Излъчване на пакетния филтър nftables 0.9.9

Публикувани е изданието на пакетния филтър nftables 0.9.9, унифициращ интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове (с цел замяна на iptables, ip6tables, arptables и ebtables). В същото време е публикувано и изданието на съпътстващата библиотека libnftnl 1.2.0, предоставяща нискоуровневи API за взаимодействие с подсистемата nf_tables. Необходимите за работата на nftables 0.9.9 изменения са включени в ядрото на Linux 5.13-rc1.

В пакетa nftables влизат компоненти на пакетния филтър, работещи в пространството на потребителя, докато на ниво ядро работата е осигурена от подсистемата nf_tables, която е част от ядрото на Linux от версия 3.13. На ниво ядро се предоставя само общ интерфейс, независим от конкретния протокол, предлагащ основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока.

Правилата за филтриране и специфичните за протоколите обработващи функции се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в ядрото в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Подобен подход позволява значително да се намали размерът на кода за филтриране, който работи на ниво ядро, като всички функции за разбиране на правилата и логиката на работа с протоколите се извеждат в пространството на потребителя.

Основни нововъведения:

• Реализирана е възможност за прехвърляне на обработката на flowtable на страната на мрежовия адаптер, активирана чрез флага ‘offload’. Flowtable представлява механизъм за оптимизация на маршрута на пренасочване на пакети, при който пълното преминаване през всички вериги за обработка на правила се прилага само за първия пакет, а всички останали пакети в потока се предават директно. table ip global { flowtable f { hook ingress priority filter + 1 devices = { lan3, lan0, wan } flags offload } chain forward { type filter hook forward priority filter; policy accept; ip protocol { tcp, udp } flow add @f } chain post { type nat hook postrouting priority filter; policy accept; oifname «wan» masquerade } }
• Добавена е поддръжка за прикрепяне на флаг към таблицата за привързване към собственик, който позволява да се осигури ексклузивно използване на таблицата от процеса. При приключване на процеса свързаната с него таблица автоматично се изтрива. Информация за процеса се показва в дампа на правилата под формата на коментар: table ip x { # progname nft flags owner chain y { type filter hook input priority filter; policy accept; counter packets 1 bytes 309 } }
• Добавена е поддръжка за спецификацията IEEE 802.1ad (стекване на VLAN или QinQ), която определя средства за вмъкване на множество VLAN тагове в един Ethernet кадър. Например, за проверка на типа на външния Ethernet кадър 8021ad и vlan id=342 може да се използва конструкцията … ether type 802.1ad vlan id 342 за проверка на външния тип Ethernet кадър 8021ad/vlan id=1, вложен 802.1q/vlan id=2 и последваща инкапсулация на IP пакета: … ether type 8021ad vlan id 1 vlan type 8021q vlan id 2 vlan type ip counter
• Добавена е поддръжка за управление на ресурси с помощта на унифицирана йерархия cgroups v2. Основната разлика между cgroups v2 и v1 е приложението на обща йерархия cgroups за всички видове ресурси, вместо отделни йерархии за разпределение на CPU ресурси, регулиране на паметта и вход/изход. Например, за проверка дали родителят на сокета на първо ниво cgroupv2 съответства на маската „system.slice“, може да се използва конструкцията: … socket cgroupv2 level 1 „system.slice“
• Добавена е възможност за проверка на съставните части на SCTP пакети (необходима функционалност, която ще се появи в ядрото на Linux 5.14). Например, за проверка на наличието на chunk с тип ‘data’ и поле ‘type’: … sctp chunk data exists … sctp chunk data type 0
• Изпълнението на операцията за зареждане на правила с флага „-f“ е ускорено приблизително два пъти. Също така е ускорен изходът на списъка с правила.
• Предоставена е компактна форма за проверка на настройката на битовете във флаговете. Например, за проверка, че битовете на състоянието snat и dnat не са активирани, може да се укаже: … ct status ! snat,dnat за проверка, че битът syn е активиран в битовата маска syn,ack: … tcp flags syn / syn,ack за проверка, че битовете fin и rst не са активирани в битовата маска syn,ack,fin,rst: … tcp flags != fin,rst / syn,ack,fin,rst
• Разрешено е използването на ключовата дума „verdict“ в определенията typeof за set/map: add map x m { typeof iifname . ip protocol . th dport : verdict;}

Източник: opennet.ru