Вердикт nftables

Вердикт nftables — управляющее значение, которое задаёт решение по пакету или изменяет ход выполнения правил в цепочке подсистемы netfilter. Он может завершить текущий этап обработки, продолжить проверку следующими правилами либо передать выполнение другой цепочке или в пользовательское пространство. К вердиктам относятся accept, drop, queue, continue, return, jump и goto. accept завершает обработку в текущей базовой цепочке, но пакет может быть отброшен последующей базовой цепочкой или на другом хуке; drop отбрасывает пакет, а queue передаёт его в пользовательское пространство для решения. continue переходит к следующему правилу. return возвращает управление по адресу возврата после jump, а в базовой цепочке приводит к применению её политики; jump и goto передают выполнение другой цепочке, но после jump возможен возврат к следующему правилу, а после goto — нет. reject — отдельный завершающий оператор, который отправляет ответ об отказе, когда он предусмотрен, и отбрасывает пакет. Вердикты применяются при настройке межсетевых экранов Linux, сегментации сетей и фильтрации транзитного или локального трафика. Они отличаются от условий правила: условие определяет, совпал ли пакет с правилом, а вердикт задаёт действие после совпадения.