O to chodzi, że ni hu hu nie chce działać to co chat pluje. To nie działa, to następne i następne i w kółko. Mój limit wiedzy jeżeli chodzi o NFT jest bliski zeru.

Jak dodam ręcznie poniższe to działa
nft 'add table inet filter'
nft 'add chain inet filter forward { type filter hook forward priority 0; }'
nft 'add rule inet filter forward ip saddr 192.168.0.65 ct state new ct count over 200 counter drop'

Jak chce ustawić na stałe, to się pluje
config rule
    option name 'Limit-192.168.0.65'
    option src 'lan'
    option src_ip '192.168.0.65'
    option dest 'wan'
    option target 'DROP'
    option proto 'all'
    option family 'ipv4'
    option extra '-m connlimit --connlimit-above 200 --connlimit-mask 32'

fw4 check daje
Section @rule[9] (Limit-192.168.0.65) option 'extra' is not supported by fw4
Ruleset passes nftables check.

I tak w kółko Macieju, wszystkie te chaty są durne w tej kwestii.

Nie zadziała dodanie w  /etc/config/firewall
tego:

table inet filter {
    chain forward {
        type filter hook forward priority 0; policy accept;
        ip saddr 192.168.0.65 ct state new ct count over 200 counter drop
    }
}

Dodanie do /etc/firewall.user

#!/bin/sh
# Limit połączeń z 192.168.0.65
nft add table inet filter 2>/dev/null || true
nft add chain inet filter forward { type filter hook forward priority 0; policy accept; } 2>/dev/null || true
nft add rule inet filter forward ip saddr 192.168.0.65 ct state new ct count over 200 counter drop 2>/dev/null || true

oraz

chmod +x /etc/firewall.user
/etc/init.d/firewall restart

Działa jak trzeba i po zrobieniu nft list ruleset | grep 192.168.0.65

mamy

root@OpenWrt:~# nft list ruleset | grep 192.168.0.65
        ip saddr 192.168.0.65 tcp flags syn limit rate 50/second burst 5 packets accept
        ip saddr 192.168.0.65 tcp flags syn drop
        ip saddr 192.168.0.65 ct state new ct count over 200 counter packets 1817 bytes 1429900 drop
        ip saddr 192.168.0.65 ct state new ct count over 200 counter packets 0 bytes 0 drop