Accept nftables: другая base chain того же пути всё ещё может отбросить пакет
Фотография конкретного исполнения не приложена.
При нескольких base chains нельзя оценивать итог по одному разрешающему правилу. Accept завершает рассмотрение текущей базовой цепочки, но пакет продолжает путь к следующим подключённым цепочкам. Поэтому успешно сработавшее разрешение не гарантирует итоговую доставку.
Справочник задаёт возрастающий порядок priority для цепочек одного hook независимо от таблицы. Меньшее число обрабатывается раньше. При одинаковом priority порядок не определён; на случайное расположение при загрузке нельзя опираться как на контракт политики.
Drop, в отличие от accept, немедленно завершает рассмотрение пакета в ruleset. Более позднее разрешение его уже не восстановит. Политика base chain также участвует в результате. Если она drop, в этой цепочке или вызываемой из неё обычной цепочке должно быть соответствующее разрешение, иначе пакет будет отброшен независимо от прежнего accept.
В приёмке составляют список всех базовых цепочек нужного hook и их владельцев. Проверяют путь пакета через каждую, учитывая возможные изменения полей и metadata. Счётчик раннего accept не используют как самостоятельное доказательство доступности сервиса. Для систем с несколькими средствами управления firewall особенно важно согласовать итоговую политику всей цепи обработки.
Основание — Official nft(8) HTML snapshot; exact release1.1.7 archive not obtained, разделы CHAINS; OVERALL EVALUATION OF THE RULESET. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — сохранённый HTML-справочник nft(8); это снимок изменяемой страницы, а не руководство из архива 1.1.7. Фактические версии nft, ядра и рабочие правила не проверялись; команды фильтрации не выполнялись.