使用python中的libnftables-json API添加nftables-map元素

Question

我正在尝试使用python中的nftables JSON API动态添加映射元素。在我的防火墙中，ip家族的router表中有以下映射：

map port_forwards {
type inet_service: ipv4_addr . inet_service;
}

以下是我尝试做的一个最简单的例子：

import nftables
nft_cmd = {"nftables": [
{ "add": { "element":{
"family": "ip",
"table": "router",
"name": "port_forwards",
"elem": { "map": {
"key": "80",
"data": "172.16.0.1 . 80"
}}
}}}
]}
nft = nftables.Nftables()
nft.json_validate(nft_cmd)
rc, _output, error = nft.json_cmd(nft_cmd)
if rc != 0:
raise RuntimeError(f"Error running nftables command: {error}")

这会导致以下错误：

RuntimeError: Error running nftables command: internal:0:0-0: Error: Unexpected JSON type object for immediate value.
internal:0:0-0: Error: Invalid set.
internal:0:0-0: Error: Parsing command array at index 0 failed.

我想我不知怎么理解错了规格(https://manpages.debian.org/unstable/libnftables1/libnftables-json.5.en.html)，但我想不出正确的用法。

更新：我发现nft可以用json格式回显您的命令。这是命令：

sudo nft -e -j add element ip router port_forwards '{80 : 172.16.0.1 . 8080 }'

回复很漂亮：

{"nftables": [
{"add": {"element": {
"family": "ip",
"table": "router",
"name": "port_forwards",
"elem": {"set": [[
80,
{"concat": ["172.16.0.1", 8080]}
]]}
}}}
]}

不幸的是，将其复制到上面的python代码中仍然会导致相同的错误

Answer 1

事实证明，"elem"属性直接获取数组，而不是封装在"set"对象中。这是由错误暗示的：

Unexpected JSON type object for immediate value.

工作代码如下所示：

import nftables
nft_cmd = {"nftables": [
{ "add": { "element":{
"family": "ip",
"table": "router",
"name": "port_forwards",
"elem": [[
80,
{"concat": ["172.16.0.1", 8080]}
]]
}}}
]}

nft = nftables.Nftables()
nft.json_validate(nft_cmd)
rc, _output, error = nft.json_cmd(nft_cmd)
if rc != 0:
raise RuntimeError(f"Error running nftables command: {error}")