Издаване на пакетния филтър nftables 0.9.2

Се състоя релийз на пакетния филтър nftables 0.9.2, развивайки се като заместител на iptables, ip6tables, arptables и ebtables чрез унификация на интерфейсите за филтрация на пакети за IPv4, IPv6, ARP и мрежови мостове. В пакета nftables влизат компоненти за филтриране на пакети, работещи в пространството на потребителя, докато на ниво ядро работата се осигурява от подсистемата nf_tables, включена в състава на ядрото на Linux от версия 3.13. Необходимите за функционирането на nftables 0.9.2 изменения при включването в ядрото на Linux 5.3.

На ядрото се предоставя само общ интерфейс, независим от конкретния протокол и осигуряващ основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока. Логиката на филтриране и специфичните за протоколите обработвачи се компилират в байткод в потребителското пространство, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Този подход позволява значително намаляване на размера на кода за филтриране, работещ на ядрото, и извеждане на всички функции за анализ на правилата и логика за работа с протоколите в потребителското пространство.

Основни нововъведения:

• Възможност за проверка на номера на порта от заглавката на пакета на транспортно ниво, независимо от типа на протокол 4 ниво:

  add rule x y ip protocol { tcp, udp } th dport 53

• Поддръжка за възстановяване на времето за живот на набор от елементи:

  add element ip x y { 1.1.1.1 timeout 30s expires 15s }

• Възможността за проверка на отделни опции (lsrr, rr, ssrr и ra) от пакети IPv4:

  add rule x y ip option rr exists drop

  За опции за маршрутизация е възможна проверка на полетата type, ptr, length и addr:

  добави правило x y ip опция rr тип 1 изтрий

• В изразите сега е допустимо указване на мрежови префикси и диапазони от адреси:

  iifname ens3 snat до 10.0.0.0/28
  iifname ens3 snat до 10.0.0.1-10.0.0.15

• Поддръжка на използването на променливи в определенията за вериги:

  определи default_policy = accept
  добави верига ip foo bar { тип филтър кука входящ приоритет филтър; политика $default_policy }

• Указването на приоритета на веригата сега може да се извършва както в числово, така и в символно представяне:

  определи prio = филтър
  определи prionum = 10
  определи prioffset = «филтър — 150»

  добави таблица ip foo
  добави верига ip foo bar { тип филтър кука входящ приоритет $prio; }
  добави верига ip foo ber { тип филтър кука входящ приоритет $prionum; }
  добави верига ip foo bor { тип филтър кука входящ приоритет $prioffset; }

• Реализирана е поддръжка на модула synproxy. Например, за защита на TCP порта 8888 под synproxy може да се използва следният набор от правила:

  таблица ip x {
  chain y {
  тип филтър кука предварително маршрутизиране приоритет raw; политика accept;
  tcp dport 8888 tcp флагове syn notrack
  }

  верига z {
  тип филтър кука напред приоритет филтър; политика accept;
  tcp dport 8888 ct state invalid,untracked synproxy mss 1460 \
  wscale 7 timestamp sack-perm ct state invalid drop
  }
  }

• За определяне в таблицата conntrack на очакваните допълнителни свързвания, свързани с текущото свързване, които се използват в протоколите и сценарии, изискващи установяване на множество свързвания, сега могат да се определят политики чрез стандартни набори от правила. Например, за определяне на очакваните последващи свързвания към TCP порт 8888 следващите свързвания към порт 5432 могат да се укажат следните правила:

  таблица x {
  ct expectation myexpect {
  protocol tcp
  dport 5432
  timeout 1h
  size 12
  l3proto ip
  }

  chain input {
  type filter hook input priority 0;
  ct state new tcp dport 8888 ct expectation set myexpect
  ct state established,related counter accept
  }
  }

Източник: opennet.ru