Издаване на пакетния филтър nftables 1.1.6

Публикуван е пакетен филтър nftables 1.1.6, който унифицира интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове (предназначен за замяна на iptables, ip6table, arptables и ebtables). Същевременно е публикувана и свързана библиотека libnftnl 1.3.1, предоставяща нискоуровнев API за взаимодействие с подсистемата nf_tables.

В пакетa nftables влизат компоненти на пакетния филтър, работещи в пространството на потребителя, докато на ниво ядро работата е осигурена от подсистемата nf_tables, която е част от ядрото на Linux от версия 3.13. На ниво ядро се предоставя само общ интерфейс, независим от конкретния протокол, предлагащ основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока.

Правилата за филтриране и специфичните за протоколите обработващи функции се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в ядрото в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Подобен подход позволява значително да се намали размерът на кода за филтриране, който работи на ниво ядро, като всички функции за разбиране на правилата и логиката на работа с протоколите се извеждат в пространството на потребителя.

Основни промени:

• Осигурена е пълна поддръжка на шаблони за леки тунели, като vxlan, geneve и erspan: table netdev global { tunnel t1 { id 10 ip saddr 192.168.2.10 ip daddr 192.168.2.11 sport 1025 dport 20020 ttl 1 erspan { version 1 index 2 } } tunnel t2 { id 10 ip saddr 192.168.3.10 ip daddr 192.168.3.11 sport 1025 dport 21021 ttl 1 erspan { version 1 index 2 } } chain in { type filter hook ingress device veth0 priority 0; tunnel name ip saddr map { 10.141.10.12 : «t1», 10.141.10.13 : «t2» } fwd to erspan1 } } Преди зареждането на правилата трябва да се създаде мрежови интерфейс erspan1: ip link add dev erspan1 type erspan external
• Добавена е поддръжка на маски в имената на мрежови интерфейси в обработчиците netdev, например, за добавяне на основна верига във филтъра за входящ трафик за всички устройства vlan, може да се посочи: table netdev t { chain c { type filter hook ingress devices = { «vlan*», «veth0» } priority filter; policy accept; } }
• На системите с Linux ядро 6.18+ е реализирана поддръжка за предаване на L2 кадри в интерфейса на мрежовите мостове за локална обработка, например, за насочване на всички Ethernet кадри за MAC адреса de:ad:00:00:be:ef към IP стека, може да се посочи: table bridge global { chain pre { type filter hook prerouting priority 0; policy accept; ether daddr de:ad:00:00:be:ef meta pkttype set host ether daddr set meta ibrhwaddr accept } }
• Добавена е нова инфраструктура за fuzzing тестване с помощта на инструменти afl++ (american fuzzy lop++), включвана на етап на компилация чрез «.\/configure —with-fuzzer».

Източник: opennet.ru