Bug 60373

Summary:	pve-firewall: переехать с legacy ebtables на iptables-nft
Product:	Sisyphus	Reporter:	Anton Farygin <rider>
Component:	pve-firewall	Assignee:	Alexey Shabalin <shaba>
Status:	RESOLVED FIXED	QA Contact:	qa-sisyphus
Severity:	normal
Priority:	P5	CC:	andy, darisishe, shaba, shrek
Version:	unstable
Hardware:	all
OS:	Linux

Description

Anton Farygin 2026-09-02 19:54:04 MSK

pve-firewall вызывает ebtables-restore / ebtables-save по имени. На ALT эти бинарники принадлежат пакету ebtables (legacy sockopt/xtables). Пакет iptables-nft (ebtables-nft, ebtables-nft-restore) в зависимостях нет, alternatives на ALT нет (update-alternatives → /bin/true, #57025).

Начиная с ядра 6.18 CONFIG_BRIDGE_NF_EBTABLES_LEGACY по умолчанию выключен, legacy-таблица filter в ядре отсутствует. Результат:

  ebtables_restore_cmdlist: The kernel doesn't support the ebtables 'filter' table.

Обход на живых узлах: установить iptables-nft и вручную направить /usr/sbin/ebtables и ebtables-restore на *-nft (симлинки rpm затрёт при обновлении ebtables). Подтверждено на Branch p11, #60357.

Просьба:

1. Requires: iptables-nft
2. Вызывать ebtables-nft-restore / ebtables-nft-save (или собственные обёртки), а не голые ebtables-restore / ebtables-save.
3. Не полагаться на alternatives.

nft-бэкенд в ядре есть (NF_TABLES_BRIDGE). Legacy ebtables ядро уводит.

См. также #60357 (p11, симптом на 6.18).

Comment 1

Repository Robot 2026-09-03 04:02:02 MSK

pve-firewall-6.0.5-alt4 -> sisyphus:

Thu Sep 03 2026 Sergey Konev <darisishe@altlinux> 6.0.5-alt4
- Use nftables-compatible ebtables tools (Closes: 60373)