В Ubuntu 20.10 е планирано преминаване от iptables на nftables

Следвайки Fedora и Debian разработчици на Ubuntu да заменят клона „master“ с „devel“. към преминаване на пакетния филтър по подразбиране nftables.
За запазване на съвместимостта се предлага използването на пакет iptables-nft, предоставящ инструменти с идентичен синтаксис на командния ред, както в iptables, но трансформиращ получените правила в байткод nf_tables. Промяната е планирана за осенния релиз на Ubuntu 20.10.

Това е вторият опит за преминаване на Ubuntu към nftables. Първият опит беше предприет миналата година, но беше отхвърлен поради несъвместимост с инструментите LXD. Сега в LXD вече има има вградена поддръжка за nftables и той може да работи с нов бекенд за пакетна филтрация. За потребителите, на които не им достига съвместимост, остава има възможност за инсталиране на класическите инструменти iptables, ip6tables, arptables и ebtables с стария бекенд.

Напомняме, че в пакетния филтър nftables са унифицирани интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове. Пакетът nftables включва компоненти на пакетния филтър, работещи в потребителското пространство, докато на ниво ядро функционира подсистемата nf_tables, която е част от ядрото на Linux от версия 3.13. На ниво ядро се предоставя само общ интерфейс, който не зависи от конкретния протокол и предлага основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока.

Правилата за филтрация и специфичните за протоколите обработвачи се компилират в байткод в потребителското пространство, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в ядрото в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Този подход позволява значително намаляване на размера на кода за филтрация, работещ в ядрото, и пренасяне на всички функции за анализ на правилата и логиката за работа с протоколите в потребителското пространство.

Източник: opennet.ru