Incus 6.12版本中nftables防火墙规则解析问题分析

在Incus 6.12版本中，当系统使用nftables作为防火墙后端且规则集中已存在inet_service类型集合时，网络初始化会出现失败的情况。这个问题主要发生在网络桥接设备incusbr0的创建过程中。

问题现象

系统日志中会显示如下错误信息：

Failed initializing network" err="Failed starting: Failed clearing firewall: Error in deletion of address sets: Failed to parse nft command output: Unsupported element type in NFTables set: 22

技术背景

Incus在初始化网络时会执行以下关键操作：

1. 通过nft -j list sets命令获取当前系统中所有的nftables集合
2. 解析JSON输出以识别需要管理的集合
3. 清理旧的防火墙规则

问题出现在解析阶段，当规则集中包含inet_service类型的集合时，解析器无法正确处理其中的数值型元素（如端口号22、80等）。

问题根源

通过分析nftables的JSON输出可以看到，inet_service类型的集合会以纯数字形式存储端口号：

{
  "set": {
    "family": "inet",
    "name": "in_tcp_accept",
    "type": "inet_service",
    "elem": [22, 222]
  }
}

而Incus 6.12版本的解析器在处理这种数值型元素时存在兼容性问题，导致解析失败。

解决方案

Incus开发团队已经通过三个关键提交修复了这个问题：

1. 改进了nftables JSON输出的解析逻辑，使其能够正确处理各种数据类型
2. 优化了集合删除逻辑，确保只删除Incus管理的规则集
3. 增强了错误处理机制，提高系统的健壮性

用户建议

对于遇到此问题的用户，可以采取以下临时解决方案：

1. 临时清空nftables规则集后再启动Incus服务
2. 升级到已修复该问题的Incus版本

值得注意的是，Incus只会删除标记为"incus"的规则集，不会影响用户自定义的其他防火墙规则。这一设计保证了系统管理的安全性和用户配置的独立性。

总结

这个问题展示了开源基础设施软件在兼容不同系统配置时可能遇到的挑战。通过持续改进解析逻辑和增强错误处理能力，Incus团队确保了系统在各种环境下的稳定运行。对于系统管理员而言，理解这类问题的本质有助于更快地定位和解决问题。