Издание на пакетния филтър nftables 1.1.0

Публикуван е пакетният филтър nftables 1.1.0, който унифицира интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове (целта е да замени iptables, ip6table, arptables и ebtables). Значителната промяна на номера на версията не е свързана с драстични промени, а просто е следствие от последователното продължаване на номерирането в десетичната система (предишната версия беше 1.0.9). Също така е публикувана версия на придружаващата библиотека libnftnl 1.2.7, която предоставя ниско ниво на API за взаимодействие със системата nf_tables.

В пакетa nftables влизат компоненти на пакетния филтър, работещи в пространството на потребителя, докато на ниво ядро работата е осигурена от подсистемата nf_tables, която е част от ядрото на Linux от версия 3.13. На ниво ядро се предоставя само общ интерфейс, независим от конкретния протокол, предлагащ основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока.

Правилата за филтриране и специфичните за протоколите обработващи функции се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото чрез интерфейса Netlink и се изпълнява в ядрото в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Подобен подход позволява значително да се намали размерът на кода за филтриране, който работи на ниво ядро, като всички функции за разбиране на правилата и логиката на работа с протоколите се извеждат в пространството на потребителя.

Основни промени:

• В map-изразите е добавена поддръжка на променливи: define dst_map = { ::1234 : 5678 } table ip6 nat { map dst_map { typeof ip6 daddr : tcp dport; elements = $dst_map } chain prerouting { ip6 nexthdr tcp redirect to ip6 daddr map @dst_map } }
• Добавена е поддръжка на VLAN: ip saddr 10.1.1.1 icmp type echo-request vlan id set 321 # payload ether type 8021ad vlan id 10 vlan type 8021q vlan id 100 vlan type ip accept
• За изразите «log» е задействан нов стринг препроцесор с поддръжка на променливи: define message=»test» log prefix «my $message»
• При изчисляването на стойността на израза «meta hour» е реализирана обработка на отрицателно отклонение в часовата зона, зададена чрез променливата на средата TZ: TZ=UTC-4 nft add rule x y meta hour «22:00»
• Обезпечено е преобразуването на реда на байтовете при използване на изрази ct и meta, както и при операции по сливане и задаване на диапазони в set-набори. map mapv6 { typeof ip6 dscp : meta mark; } meta mark set ip6 dscp map @map1 ще се получи байткод: [ payload load 2b @ network header + 0 => reg 1 ] [ bitwise reg 1 = ( reg 1 & 0x0000c00f ) ^ 0x00000000 ] [ byteorder reg 1 = ntoh(reg 1, 2, 2) ] [ bitwise reg 1 = ( reg 1 > 0x00000006 ) ] [ lookup reg 1 set mapv6 dreg 1 ] [ meta set mark with reg 1 ]
• Подновена е поддръжката на команда «replace rule». replace rule ip t1 c1 handle 3 ‘jhash ip protocol . ip saddr mod 170 vmap { 0-94 : goto wan1, 95-169 : goto wan2, 170-269 }’
• Подновена е възможността за добавяне на мрежови устройства в съществуващи flowtable: create flowtable inet filter f1 { hook ingress priority 0; counter } add flowtable inet filter f1 { devices = { dummy1 } ; }
• Решени са проблемите при използване на команда «create set»: define ip-block-4 = { 1.1.1.1 } create set netdev filter ip-block-4-test { type ipv4_addr flags interval auto-merge elements = $ip-block-4 }
• Решени са проблемите при използване на цифрово представяне на опции tcp: tcp option 254
• Решени са проблемите при използване на изрази meta и ct с map-набори: meta mark set vlan id map { 1 : 0x00000001, 4095 : 0x00004095 }
• В изразите payload и concat е забранено указването на данни с размер над 512 байта.
• При изпълнение на команда «nft describe» е реализирано отчитането на стойности от файловете group, rt_mark и rt_realms, разположени в директориите /etc/iproute2/ и /use/share/iproute2/. # nft describe meta rtclassid meta expression, datatype realm (routing realm) (basetype integer), 32 bits предварително дефинирани символни константи от /etc/iproute2/rt_realms (в десетичен формат): cosmos 0 Отказ на изявление с диапазон meta mark set 0-100
• Ускорена операция по извлечению списка таблиц. Реализована поддержка опции -t/—terse для ускорения команд «list table» и «list set».
• Обеспечено преобразование выражений meter в динамические наборы set: add rule t c tcp dport 80 meter m size 128 { ip saddr timeout 2s limit rate 10/second } будет преобразован в set m { type ipv4_addr size 128 flags dynamic,timeout } tcp dport 80 update @m { ip saddr timeout 2s limit rate 10/second burst 5 packets }
• В представлении в формате JSON добавлена поддержка объектов synproxy и наборов map с объединёнными данными.
• В наборах set, задаваемых в формате JSON, реализована поддержка флага auto-merge.
• При использовании представления в формате JSON разрешено указание нескольких устройств в блоке «chain».
• При использовании опций -f/—filename обеспечена обработка путей относительно текущего каталога файла.
• При использовании опций -I/—include перебор путей по умолчанию теперь осуществляется с конца списка.
• Налажена работа опций -o/—optimize с выражениями, содержащими счётчики значений: # nft -c -o -f ruleset.nft Merging: ruleset.nft:5:17-45: ct state invalid counter drop ruleset.nft:6:17-59: ct state established,related counter accept into: ct state vmap { invalid counter : drop, established counter : accept, related counter : accept } Merging: ruleset.nft:7:17-43: tcp dport 80 counter accept ruleset.nft:8:17-44: tcp dport 123 counter accept into: tcp dport { 80, 123 } counter accept Merging: ruleset.nft:9:17-64: ip saddr 1.1.1.1 ip daddr 2.2.2.2 counter accept ruleset.nft:10:17-62: ip saddr 1.1.1.2 ip daddr 3.3.3.3 counter drop into: ip saddr . ip daddr vmap { 1.1.1.1 . 2.2.2.2 counter : accept, 1.1.1.2 . 3.3.3.3 counter : drop }
• Восстановлена совместимость с дампами элемента set, созданными в nftables до версии 0.9.8.

Източник: opennet.ru