Издание на пакетния филтър nftables 0.9.3

Публикувано пускане на пакетния филтър nftables 0.9.3, развиваващ се като заместител на iptables, ip6tables, arptables и ebtables, чрез унификация на интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове. Пакетът nftables включва компоненти на филтъра за пакети, работещи в потребителското пространство, докато на ниво ядрото задачите се извършват от подсистемата nf_tables, налична в ядрото на Linux от версия 3.13. Необходимите промени за работа с версия nftables 0.9.3 са включени в бъдещата версия на ядрото на Linux 5.5.

На ядрото се предоставя само общ интерфейс, независим от конкретния протокол и осигуряващ основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока. Логиката на филтриране и специфичните за протоколите обработвачи се компилират в байткод в потребителското пространство, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Този подход позволява значително намаляване на размера на кода за филтриране, работещ на ядрото, и извеждане на всички функции за анализ на правилата и логика за работа с протоколите в потребителското пространство.

Основни нововъведения:

• Поддръжка за определяне на пакети по време. Може да се зададат диапазони от време и дати, в които правилото ще влезе в сила, и да се конфигурира активирането му в определени дни от седмицата. Добавена е и нова опция „-T“ за извеждане на епохално време в секунди.

  meta time \»2019-12-24 16:00\» — \»2020-01-02 7:00\»
  meta hour \»17:00\» — \»19:00\»
  meta day \»Fri\»

• Поддръжка за възстановяване и запазване на етикети SELinux (secmark).

  ct secmark set meta secmark
  meta secmark set ct secmark

• Поддръжка на списъци map за synproxy, позволяващи определяне на повече от едно правило на бекенда.

  table ip foo {
  synproxy https-synproxy {
  mss 1460
  wscale 7
  timestamp sack-perm
  }

  synproxy other-synproxy {
  mss 1460
  wscale 5
  }

  chain pre {
  тип филтър кука предварително маршрутизиране приоритет raw; политика accept;
  tcp dport 8888 tcp флагове syn notrack
  }

  chain bar {
  тип филтър кука напред приоритет филтър; политика accept;
  ct state invalid,untracked synproxy name ip saddr map { 192.168.1.0/24 : «https-synproxy», 192.168.2.0/24 : «other-synproxy» }
  }
  }

• Възможност за динамично премахване на елементи от набори set от правила за обработка на пакети.

  nft add rule … delete @set5 { ip6 saddr . ip6 daddr }

• Поддръжка за определяне на VLAN по идентификатор и протокол, зададени в метаданните на интерфейса на мрежовия мост;

  meta ibrpvid 100
  meta ibrvproto vlan

• Опцията „-t“ („—terse“) за изключване на елементи от набори set при показване на правила. При изпълнение на „nft -t list ruleset“ ще бъде изведено:

  таблица ip x {
  set y {
  type ipv4_addr
  }
  }

  А при „nft list ruleset“

  таблица ip x {
  set y {
  type ipv4_addr
  elements = { 192.168.10.2, 192.168.20.1,
  192.168.4.4, 192.168.2.34 }
  }
  }

• Възможност за посочване на повече от едно устройство в вериги netdev (работи само с ядро 5.5) за обединяване на типови правила за филтриране.

  add table netdev x
  add chain netdev x y { \
  type filter hook ingress devices = { eth0, eth1 } priority 0;
  }

• Възможност за добавяне на описания на типове данни.

  # nft describe ipv4_addr
  datatype ipv4_addr (IPv4 address) (basetype integer), 32 bits

• Възможност за изграждане на CLI интерфейс с библиотеката linenoise вместо libreadline.

  ./configure —with-cli=linenoise

Източник: opennet.ru