nftables 怎么写基于 set 的转发规则

ip daddr {180.97.34.94,180.97.34.96} redirect to :1080

试试呢

@rshun 这个没有用到 set ，不过就算是写死 IP 好像也不行，我是这么尝试的：
```
root@OpenWrt:~# nft ip daddr 111.111.111.111 redirect to :1080
Error: transport protocol mapping is only valid after transport protocol match
ip daddr 104.244.42.65 redirect to :1080
~~~~~~~~ ^^^^
```
貌似匹配 IP 不能重定向去端口。

@lifanxi 我是放在配置文件里面的，你把 IP 写在一个文件里面
```
define test_list={
111.111.111.111,
222.222.222.222
}
```

然后在 nft 的配置文件里面
```
include "/etc/nftables.d/test.nft"

table inet clash {
chain prerouting {
type nat hook prerouting priority 0; policy accept;
ip daddr $test_list redirect to :1080
}
}
```

试了一下，一模一样照抄还是不行，还是报一样的错。在 OpenWrt 22.02.2 上和 Debian 11 上都是这样，nftables 的版本是 0.9.8 ，内核是 5.10 。
```
/tmp/1.nft:8:34-37: Error: transport protocol mapping is only valid after transport protocol match
ip daddr $test_list redirect to :1080
~~~~~~~~ ^^^^
```

@rshun 继续求教。

试了一下，一模一样照抄还是不行，还是报一样的错。在 OpenWrt 22.02.2 上和 Debian 11 上都是这样，nftables 的版本是 0.9.8 ，内核是 5.10 。
```
/tmp/1.nft:8:34-37: Error: transport protocol mapping is only valid after transport rotocol match
ip daddr $test_list redirect to :1080
~~~~~~~~ ^^^^
```

@lifanxi

ip daddr $test_list meta l4proto {tcp,udp} redirect to :1080

@rshun
多谢指点，虽然还是没有完全搞明白，不过我照猫画虎把我要的功能搞定了。

方法是在 /usr/share/nftables.d/ruleset-post 下加一个.nft 文件，内容如下：
table inet sometable {
set test {
type ipv4_addr
size 65536
}

chain prerouting {
type nat hook prerouting priority 0; policy accept;
ip daddr @test meta l4proto {tcp,udp} redirect to :1080
}
}

然后重启 firewall 就可以了。

不能直接写在 /etc/nftables.d 中是因为那下面的文件会被 include 在 fw4 这个 table 里。即使我去掉外层的 table 也不行，原因我还没搞清楚。

dnsmasq 的配置类似于这样（ dnsmasq 版本必须手工更新到 2.87 或以上）：

server=/somedomain.com/127.0.0.1#5300
nftset=/somedomain.com/4#inet#sometable#test

这么写只支持 IPv4 ，如果要支持 IPv6 方法类似。

#!/usr/sbin/nft -f

flush ruleset

include "/etc/nftables.d/test.nft"

table inet clash {
chain prerouting {
type nat hook prerouting priority 0; policy accept;
ip daddr $test_list redirect to :1080
}
}

@lifanxi 楼主，你好，我遇到你一样的问题了。想在 debian 11 上面搞透明，也是想用 ipset 来管理 gfw list ，可否留下电报，我请教一下？
目前用 nftables 透明是通了，但是不能智能分流，国内国外是分开的。我之前搞的 iptables 是只走 list 的那种。

谢谢！

@lifanxi 去掉 table 后 include 在 fw4 这个 table 里工作也正常，我今天刚由 iptable 转到 nftable 。

@nbweb 我的透明方案是 mosdns+nftables+v2ray

@sxttwyf
@lifanxi

两位大佬，帮看下这个问题： https://v2ex.com/t/996702
感谢！