#60373 – pve-firewall: переехать с legacy ebtables на iptables-nft

Bug 60373 - pve-firewall: переехать с legacy ebtables на iptables-nft

Summary: pve-firewall: переехать с legacy ebtables на iptables-nft

Status:	RESOLVED FIXED

Alias:	None

Product:	Sisyphus
Classification:	Development
Component:	pve-firewall (show other bugs)
Version:	unstable
Hardware:	all Linux

Importance:	P5 normal
Assignee:	Alexey Shabalin
QA Contact:	qa-sisyphus

URL:
Keywords:

Depends on:
Blocks:

Reported:	2026-09-02 19:54 MSK by Anton Farygin
Modified:	2026-09-03 04:02 MSK (History)
CC List:	4 users (show)

See Also:

Attachments
Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.

Description

Anton Farygin 2026-09-02 19:54:04 MSK

pve-firewall вызывает ebtables-restore / ebtables-save по имени. На ALT эти бинарники принадлежат пакету ebtables (legacy sockopt/xtables). Пакет iptables-nft (ebtables-nft, ebtables-nft-restore) в зависимостях нет, alternatives на ALT нет (update-alternatives → /bin/true, #57025).

Начиная с ядра 6.18 CONFIG_BRIDGE_NF_EBTABLES_LEGACY по умолчанию выключен, legacy-таблица filter в ядре отсутствует. Результат:

  ebtables_restore_cmdlist: The kernel doesn't support the ebtables 'filter' table.

Обход на живых узлах: установить iptables-nft и вручную направить /usr/sbin/ebtables и ebtables-restore на *-nft (симлинки rpm затрёт при обновлении ebtables). Подтверждено на Branch p11, #60357.

Просьба:

1. Requires: iptables-nft
2. Вызывать ebtables-nft-restore / ebtables-nft-save (или собственные обёртки), а не голые ebtables-restore / ebtables-save.
3. Не полагаться на alternatives.

nft-бэкенд в ядре есть (NF_TABLES_BRIDGE). Legacy ebtables ядро уводит.

См. также #60357 (p11, симптом на 6.18).

Comment 1

Repository Robot 2026-09-03 04:02:02 MSK

pve-firewall-6.0.5-alt4 -> sisyphus:

Thu Sep 03 2026 Sergey Konev <darisishe@altlinux> 6.0.5-alt4
- Use nftables-compatible ebtables tools (Closes: 60373)