Артуро Борреро (Arturo Borrero), разработчик на Debian, част от ядрото на проекта Netfilter и отговарящ за пакетите, свързани с nftables, iptables и netfilter в Debian, предлага следващото значително издание на дистрибуцията Debian 11 да използва nftables по подразбиране. При одобрение на предложението пакетите с iptables ще бъдат преместени в категорията на необязателните опции, които не са част от основната инсталация.
Пакетният филтър Nftables е забележителен с унификацията на интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове. Nftables предоставя само общ интерфейс на ниво ядро, независим от конкретен протокол, осигуряващ основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока. Логиката на филтриране и специфичните за протоколите обработвачи се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в специална виртуална машина, подобна на BPF (Berkeley Packet Filters).
В Debian 11 също е предложено да се използва динамичната междусетейна стена firewalld, оформена като обвивка над nftables. Firewalld работи като фонов процес, позволяващ динамично изменение на правилата за филтриране на пакети чрез DBus, без нужда от презареждане на правилата и без прекъсване на установените връзки. За управление на междусетейната стена се използва утилитата firewall-cmd, която при създаването на правила се основава не на IP адреси, мрежовите интерфейси и номера на портовете, а на имената на услугите (например, за да се отвори достъп до SSH, трябва да се изпълни „firewall-cmd —add —service=ssh“, за да се затвори SSH — „firewall-cmd —remove —service=ssh“).
Източник: opennet.ru
