Belajar Iptables - iptables-nft & Kompatibilitas Modern

#Pendahuluan

Di episode 3 kita menyentuh hal yang mengubah cara pandang tentang iptables: perintah iptables di distro modern sebenarnya bukan lagi iptables klasik. Episode 19 membedah topik itu tuntas: apa itu iptables-nft, bagaimana ia bekerja, dan bagaimana berkoeksistensi dengan nftables tanpa membuat sistem firewall kalian menjadi kekacauan.

Ini penting bukan hanya untuk pengetahuan — ia menyentuh masalah operasional nyata: kenapa aturan yang saya buat lewat nft tidak terlihat oleh iptables -L? dan sebaliknya. Jawabannya menentukan bagaimana kalian mengelola firewall di mesin yang sama.

#Dua Backend, Satu Nama

Paket iptables 1.8.x modern menyediakan dua backend ke kernel:

Backend	Kernel target	Cara kerja
`iptables-legacy`	`ip_tables` (subsistem lama)	Menulis aturan klasik
`iptables-nft`	`nf_tables` (subsistem baru)	Menerjemahkan sintaks iptables ke aturan nftables

Di Debian 10+, Ubuntu 20.04+, dan RHEL 8+, iptables-nft adalah default — perintah iptables yang kalian ketik dipetakan ke binary iptables-nft. Secara tampilan, kalian tidak melihat bedanya; secara kernel, aturannya dieksekusi oleh mesin yang sama dengan nftables.

Cek backend aktif

iptables -V

text

iptables v1.8.9 (nf_tables)

(nf_tables) = backend iptables-nft. (legacy) = backend lama.

#Bagaimana iptables-nft Bekerja

Saat kalian menjalankan iptables -A INPUT ... pada backend nft:

iptables-nft menerjemahkan perintah menjadi representasi nftables.
Ia membuat/menggunakan tabel kernel nftables khusus bernama ip filter, ip nat, dst.
Aturan ditulis ke kernel lewat API nf_tables yang sama dengan nft.

Konsekuensinya: aturan yang dibuat lewat iptables -A akan terlihat di nft list ruleset:

Aturan iptables terlihat di nft

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
sudo nft list ruleset | head -20

Output nft list ruleset akan menampilkan tabel ip filter berisi aturan yang baru saja dibuat — terjemahan langsung dari perintah iptables kalian.

#Koeksistensi: Jangan Mencampur Secara Membabi Buta

Di sinilah area berbahaya. Aturan iptables dan nft yang tampaknya sama bisa hidup di tabel yang berbeda dan dievaluasi dua kali. Contoh nyata:

Situasi membingungkan

# Via iptables
sudo iptables -A INPUT -p tcp --dport 80 -j DROP
 
# Via nft — menambahkan ke tabel KERJA sendiri
sudo nft add rule inet firewall input tcp dport 80 drop

Sekarang ada dua aturan DROP untuk port 80 dari dua dunia berbeda. iptables -L hanya menampilkan yang pertama; nft list ruleset menampilkan keduanya. Kalian tidak tahu mana yang "menang" tanpa melihat keduanya sekaligus.

Warning

Prinsip emas: jangan mengelola aturan yang sama dengan dua tool sekaligus. Pilih satu bahasa — iptables (iptables-nft) ATAU nft murni — untuk satu mesin. Kalau harus campur, batasi dengan tegas: iptables untuk satu cakupan (misal layanan aplikasi), nft untuk cakupan lain (misal tabel dasar), dan dokumentasikan pembagiannya.

#Backend Mana yang Aktif di Mesin Kalian?

Pengecekan rutin yang layak dijadikan kebiasaan:

Identifikasi backend

iptables -V
ls -la /usr/sbin/iptables

Cek alternatif backend

sudo update-alternatives --list iptables
sudo update-alternatives --get-selections | grep -E "iptables|ip6tables"

Binary iptables biasanya symlink ke iptables-nft atau iptables-legacy; update-alternatives (Debian) mengelola pilihannya. Di RHEL, mekanismenya alternatives --config iptables.

#Kapan Memakai iptables-legacy

Backend legacy masih relevan di satu skenario besar: Docker. Versi Docker yang lebih lama (dan beberapa tool otomasi) menulis aturan ke backend legacy. Jika mesin punya Docker lama + distro dengan default nft, kalian bisa berakhir dengan dua sets aturan yang saling tak tahu — sumber bug NAT (episode 18).

Periksa apakah Docker pakai legacy

sudo iptables-legacy -L -n | head
sudo iptables -L -n | head

Jika iptables-legacy -L menampilkan chain DOCKER sedangkan iptables -L tidak, Docker kalian hidup di dunia legacy. Migrasikan (atau atur agar Docker memakai backend yang sama) sebelum menyusun ruleset di belakangnya.

#Membaca Ruleset Gabungan

Untuk audit mesin yang mencurigakan, lihat semua tempat aturan bisa bersembunyi:

Audit kedua dunia

sudo iptables-save
sudo nft list ruleset

Kalau nft list ruleset menampilkan tabel ip filter, ip nat, dst — itu jebakan iptables-nft. Tabel inet filter atau yang bernama lain — itu dunia nft murni. Pahami nama-nama ini, dan kalian tidak akan tersesat membaca output gabungan.

#Common Pitfalls

Menganggap iptables -L menampilkan semua aturan — aturan nft murni tidak akan muncul di sana.
Menjalankan nft flush ruleset saat iptables-nft aktif — aturan iptables kalian ikut hilang (mereka tinggal di tabel nft juga!).
Docker legacy + iptables-nft default — dua dunia yang tidak saling melihat.
Mencampur iptables dan nft tanpa pembagian yang jelas — firewall menjadi kotak hitam.

Note

Konsekuensi langsung dari cara kerja iptables-nft: nft flush ruleset dan systemctl restart nftables (pada beberapa distro) menghapus aturan iptables kalian. Inilah salah satu alasan kenapa aturan iptables harus selalu tersimpan di file (episode 8) — pemulihan tinggal satu perintah restore.

#Penutup

Inti yang harus dibawa pulang:

iptables-nft menerjemahkan sintaks iptables ke kernel nf_tables — itulah default distro modern.
Cek backend dengan iptables -V; (nf_tables) vs (legacy) mengubah cara aturan disimpan.
Aturan iptables-nft terlihat di nft list ruleset; jangan membabi buta flush di sana.
Satu mesin, satu bahasa: jangan mencampur iptables dan nft tanpa pembagian tegas.
Docker lama bisa hidup di backend legacy — cek sebelum menyusun ruleset.

Di episode 20 selanjutnya kita akan membahas migrasi ke nftables — mengekspor ruleset dengan iptables-save, menerjemahkan massal dengan iptables-restore-translate, menerjemahkan per-rule dengan iptables-translate, serta strategi cutover yang aman dan rollback. Sampai jumpa di episode 20!