Издаване на пакетния филтър nftables 1.0.3

Публикувана версия на пакетния филтър nftables 1.0.3, която унифицира интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове (планирана е да замени iptables, ip6tables, arptables и ebtables). Необходимите за работа промени за nftables 1.0.3 са включени в ядрото на Linux 5.18.

В пакетa nftables влизат компоненти на пакетния филтър, работещи в пространството на потребителя, докато на ниво ядро работата е осигурена от подсистемата nf_tables, която е част от ядрото на Linux от версия 3.13. На ниво ядро се предоставя само общ интерфейс, независим от конкретния протокол, предлагащ основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока.

Правилата за филтриране и специфичните за протоколите обработващи функции се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в ядрото в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Подобен подход позволява значително да се намали размерът на кода за филтриране, който работи на ниво ядро, като всички функции за разбиране на правилата и логиката на работа с протоколите се извеждат в пространството на потребителя.

Основни нововъведения:

• В set-списъците е добавена поддръжка за съвпадение на имената на мрежовите интерфейси по маска, например, зададена с помощта на символа «*»: table inet testifsets { set simple_wild { type ifname flags interval elements = { «abcdef*», «othername», «ppp0» } } chain v4icmp { type filter hook input priority 0; policy accept; iifname @simple_wild counter packets 0 bytes 0 iifname { «abcdef*», «eth0» } counter packets 0 bytes 0 } }
• Реализирано е автоматично обединяване на пресичащи се елементи от set-списъка по време на работа. Преди това, при задаване на опцията «auto-merge», обединението се извършваше на етапа на обявяване на правилата, а сега се задейства и при инкрементално добавяне на нови елементи по време на работа. Например, на етапа на обявяване списъкът set y { flags interval auto-merge elements = { 1.2.3.0, 1.2.3.255, 1.2.3.0/24, 3.3.3.3, 4.4.4.4, 4.4.4.4-4.4.4.8, 3.3.3.4, 3.3.3.5 } } ще бъде преобразуван в elements = { 1.2.3.0/24, 3.3.3.3-3.3.3.5, 4.4.4.4-4.4.4.8 } а след това, ако добавите нови елементи # nft add element ip x y { 1.2.3.0-1.2.4.255, 3.3.3.6 } той ще приеме вида elements = { 1.2.3.0-1.2.4.255, 3.3.3.3-3.3.3.6, 4.4.4.4-4.4.4.8 }

  При изтриване на отделни елементи от списъка, които попадат в съществуващи елементи с диапазони, диапазонът се съкращава или разделя.

• В оптимизатора на правила, задействан при указване на опцията «-o/—optimize», е добавена поддръжка за обединяване на няколко правила за транслация на адреси (NAT) в map-списък. Например, за набор # cat ruleset.nft table ip x { chain y { type nat hook postrouting priority srcnat; policy drop; ip saddr 1.1.1.1 tcp dport 8000 snat to 4.4.4.4:80 ip saddr 2.2.2.2 tcp dport 8001 snat to 5.5.5.5:90 } }

  изпълнението на «nft -o -c -f ruleset.nft» ще доведе до преобразуване на отделните правила «ip saddr» в map-списък: snat to ip saddr . tcp dport map { 1.1.1.1 . 8000 : 4.4.4.4 . 80, 2.2.2.2 . 8001 : 5.5.5.5 . 90 }

  По подобен начин raw-изрази могат да се преобразуват в map-списъци: # cat ruleset.nft table ip x { […] chain nat_dns_acme { udp length 47-63 @th,160,128 0x0e373135363130333131303735353203 goto nat_dns_dnstc udp length 62-78 @th,160,128 0x0e31393032383939353831343037320e goto nat_dns_this_5301 udp length 62-78 @th,160,128 0x0e31363436323733373931323934300e goto nat_dns_saturn_5301 udp length 62-78 @th,160,128 0x0e32393535373539353636383732310e goto nat_dns_saturn_5302 udp length 62-78 @th,160,128 0x0e38353439353637323038363633390e goto nat_dns_saturn_5303 drop } }

  след оптимизацията ще получим map-списък: udp length . @th,160,128 vmap { 47-63 . 0x0e373135363130333131303735353203 : goto nat_dns_dnstc, 62-78 . 0x0e31393032383939353831343037320e : goto nat_dns_this_5301, 62-78 . 0x0e31363436323733373931323934300e : goto nat_dns_saturn_5301, 62-78 . 0x0e32393535373539353636383732310e : goto nat_dns_saturn_5302, 62-78 . 0x0e38353439353637323038363633390e : goto nat_dns_saturn_5303 }

• Разрешено е използването на raw-изрази в операции на конкатенация. Например: # nft add rule x y ip saddr . @ih,32,32 { 1.1.1.1 . 0x14, 2.2.2.2 . 0x1e } или table x { set y { typeof ip saddr . @ih,32,32 elements = { 1.1.1.1 . 0x14 } } }
• Добавена е поддръжка за указване на цели числови полета на заглавията в операции на конкатенация: table inet t { map m1 { typeof udp length . @ih,32,32 : verdict flags interval elements = { 20-80 . 0x14 : accept, 1-10 . 0xa : drop } } chain c { type filter hook input priority 0; policy drop; udp length . @ih,32,32 vmap @m1 } }
• Добавена е поддръжка за нулиране на TCP-опции (работи само при ядрото Linux 5.18+): tcp flags syn reset tcp option sack-perm
• Ускорено е изпълнението на командите за извеждане на вериги («nft list chain x y»).

Източник: opennet.ru