<html>

    <head>

      <base href="https://bugzilla.netfilter.org/" />

    </head>

    <body>

      <p>

        <div>

            <b><a class="bz_bug_link 

          bz_status_RESOLVED  bz_closed"

   title="RESOLVED INVALID - nft masquerade commands make table nat unreadable by iptables-nft"

   href="https://bugzilla.netfilter.org/show_bug.cgi?id=1748#c2">Comment # 2</a>

              on <a class="bz_bug_link 

          bz_status_RESOLVED  bz_closed"

   title="RESOLVED INVALID - nft masquerade commands make table nat unreadable by iptables-nft"

   href="https://bugzilla.netfilter.org/show_bug.cgi?id=1748">bug 1748</a>

              from <span class="vcard"><a class="email" href="mailto:ts@ferncast.de" title="Thomas Schlien <ts@ferncast.de>"> <span class="fn">Thomas Schlien</span></a>

</span></b>

        <pre>Hi Phil,

thanks for the fast answer. I understand now that one should not mix up the

two, but I can give you one example on our system where I didn't even knew that

a rule was added via nft.

We have a server where some VMs are running in libvirt/QEMU/KVM and some in

docker. One of the docker services is mailcow which itself starts 18 docker

container. One of them is netfilter container which handles all the firewall

rules settings. Unfortunately mailcow checks if nftables is installed on the

host and if so the nft tool is used to handle the necessary rule injection in

the firewall. This way I didn't even noticed that the table was "poisoned".

Isn't the idea to replace iptables by nftables one day? I think at least a lot

of people do believe this as the mailcow example shows. Also the description of

nftables on netfilter.org homepage leads to this assumption. But if this is the

case there will be a transition phase where both tools will be used in

parallel. So how should this be handled?

Btw. other rules that I inject, e.g., via `/usr/sbin/nft insert rule filter

LIBVIRT_FWI oifname kvmnat meta l4proto 6 ip daddr ${GUEST_IP} tcp dport

${GUEST_PORT_SSH} accept comment \"Accept SSH traffic\"` are handled fine by

iptables-nft.

Best regards,

Thomas</pre>

        </div>

      </p>

      <hr>

      <span>You are receiving this mail because:</span>

      <ul>

          <li>You are watching all bug changes.</li>

      </ul>

    </body>

</html>