如何通过Nftables配置基于时间的规则控制外包人员特权访问窗口-linux运维-PHP中文网

nftables 的 time 表达式可实现分钟级精度的基于时间的访问控制，需内核 4.15+ 支持，通过 hour 和 week day 指定时段，结合 ip 匹配限制外包人员访问 ssh 等服务，并支持 set 管理多 ip 及持久化配置。

如何通过nftables配置基于时间的规则控制外包人员特权访问窗口

可以通过 nftables 的 time 表达式实现基于时间的访问控制，限制外包人员在指定时间段内才可访问特定服务（如 SSH、Web 管理后台等）。nftables 本身不依赖外部服务或 cron，其 time 模块直接由内核支持，精度为分钟级，稳定可靠。

nftables 的 time 功能自 Linux 内核 4.15+ 原生支持，无需额外加载模块。但需确保当前系统内核版本满足要求：

运行 uname -r 查看内核版本，若低于 4.15，需升级内核
执行 nft list ruleset 后无报错，且能正常添加含 time 的规则，即表示可用
若提示 unknown keyword 'time'，说明内核或 nftables 版本过旧（如 RHEL 8.4 之前默认禁用），需更新或启用 CONFIG_NF_TABLES_INET=y 配置

以限制外包人员仅能在工作日 9:00–18:00 访问 SSH（22端口）为例，假设其 IP 固定为 203.0.113.42：

先创建专用链便于管理：nft add chain inet filter outsourced_ssh '{ type filter hook input priority 0; }'
插入带时间条件的放行规则：nft add rule inet filter input ip saddr 203.0.113.42 tcp dport 22 time hour 09:00-18:00 week day { mon, tue, wed, thu, fri } accept
紧随其后加一条拒绝规则（避免匹配失败后落入默认策略）：nft add rule inet filter input ip saddr 203.0.113.42 tcp dport 22 drop

注意：time 表达式必须写在匹配条件末尾；hour 支持 HH:MM 格式（24小时制），week day 支持英文全称或缩写（mon–fri 也可）；多时段可用逗号分隔，如 hour 09:00-12:00,13:30-17:45。

若外包团队有多个 IP，推荐使用 set 提升可维护性：

创建带超时的动态地址集：nft add set inet filter outsourced_ips { type ipv4_addr; flags timeout; }
添加成员并设置存活期（例如 24 小时）：nft add element inet filter outsourced_ips { 203.0.113.42 timeout 24h, 203.0.113.43 timeout 24h }
在规则中复用该集合：nft add rule inet filter input ip saddr @outsourced_ips tcp dport 22 time hour 08:30-17:30 accept

这种方式便于批量增删 IP，也支持自动过期，避免长期残留无效授权。