız yeterli. table inet filter şeklinde açtığınız bir tabloda yazdığınız kurallar, protokole özgü bir kısıt koymadığınız sürece hem IPv4 hem IPv6 trafiğine uygulanır. Bu, iptables ile ip6tables'ı ayrı ayrı yönetme derdini tamamen ortadan kaldırır. Yalnızca ICMP gibi sürüme özgü bazı durumlarda ip protocol icmp ve ip6 nexthdr icmpv6 şeklinde iki ayrı satır yazmanız gerekir, gerisi ortaktır.

nft list ruleset boş çıkıyor, neden?#

Bu genellikle henüz hiçbir kural yüklenmediği anlamına gelir; nftables'ta iptables'ın aksine hazır varsayılan zincirler gelmez, her şeyi siz tanımlarsınız. Kural setinizi bir dosyaya yazıp nft -f /etc/nftables.conf ile yüklediğinizden ve nftables servisinin açılışta etkin olduğundan emin olun. Bir diğer olasılık, kuralların farklı bir tabloda oluşmasıdır; nft list tables komutuyla hangi tabloların var olduğunu görebilir, ardından o tabloyu tek tek listeleyebilirsiniz.

Uzaktan bağlıyken kural yüklerken kendimi kilitlersem ne olur?#

Bu, yöneticilerin en sık yaptığı hatalardan biridir ve önlemi basittir. Kritik bir kural değişikliği yapmadan önce sunucunuzun panel üzerinden konsol/VNC erişimini elinizin altında tutun; SSH kesilse bile web konsolundan makineye girip nft flush ruleset ile hatalı kuralları temizleyebilirsiniz. Ayrıca değişiklik yapmadan nft -c -f dosya.conf ile sözdizimini denetlemek ve kritik testlerde kısa süreli bir "geri alma" zamanlayıcısı kurmak (belirli bir dakika içinde onaylamazsanız eski kurallara dönen bir betik) sizi büyük dertten kurtarır.

nftables DDoS saldırılarını tek başına durdurur mu?#

Hayır, tek başına yetmez. nftables ağ katmanında port ve protokol seviyesinde çok iyi iş çıkarır ve hız sınırlama (limit rate) ile küçük ölçekli taşkınları yumuşatabilir. Ancak gigabit ölçeğinde hacimsel bir DDoS saldırısı sunucunuza ulaşmadan önce ağ hattınızı doldurur; bu tür saldırılar için trafiğin sunucu dışında, ağ kenarında temizlenmesi gerekir. Bu yüzden nftables'ı bir temel katman olarak kullanıp üzerine özel DDoS koruma ve uygulama isteklerini denetleyen bir WAF çözümü eklemek en doğru yaklaşımdır.

Kapanış#

nftables, Linux güvenlik duvarı dünyasının bugünü ve yarını. Tek araç altında IPv4 ile IPv6'yı birleştiren yapısı, okunması kolay sözdizimi, atomik güncellemeleri ve set gibi güçlü özellikleriyle iptables'ın yerini hızla alıyor. Bu rehberde table, chain ve rule üçlüsünün nasıl bir mantık kurduğunu, gerçek bir web ve SSH kural setinin nasıl yazıldığını ve nft list ruleset ile bunların nasıl doğrulandığını adım adım gördük. Temeli sağlam attıktan sonra set, map ve gelişmiş sayaç kullanımıyla kendi ihtiyacınıza göre derinleşebilirsiniz.

Güvenlik duvarı, iyi bir sunucunun yalnızca ilk katmanıdır. Bu konuyu tamamlamak için sunucu güvenliğinin temelleri ve UFW güvenlik duvarı rehberlerimize göz atmanızı öneririm. nftables'ı üzerinde rahatça kurcalayabileceğiniz, panelden konsol erişimi sunan bir altyapı arıyorsanız Clou.TR'nin sanal sunucu ve VDS paketleri tam size göre; kurulumu ve gündelik bakımı bize bırakmak isterseniz sunucu yönetimi hizmetimizle güvenlik duvarınızı da biz sizin için yapılandırırız. Sunucularınız güvende olsun, kapılar sağlam kilitli kalsın.