wikinotes

Au démarrage de la machine le service nftables.service tente de charger le ruleset mais les interfaces (notamment l'interface wifi) ne sont pas encore prêtes.

La configuration utilise systemd (via les fichers .link) pour renommer l'interface wifi. Les règles de filtrage utilisent l'interface renommée mais lorsque elle sont chargées par le service, l'interface wifi0 n'est pas encore disponible et le processus échoue.

Les journaux système retracent l'évènement :

journalctl -xeu nftables.service

...

░░ L'unité (unit) nftables.service a commencé à démarrer.
juin 27 09:20:06 node-7c87 nft[631]: /etc/nftables.conf:96:17-23: Error: Interface does not exist
juin 27 09:20:06 node-7c87 nft[631]:                 iif { "lan0", "wifi0" } udp dport {137, 138 } ip daddr 192.9.200.255 counter drop comment "Elimine les paquets net>
juin 27 09:20:06 node-7c87 nft[631]:                               ^^^^^^^
juin 27 09:20:06 node-7c87 nft[631]: /etc/nftables.conf:99:17-23: Error: Interface does not exist
juin 27 09:20:06 node-7c87 nft[631]:                 iif { "lan0", "wifi0" } udp dport 5353 ip daddr 224.0.0.251 counter drop comment "Elimine les paquets mDNS"
juin 27 09:20:06 node-7c87 nft[631]:                               ^^^^^^^
juin 27 09:20:06 node-7c87 systemd[1]: nftables.service: Main process exited, code=exited, status=1/FAILURE
░░ Subject: Unit process exited

L'activation du service échoue au démarrage et les règles ne sont pas chargées. Par contre si l'utilisateur lance manuellement le service tout se passe bien. Entre temps, l'interface wifi a bien été renommée et activée.

systemctl is-active nftables.service 
failed
 
systemctl start nftables.service
 
systemctl is-active nftables.service 
active

Une solution consiste à surcharger le fichier unité par défaut pour le service nftables.service et temporiser en attendant que l'interface soit disponible.

systemctl edit nftables.service

La directive ci-dessous permet de patienter jusqu'a ce que l'interface wifi0 soit disponible :

[Service]
ExecStartPre=timeout 60s bash -c 'until ip link show wifi0; do sleep 2; done'

Après modification du fichier unité et redémarrage de la machine, le service est correctement démarré. Les derniers logs apparaissant via la commande systemctl status nftables.service montrent que la boucle until permet bien de temporiser le démarrage du service en attendant la disponibilité de l'interface.

...
juin 27 11:13:20 node-7c87 timeout[359]: Device "wifi0" does not exist.
juin 27 11:13:22 node-7c87 timeout[797]: Device "wifi0" does not exist.
juin 27 11:13:24 node-7c87 timeout[803]: Device "wifi0" does not exist.
juin 27 11:13:26 node-7c87 timeout[1410]: 3: wifi0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
juin 27 11:13:26 node-7c87 timeout[1410]:     link/ether 34:cf:f6:b2:09:8a brd ff:ff:ff:ff:ff:ff
juin 27 11:13:26 node-7c87 systemd[1]: Finished nftables.service - nftables.
Notice: journal has been rotated since unit was started, output may be incomplete.

• Attendre qu' une interface réseau soit active avant de démarrer un service avec systemd (stackexchange.com)