Je pleure pour comprendre comment nftables est foutu...
1. J'ai des règles à transformer qui ne fonctionnent pas avec iptables-nft:
iptables -A input_wan_rule -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --set                                                                                                                   
iptables -A input_wan_rule -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 30 --hitcount 5 -j DROP               
2. J'aimerai que ces règles soient appliquées en même temps que les modifications du firewall (comme firewall.user avant).
3. J'ai aussi des règles ebtables (remplacés aussi par nftables).
J'arrive bien à les appliquer à la main, mais pareil que 2., je ne sais pas comment faire pour les reappliquer à chaque fois que j'update le firewall, voir tout simplement au boot.

Bref, j'aimerai bien basculer sur le 22.03 (ne serait-ce que pour un espérer driver ath10k plus récent supportant 160MHz avec moins de bugs), mais sans firewall.user je pleure....

Bref, j'aimerai bien basculer sur le 22.03 (ne serait-ce que pour un espérer driver ath10k plus récent supportant 160MHz avec moins de bugs), mais sans firewall.user je pleure....

ben tu peux...
avec le firmware selector https://firmware-selector.openwrt.org/
tu te positionnes sur le firmware de ton routeur, ensuite tu cliques sur "Personnaliser les paquets installés", et tu remplaces les paquets NFTables par les paquets IPTables. et firewall4 par firewall3
j'ai pas testé, j'avoue, mais ca me semble faisable.

donc :

firewall4 --> firewall
kmod-nft-offload --> kmod-ipt-offload
nftables --> iptables + ip6tables

ben tu peux...
avec le firmware selector https://firmware-selector.openwrt.org/
tu te positionnes sur le firmware de ton routeur, ensuite tu cliques sur "Personnaliser les paquets installés", et tu remplaces les paquets NFTables par les paquets IPTables. et firewall4 par firewall3
j'ai pas testé, j'avoue, mais ca me semble faisable.

Je ne pense pas que ça résoudra l'absence de firewall.user. Déjà ce fichier n'est plus sauvegardé en cas de sysupgrade.
Mais en tout cas cépakon, je vais tester si j'ai le temps. Merci.

Bon, finalement une fois que l'on se rend compte que la doc openwrt sur le firewall a été mis à jour, que l'on a compris la nouvelle structure des includes de snippets, et que l'on prend un peu de temps pour comprendre comment on peut bien utiliser nftables, bah finalement c'est pas si compliqué.
Je trouve juste dommage de ne pas avoir intégré dans luci un éditeur de snippets comme remplaçants du firewall.user: en gros avoir la liste de tables + chain, un pre/post/append à chaque niveau + choix script/nftables, cliquer dessus, et pouvoir y ajouter directement les règles que l'on souhaite.
Je vais migrer bientôt d'abord ma ligne free (avec j'espère le 160MHz de fonctionnel), tester rapidement, puis ma ligne orange. Je suis d'abord obligé de recompiler en local un openwrt pour pouvoir patcher le driver bnx2x pour le support du 2.5 chez orange. J'espère ne rien casser chez free vu que ce sera à distance (je ne pourrais pas tester les 160MHz mais tant pis).
Je ferais un copié coller de mes snippets ici une fois validé de mon côté.

OpenWRT 22.03 étant maintenant sur son rythme de croisière, OpenWRT 23.05 est disponible avec une RC1.

La version 23.05.0 est là !