Излязоха наяве пакетния филтър nftables 1.0.1

Публикуван е пакетният филтър nftables 1.0.1, който унифицира интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове (с цел замяна на iptables, ip6tables, arptables и ebtables). Необходимите за работата изменения за nftables 1.0.1 са включени в ядрото на Linux 5.16-rc1.

В пакетa nftables влизат компоненти на пакетния филтър, работещи в пространството на потребителя, докато на ниво ядро работата е осигурена от подсистемата nf_tables, която е част от ядрото на Linux от версия 3.13. На ниво ядро се предоставя само общ интерфейс, независим от конкретния протокол, предлагащ основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока.

Правилата за филтриране и специфичните за протоколите обработващи функции се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в ядрото в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Подобен подход позволява значително да се намали размерът на кода за филтриране, който работи на ниво ядро, като всички функции за разбиране на правилата и логиката на работа с протоколите се извеждат в пространството на потребителя.

Основни нововъведения:

• Намалено е потреблението на памет при зареждане на големи set- и map-списъци.
• Ускорено е презареждането на set- и map-списъци.
• Ускорено извлечение выбранных таблиц и цепочек из больших наборов правил. Например, время выполнения команды «nft list ruleset» для отображения набора правил с 100 тысячами строк составляет 3.049 секунды, а при извлечении только таблиц nat и filter («nft list table nat», «nft list table filter») сокращается до 1.969 и 0.697 секунд.
• Ускорено выполнение запросов с опцией «—terse» при обработке правил с большими списками set и map.
• Добавлена возможность фильтрации трафика из цепочки «egress», обрабатываемого на том же уровне, что egress-обработчик в цепочке netdev (hook egress), то есть на стадии, когда драйвер получает пакет от сетевого стека ядра. table netdev filter { chain egress { type filter hook egress devices = { eth0, eth1 } priority 0; meta priority set ip saddr map { 192.168.10.2 : abcd:2, 192.168.10.3 : abcd:3 } } }
• Разрешено е сопоставянето и изменението на байтове в заглавната част и съдържанието на пакета по зададено смещение. # nft add rule x y @ih,32,32 0x14000000 counter # nft add rule x y @ih,32,32 set 0x14000000 counter

Източник: opennet.ru