nftables প্যাকেট ফিল্টার 1.0.3 রিলিজ

প্যাকেট ফিল্টার nftables 1.0.3 প্রকাশ করা হয়েছে, IPv4, IPv6, ARP এবং নেটওয়ার্ক ব্রিজ (iptables, ip6table, arptables এবং ebtables প্রতিস্থাপনের লক্ষ্যে) জন্য প্যাকেট ফিল্টারিং ইন্টারফেস একত্রিত করে। nftables 1.0.3 প্রকাশের জন্য প্রয়োজনীয় পরিবর্তনগুলি Linux 5.18 কার্নেলে অন্তর্ভুক্ত করা হয়েছে।

nftables প্যাকেজের মধ্যে প্যাকেট ফিল্টার উপাদান রয়েছে যা ব্যবহারকারীর স্থানে চলে, যখন কার্নেল স্তরটি nf_tables সাবসিস্টেম দ্বারা উপলব্ধ করা হয়, যা 3.13 প্রকাশের পর থেকে Linux কার্নেলের অংশ। কার্নেল স্তরে, শুধুমাত্র একটি জেনেরিক প্রোটোকল-স্বাধীন ইন্টারফেস প্রদান করা হয় যা প্যাকেট থেকে ডেটা আহরণ, ডেটার উপর ক্রিয়াকলাপ সম্পাদন এবং প্রবাহ নিয়ন্ত্রণের জন্য মৌলিক ফাংশন প্রদান করে।

ফিল্টারিং নিয়মগুলি নিজেরাই এবং প্রোটোকল-নির্দিষ্ট হ্যান্ডলারগুলি ব্যবহারকারী-স্পেস বাইটকোডে সংকলিত হয়, তারপরে এই বাইটকোডটি নেটলিংক ইন্টারফেস ব্যবহার করে কার্নেলে লোড করা হয় এবং BPF (বার্কলে প্যাকেট ফিল্টার) সদৃশ একটি বিশেষ ভার্চুয়াল মেশিনে কার্নেলে কার্যকর করা হয়। এই পদ্ধতিটি কার্নেল স্তরে চলমান ফিল্টারিং কোডের আকার উল্লেখযোগ্যভাবে হ্রাস করা এবং পার্সিং নিয়মের সমস্ত ফাংশন এবং প্রোটোকলগুলির সাথে কাজ করার যুক্তিকে ব্যবহারকারীর জায়গায় স্থানান্তর করা সম্ভব করে তোলে।

প্রধান উদ্ভাবন:

• সেট তালিকাগুলি এখন একটি মাস্ক দ্বারা মিলিত নেটওয়ার্ক ইন্টারফেসের নামগুলিকে সমর্থন করে, উদাহরণস্বরূপ, "*" চিহ্ন ব্যবহার করে নির্দিষ্ট করা হয়েছে: টেবিল inet testifsets { set simple_wild { type ifname flags interval উপাদান = { "abcdef*", "অন্য নাম", "ppp0" } } চেইন v4icmp { টাইপ ফিল্টার হুক ইনপুট অগ্রাধিকার 0; নীতি গ্রহণ; iifname @simple_wild কাউন্টার প্যাকেট 0 বাইট 0 iifname { “abcdef*”, “eth0” } কাউন্টার প্যাকেট 0 বাইট 0 } }
• অপারেশন চলাকালীন ছেদকারী সেট-তালিকা উপাদানগুলির স্বয়ংক্রিয় একত্রীকরণ বাস্তবায়িত হয়েছে৷ পূর্বে, যখন "স্বয়ংক্রিয়-একত্রীকরণ" বিকল্পটি সেট করা হয়েছিল, তখন নিয়ম ঘোষণার পর্যায়ে মার্জ করা হয়েছিল, কিন্তু এখন এটি কাজ করে যখন অপারেশন চলাকালীন ক্রমবর্ধমানভাবে নতুন উপাদান যুক্ত করা হয়। উদাহরণস্বরূপ, ঘোষণা পর্যায়ে, তালিকাটি y { পতাকা ব্যবধান স্বয়ংক্রিয়-মার্জ উপাদান = { 1.2.3.0, 1.2.3.255, 1.2.3.0/24, 3.3.3.3, 4.4.4.4, 4.4.4.4-4.4.4.8 সেট করে , 3.3.3.4 , 3.3.3.5 } } উপাদানে পরিণত হবে = { 1.2.3.0/24, 3.3.3.3-3.3.3.5, 4.4.4.4-4.4.4.8 } এবং তারপরে আপনি যদি নতুন উপাদান যোগ করেন # nft যোগ করুন উপাদান ip xy { 1.2.3.0 -1.2.4.255, 3.3.3.6 } উপাদানের মতো দেখাবে = { 1.2.3.0-1.2.4.255, 3.3.3.3-3.3.3.6, 4.4.4.4-4.4.4.8 }

  আপনি যখন বিদ্যমান সীমার আইটেমগুলির মধ্যে পড়ে এমন তালিকা থেকে পৃথক আইটেমগুলি সরিয়ে দেন, তখন পরিসরটি সংক্ষিপ্ত বা বিভক্ত হয়।

• একটি মানচিত্র তালিকায় একাধিক ঠিকানা অনুবাদ (NAT) নিয়মগুলিকে একত্রিত করার জন্য সমর্থন নিয়ম অপ্টিমাইজারে যোগ করা হয়েছে, যখন "-o/—অপ্টিমাইজ" বিকল্পটি নির্দিষ্ট করা হয় তখন বলা হয়। উদাহরণস্বরূপ, সেটের জন্য # cat ruleset.nft টেবিল ip x { চেইন y { টাইপ nat hook postrouting priority srcnat; পলিসি ড্রপ; ip saddr 1.1.1.1 tcp dport 8000 snat to 4.4.4.4:80 ip saddr 2.2.2.2 tcp dport 8001 snat থেকে 5.5.5.5:90 } }

  "nft -o -c -f ruleset.nft" কার্যকর করা পৃথক "আইপি সদর" নিয়মগুলিকে একটি মানচিত্রের তালিকায় রূপান্তর করবে: snat থেকে ip saddr। tcp dport মানচিত্র { 1.1.1.1 8000: 4.4.4.4। 80, 2.2.2.2। 8001: 5.5.5.5। 90}

  একইভাবে, কাঁচা অভিব্যক্তিগুলি মানচিত্রের তালিকায় রূপান্তরিত করা যেতে পারে: # cat ruleset.nft টেবিল ip x { […] চেইন nat_dns_acme { udp length 47-63 @th,160,128 0x0e373135363130333131303735353203 @ 62st d_t78st দৈর্ঘ্য ,160,128 0x0e31393032383939353831343037320e যান nat_dns_this_5301 udp দৈর্ঘ্য 62-78 @th,160,128 0x0e31363436323733373931323934300e goto nat_dns_saturn_5301 udp দৈর্ঘ্য 62-78, @160,128 0 0e goto nat_dns_saturn_32393535373539353636383732310 udp দৈর্ঘ্য 5302-62 @th,78 160,128x0e0e goto nat_dns_saturn_38353439353637323038363633390}5303

  অপ্টিমাইজেশনের পরে আমরা একটি মানচিত্রের তালিকা পাই: udp length। @th,160,128 vmap { 47-63 । 0x0e373135363130333131303735353203 : যান nat_dns_dnstc, 62-78। 0x0e31393032383939353831343037320e : যান nat_dns_this_5301, 62-78। 0x0e31363436323733373931323934300e : যান nat_dns_saturn_5301, 62-78। 0x0e32393535373539353636383732310e : যান nat_dns_saturn_5302, 62-78 । 0x0e38353439353637323038363633390e : goto nat_dns_saturn_5303 }

• সংমিশ্রণ ক্রিয়াকলাপে কাঁচা অভিব্যক্তির ব্যবহার অনুমোদিত। যেমন: #nft add নিয়ম xy ip saddr. @ih,32,32 { 1.1.1.1 0x14, 2.2.2.2 0x1e } বা টেবিল x { সেট y { ip saddr এর প্রকার। @ih,32,32 উপাদান = { 1.1.1.1 । 0x14 } }
• সংযোজন ক্রিয়াকলাপে পূর্ণসংখ্যা শিরোনাম ক্ষেত্র নির্দিষ্ট করার জন্য সমর্থন যোগ করা হয়েছে: টেবিল inet t { মানচিত্র m1 { প্রকার udp দৈর্ঘ্য। @ih,32,32 : রায় পতাকা ব্যবধান উপাদান = {20-80। 0x14 : গ্রহণ করুন, 1-10। 0xa : ড্রপ } } চেইন c { টাইপ ফিল্টার হুক ইনপুট অগ্রাধিকার 0; পলিসি ড্রপ; ইউডিপি দৈর্ঘ্য। @ih,32,32 vmap @m1 } }
• টিসিপি বিকল্পগুলি পুনরায় সেট করার জন্য সমর্থন যোগ করা হয়েছে (শুধুমাত্র লিনাক্স কার্নেল 5.18+ এর সাথে কাজ করে): tcp ফ্ল্যাগ সিন রিসেট tcp বিকল্প sack-perm
• চেইন আউটপুট কমান্ড ("nft তালিকা চেইন xy") কার্যকর করা ত্বরান্বিত হয়েছে।

উত্স: opennet.ru