Издание на пакетния филтър nftables 1.0.5

Публикуван е release на пакетния филтър nftables 1.0.5, който унифицира интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове (цели да замести iptables, ip6table, arptables и ebtables). В същото време е публикувана и свързаната библиотека libnftnl 1.2.3, която предоставя нискониво API за взаимодействие с подсистемата nf_tables.

В пакетa nftables влизат компоненти на пакетния филтър, работещи в пространството на потребителя, докато на ниво ядро работата е осигурена от подсистемата nf_tables, която е част от ядрото на Linux от версия 3.13. На ниво ядро се предоставя само общ интерфейс, независим от конкретния протокол, предлагащ основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока.

Правилата за филтриране и специфичните за протоколите обработващи функции се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в ядрото в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Подобен подход позволява значително да се намали размерът на кода за филтриране, който работи на ниво ядро, като всички функции за разбиране на правилата и логиката на работа с протоколите се извеждат в пространството на потребителя.

Основни промени:

• В оптимизатора на правила, който се извиква при задаване на опцията «-o/—optimize», са решени проблемите с обединението на правила, map- и set-списъци. # cat ruleset.nft table ip x { chain y { type nat hook postrouting priority srcnat; policy drop; ip saddr 1.1.1.1 tcp dport 8000 snat to 4.4.4.4:80 ip saddr 2.2.2.2 tcp dport 8001 snat to 5.5.5.5:90 } } # nft -o -c -f ruleset.nft Merging: ruleset.nft:4:3-52: ip saddr 1.1.1.1 tcp dport 8000 snat to 4.4.4.4:80 ruleset.nft:5:3-52: ip saddr 2.2.2.2 tcp dport 8001 snat to 5.5.5.5:90 into: snat to ip saddr . tcp dport map { 1.1.1.1 . 8000 : 4.4.4.4 . 80, 2.2.2.2 . 8001 : 5.5.5.5 . 90 }
• При обединението на ethernet и vlan елементите е осигурено определяне на динамичен set-списък, попълван на базата на параметрите на пътя на пакета. add table netdev x add chain netdev x y { type filter hook ingress device enp0s25 priority 0; } add set netdev x macset { typeof ether daddr . vlan id; flags dynamic,timeout; } add rule netdev x y update @macset { ether daddr . vlan id timeout 60s } add rule netdev x y ether saddr . vlan id { 0a:0b:0c:0d:0e:0f . 42, 0a:0b:0c:0d:0e:0f . 4095 } counter accept
• Налагането на показването на правила с map-списъци, съдържащи маски в имената на интерфейсите, е реализирано. table inet filter { chain INPUT { iifname vmap { «eth0» : jump input_lan, «wg*» : jump input_vpn } } chain input_lan {} chain input_vpn {} }
• Отстранени са регресивни промени, които водят до неправилен лексикален анализ на валидни правила.
• Решени са проблемите с бавната обработка и автоматичното обединение на големи списъци с елементи, които определят интервали от стойности.
• Отстранено е аварийното завършване при добавяне на елементи в некоректен set-списък.

Източник: opennet.ru