nftables规则中为conntrack添加标签的方法咨询

我来帮你解决这个问题！其实nftables里是支持给conntrack条目添加标签的，虽然手册里没给具体例子，但用ct set label表达式就能实现，刚好能匹配你不想写反向规则、只想通过标签关联计数器统计往返流量的需求。

下面给你具体的操作步骤和示例：

1. 先定义命名计数器：根据你的需求，先为正向和返回流量分别创建对应的命名计数器，方便后续统计：

# 比如统计HTTP流量的正向包/字节数
add counter inet filter http_forward_counter
# 统计对应HTTP流量的返回包/字节数
add counter inet filter http_return_counter

2. 在正向规则中给conntrack打标签：当匹配到新的连接请求时，给对应的conntrack条目添加唯一标签，同时关联正向计数器：

# 以HTTP入站流量为例，匹配新连接时打标签并统计正向流量
add rule inet filter input tcp dport 80 ct state new ct set label "http_traffic" counter name http_forward_counter accept

这里的"http_traffic"是自定义的标签字符串，你可以给不同的规则设置不同的标签（比如ssh_traffic、dns_traffic），用来区分不同的流量类型。

3. 通过标签匹配返回流量并统计：对于返回的established状态流量，直接通过匹配conntrack标签来关联对应的返回计数器，不用再写反向的端口规则：

# 匹配带有http_traffic标签的established连接返回流量，统计返回数据
add rule inet filter output ct state established ct label "http_traffic" counter name http_return_counter accept

原理很简单：标签是附加在conntrack连接条目上的，只要这个连接处于established状态，往返的数据包都会关联这个标签。这样你就不用为每条规则都编写反向统计规则，只需要通过标签就能精准对应到原始规则的返回流量，完成统计需求。

备注：内容来源于stack exchange，提问作者user283584wc