nft intègre les ensembles (set) en natif. On distingue les ensembles anonymes intégrés directement dans les règles et ne pouvant pas être modifiés des ensembles nommés dont le contenu pourra être mis à jour.

# nft en mode interactif

# L'ensemble utilisé dans cet règle est anonyme et ne pourra pas être modifié
nft> add rule 

Dans l'exemple ci-dessous on crée un ensemble “resolveurs” dans la table “filter” puis on y ajoute des éléments:

nft> add set filter resolveurs { type ipv4_addr; comment "Resolveurs DNS de confiance";}

# Ajout des éléments à l'ensemble
nft> add element filter resolveurs { 192.9.200.8,192.9.200.231}
nft> add element ip filter resolveurs {208.67.220.220,208.67.222.222}

On peut à présent utiliser l'ensemble dans une règle. Pour l'exemple on autorise les communications sortantes en direction des résolveurs de confiance:

nft> add rule filter output ct state new ip daddr @resolveurs tcp dport 53 counter accept comment "Autorise DNS vers resolveurs de confiance"

Pour lister les ensembles :

nft list sets

Afficher les attributs détaillés (les éléments) d'un ensemble déterminé:

# nft list set [family] aTable setName

nft list set filter resolveurs

Il est possible de peupler un ensemble en indiquant un FQDN plutôt qu'une adresse IP

nft> add set aTable aSet { type ipv4_addr ; timeout 24h ;}
nft> add element aTable aSet { "server.domain.tld" }

Sources :

• https://serverfault.com/questions/963665/how-should-nftables-rules-using-hostnames-be-rewritten-to-deal-with-multiple-add
• https://forum.openwrt.org/t/nftables-filtering-traffic-at-ip-addresses-level-based-on-relevant-domain-name/126182