Comment les règles nftables utilisant des noms d'hôte devraient-elles être réécrites pour gérer plusieurs adresses ?

Pour clarifier dès le départ : ce n'est pas une réponse à votre question sur nftables. C'est pour offrir quelques autres options.

1. Si vous contrôlez entièrement la machine en question (c'est-à-dire s'il n'y a pas d'utilisateurs non dignes de confiance qui pourraient générer des requêtes NTP malveillantes), alors il n'y a pas de différence substantielle en termes de sécurité entre autoriser le trafic sortant NTP vers n'importe quel serveur et autoriser l'accès uniquement aux serveurs retournés par la requête DNS, car le pool NTP est garanti de changer ces noms d'hôtes en fonction des poids des serveurs dans le pool. Donc la solution simple est simplement d'autoriser tout le trafic sortant NTP.

2. Si vous avez des utilisateurs non dignes de confiance et que vous souhaitez sécuriser vos règles pour autoriser uniquement les adresses IP retournées par le serveur DNS du pool NTP pour ces noms spécifiques et que vous utilisez dnsmasq comme résolveur (ou êtes prêt à passer à celui-ci), alors une option pourrait être d'utiliser dnsmasq pour peupler un ipset, puis de faire référence à cet ipset dans votre règle nftables (en supposant que nftables prend en charge les ipsets). J'utilise ceci avec iptables pour limiter certains trafics sortants (par exemple HTTPS) uniquement à ces domaines que je sais vouloir utiliser, sans avoir besoin de connaître les adresses IP à l'avance.

Si vous suivez la dernière approche, utilisez des définitions d'ipset comme ceci :

ipset create ntp       hash:ip family inet  counters  # IPv4
ipset create ntp-inet6 hash:ip family inet6 counters  # IPv6

avec une option dnsmasq comme ceci :

ipset=/nixos.pool.ntp.org/ntp,ntp-inet6

Avec la configuration ci-dessus, dnsmasq ajoutera les adresses IPv4 pour les noms qu'il résout à l'ipset ntp, et les adresses IPv6 à l'ipset ntp-inet6. Ensuite, vous pouvez faire référence à ces ipsets dans vos règles. Vous pouvez également configurer un délai d'expiration sur les ipsets, mais cela est probablement déconseillé dans ce cas, car le NTP continuera d'utiliser les serveurs du pool pendant de longues périodes après la requête DNS, si la source est considérée comme stable.