Динамический set nftables: размер и время жизни являются частью политики
Фотография конкретного исполнения не приложена.
Динамическое добавление адресов из пути обработки пакетов требует ограниченного жизненного цикла данных. Если set постоянно растёт, его нельзя считать безопасным только потому, что правила корректно загружены. Нужно определить ёмкость, сроки и поведение при исчерпании доступного места.
Справочник требует соответствующие flags для добавления либо обновления элементов из ruleset. Для таких наборов задаётся максимальный размер, а элементы должны иметь timeout через свойства set или действие добавления. Эти параметры предотвращают неограниченный рост и определяют, как долго действует отдельная запись.
Timeout и gc-interval имеют разные назначения. Первый связан со сроком элемента, второй — с периодом очистки. Задержка удаления устаревших объектов может влиять на занятое место; её нельзя воспринимать как произвольное продление разрешения либо блокировки. Размер набора и профиль входящих уникальных значений оценивают вместе.
В приёмке проверяют добавление, повторное событие, истечение срока и достижение установленной ёмкости в изолированной среде. Наблюдают не только список элементов, но и ожидаемое решение политики. Для восстановления сохраняют назначение и параметры набора: один снимок текущих адресов не описывает, кем и по каким условиям он будет изменяться далее.
Основание — Official nft(8) HTML snapshot; exact release1.1.7 archive not obtained, разделы SETS; SET STATEMENT; timeout; gc-interval; size. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — сохранённый HTML-справочник nft(8); это снимок изменяемой страницы, а не руководство из архива 1.1.7. Фактические версии nft, ядра и рабочие правила не проверялись; команды фильтрации не выполнялись.