nftables считывает счетчики от пользователя без полномочий root

Я установил некоторые правила брандмауэра, используя nftables. Они включают некоторые счетчики данных для некоторых типов трафика, которые мне интересно отслеживать.

Теперь я хотел бы, чтобы приложение читало эти счетчики, в идеале используя libnftnl, работающий от имени пользователя без полномочий root. Но первоначальное тестирование с нфт указывает, что я не могу читать счетчики nftables как пользователь без полномочий root.

Как корень:

$ nft счетчик списка my_table my_counter
IP-адрес таблицы my_table {
    счетчик мой_счетчик {
        пакеты 123 байта 12345
    }
}

Как не root:

$ nft счетчик списка my_table my_counter
Ошибка: Нет такого файла или каталога
список счетчиков my_table my_counter
             ^^^^^^^^

Есть ли способ прочитать счетчики nftables от имени пользователя без полномочий root? Возможно, если некоторые Возможности Linux установлен?

Если вы хотите более ограниченный конфиг. Возможно, используйте судо. Вы можете установить правило, разрешающее только одну команду.

craig_mcqueen ALL = NOPASSWD: /usr/sbin/nft list counter my_table my_counter

Похоже, что возможности Linux CAP_NET_ADMIN позволяет считывать счетчик.

Например, запустите оболочку для пользователя без полномочий root с помощью CAP_NET_ADMIN:

capsh --caps="cap_net_admin+eip cap_setpcap,cap_setuid,cap_setgid+ep" --keep=1 --user=myuser --addamb=cap_net_admin -- -c "sh"

Из той оболочки, /usr/sbin/nft список счетчиков my_table my_counter проходит успешно.

Но это также позволяет делать другие вещи, такие как изменение правил брандмауэра, добавление новых счетчиков или удаление существующих счетчиков.