Rédigé par Rédaction CyberSDF / 19 September 2026

nftables : faire survivre les règles du pare-feu au redémarrage

Après un redémarrage, nft list ruleset ne renvoie plus rien : une règle créée par nft add rule vit dans le noyau et n’existe dans aucun fichier. Sous Debian 12 (paquet nftables 1.0.6-2+deb12u2) comme sous Debian 13 (paquet nftables 1.1.3-1), la reprise au démarrage est le travail de l’unité nftables.service, dont la directive ExecStart vaut /usr/sbin/nft -f /etc/nftables.conf, et de ce seul fichier. Trois gestes décident du résultat : garder flush ruleset en tête du fichier, le valider avec nft -c -f, puis activer l’unité par systemctl enable nftables.

Le paquet Debian livre /etc/nftables.conf exécutable, avec un shebang et flush ruleset

Le fichier /etc/nftables.conf appartient au paquet, qui le déclare comme conffile : dpkg prévient si une mise à jour tente de le remplacer, et la copie locale reste prioritaire. Contenu livré par le paquet Debian 12 (nftables 1.0.6-2+deb12u2), identique à celui du paquet Debian 13 :

#!/usr/sbin/nft -f

flush ruleset

table inet filter {
	chain input {
		type filter hook input priority filter;
	}
	chain forward {
		type filter hook forward priority filter;
	}
	chain output {
		type filter hook output priority filter;
	}
}

Trois détails pèsent sur la suite. Le fichier est livré avec les droits 755, donc exécutable directement, même si l’unité systemd passe par nft -f. La ligne flush ruleset vide les tables déjà présentes dans le noyau, et la page nft(8) de Debian 12 rappelle qu’un ruleset vidé laisse passer tout paquet valide ; chargée depuis le fichier, cette ligne s’exécute dans la même transaction que les tables suivantes. La même page précise que la sortie de list ruleset est conçue pour resservir en entrée de nft -f, comme iptables-save alimentait iptables-restore.

Cinq étapes mènent de la règle tapée au terminal au pare-feu actif après un redémarrage

1. Vérifier le paquet et l’état de l’unité. Le paquet n’active pas le service à l’installation : le script postinst ne relance l’unité que si elle était déjà activée, et le wiki Debian demande explicitement systemctl enable nftables.service après l’installation.

   nft -v
   systemctl is-enabled nftables
   

   À l’écran : nftables v1.0.6 (Lester Gooch #5) sur Debian 12, et disabled tant que rien n’a été activé. Sur Debian 13, la première ligne annonce 1.1.3.

2. Écrire le ruleset dans /etc/nftables.conf.

   sudo nano /etc/nftables.conf
   

   Un fichier minimal qui garde la boucle locale, les connexions établies, le ping IPv4 et IPv6, et le SSH, tout en refusant le reste :

   #!/usr/sbin/nft -f
   
   flush ruleset
   
   table inet filter {
   	chain input {
   		type filter hook input priority filter; policy drop;
   		iif lo accept
   		ct state established,related accept
   		ct state invalid drop
   		meta l4proto { icmp, ipv6-icmp } accept
   		tcp dport 22 accept
   	}
   	chain forward {
   		type filter hook forward priority filter; policy drop;
   	}
   	chain output {
   		type filter hook output priority filter; policy accept;
   	}
   }
   

   À l’écran : rien de particulier à l’enregistrement, puis cat /etc/nftables.conf renvoie le contenu ci-dessus, première ligne #!/usr/sbin/nft -f comprise. La famille inet couvre IPv4 et IPv6 dans la même table : une politique drop sans les règles ICMP ci-dessus coupe IPv6.

3. Valider la syntaxe sans rien appliquer. L’option -c, documentée comme Check commands validity without actually applying the changes, teste le fichier sans toucher au noyau.

   sudo nft -c -f /etc/nftables.conf
   echo $?
   

   À l’écran : aucune sortie, puis 0. Une faute fait échouer la commande et n’applique rien. Le format du message est celui que la page nft(8) de Debian 12 illustre par cet exemple, le passage fautif étant souligné par des accents circonflexes :

   <cmdline>:1:19-22: Error: Interface does not exist
   filter output oif eth0
   ^^^^

   Quand l’entrée vient d’un fichier, le préfixe devient le chemin de ce fichier, du type /etc/nftables.conf:12:3-16, suivi du motif du refus.

4. Activer l’unité et démarrer le chargement.

   sudo systemctl enable --now nftables
   systemctl status nftables --no-pager
   nft list ruleset
   

   À l’écran : une ligne Created symlink /etc/systemd/system/sysinit.target.wants/nftables.service → /usr/lib/systemd/system/nftables.service., le paquet Debian 12 déposant l’unité dans /lib/systemd/system, /lib étant un lien vers /usr/lib ; puis Active: active (exited) ; puis les tables du fichier, à commencer par table inet filter. Un état failed à la place de active (exited) signale un fichier refusé, et sudo journalctl -u nftables -b affiche le message exact, comme l’expliquent les journaux des services systemd.

5. Redémarrer la machine et contrôler le résultat.

   sudo systemctl reboot
   

   Après reconnexion :

   systemctl is-enabled nftables
   systemctl status nftables --no-pager
   nft list ruleset
   

   À l’écran : enabled, puis Active: active (exited), puis les mêmes tables qu’avant le redémarrage, sans une règle de plus. L’unité appartient à la cible sysinit.target et passe avant network-pre.target.

Un ruleset enregistré par nft list ruleset s’empile au lieu de remplacer

Remplacer /etc/nftables.conf par une copie de nft list ruleset casse la logique de remplacement. La sortie de cette commande ne contient que les tables, les chaînes et les règles : ni shebang, ni flush ruleset, qui ne sont pas des objets du noyau. Le wiki nftables écrit qu’un fichier réinjecté sans ligne de vidage ajoute les règles une seconde fois, à chaque rechargement. Le symptôme reste discret : nft list ruleset montre deux fois la même règle après un systemctl reload nftables.

sudo cp /etc/nftables.conf /etc/nftables.conf.bak
sudo sh -c 'echo "flush ruleset" > /etc/nftables.conf'
sudo sh -c 'nft -s list ruleset >> /etc/nftables.conf'
sudo nft -c -f /etc/nftables.conf
sudo systemctl reload nftables

L’option -s, ou –stateless, retire l’état des compteurs, et les variables déclarées par define sont remplacées par leur valeur dans la sortie.

systemctl status nftables répond active (exited) même quand le pare-feu est vide

L’unité est de type oneshot avec RemainAfterExit=yes : systemd exécute nft -f une fois, retient le code de sortie et laisse l’unité active. Deux conséquences surprennent. Modifier /etc/nftables.conf ne change rien au filtrage en cours, le fichier n’étant lu qu’au démarrage, au rechargement et au redémarrage du service : nft list ruleset dit la vérité, pas l’état de l’unité. Et systemctl stop nftables exécute la directive ExecStop, soit /usr/sbin/nft flush ruleset, qui supprime toutes les tables du noyau, y compris celles posées par Docker ou par la couche iptables-nft. Le wiki Debian recommande firewalld pour coordonner plusieurs outils qui écrivent dans le pare-feu.

systemctl cat nftables
nft list ruleset

À l’écran, la première commande affiche l’unité installée avec ses directives ExecStart, ExecReload et ExecStop, identiques dans les paquets Debian 11, 12 et 13.

Debian 11 livre priority 0 là où Debian 12 et 13 livrent priority filter

Les paquets Debian 11, 12 et 13 embarquent la même unité systemd mais pas le même exemple de configuration : la ligne de priorité des chaînes a changé de notation entre Debian 11 et Debian 12. La page nft(8) publiée par Debian pour la version 1.0.6 rappelle que le paramètre priority accepte un entier signé ou un nom standard, et donne filter pour valeur 0 : les deux écritures désignent la même position.

D’une machine à l’autre, aucune retouche n’est nécessaire sur cette ligne, et le test nft -c -f sur la machine de destination tranche en quelques secondes. Ces règles forment la base d’un durcissement minimal.

Le contrôle qui tranche tient en une commande : après le démarrage suivant, nft list ruleset doit afficher table inet filter avec sa politique drop, sinon le fichier n’a pas été lu et journalctl -u nftables -b en donne la raison. La rubrique Debian regroupe les autres contrôles du même genre.

Six arbitrages décident ce qui se passe au prochain démarrage