Цепочка nftables

Цепочка nftables — объект в таблице nftables, содержащий правила, которые последовательно применяются к проходящим пакетам и их метаданным. Правило может изменить метку, выполнить учёт, перейти в другую цепочку либо завершить обработку вердиктом accept или drop либо оператором reject. Базовая цепочка привязывается к точке перехвата сетевого стека (hook), например input, forward или output. Для неё задаются тип, приоритет и при необходимости политика по умолчанию, а семейство определяется содержащей её таблицей. Обычная цепочка не подключается к hook напрямую: в неё передают управление операторами jump или goto. Порядок правил и приоритет базовых цепочек определяют итоговую обработку. Цепочки применяются при построении межсетевого экрана Linux, сегментации сети, NAT, журналировании и ограничении трафика на хостах и шлюзах. Конфигурацию обычно загружают утилитой nft и сохраняют как набор правил. Цепочка не равна таблице: таблица объединяет цепочки, наборы и другие объекты. Она также отличается от отдельного правила: цепочка задаёт последовательность правил и точку входа или вызова, а правило описывает конкретное условие и действие.