Následně a vývojáři Ubuntu přechodu na výchozí použití balíčkového filtru .
Pro zachování zpětné kompatibility se navrhuje použít balíček , který poskytuje nástroje se stejnou syntaxí příkazového řádku jako iptables, ale převádí získaná pravidla do bajtkódu nf_tables. Změna má být zahrnuta do podzimního vydání Ubuntu 20.10.
Toto je druhý pokus o přechod Ubuntu na nftables. První pokus byl podniknut minulý rok, ale byl zamítnut kvůli nekompatibilitě s nástroji . Nyní v LXD již je zabudovaná podpora nftables a může pracovat s novým backendem pro filtrování paketů. Pro uživatele, kteří potřebují více než jen kompatibilní vrstvu, existuje možnost instalace klasických nástrojů iptables, ip6tables, arptables a ebtables se starým backendem.
Připomeňme, že v balíčkovém filtru jsou unified interface pro filtrování paketů pro IPv4, IPv6, ARP a síťové mosty. Balíček nftables obsahuje komponenty balíčkového filtru, které pracují v uživatelském prostoru, zatímco na úrovni jádra zajišťuje funkce subsystém nf_tables, který je součástí jádra Linux od verze 3.13. Na úrovni jádra je poskytován pouze obecný interface, který nezávisí na konkrétním protokolu a poskytuje základní funkce pro extrakci dat z paketů, provádění operací s daty a řízení toku.
Pravidla filtrování a specifické pro protokoly zpracovávače jsou kompilovány do bajtkódu v uživatelském prostoru, po kterém je tento bajtkód načten do jádra pomocí rozhraní Netlink a vykonáván v jádře ve speciální virtuální stroji podobné BPF (Berkeley Packet Filters). Tento přístup umožňuje výrazně zmenšit velikost kódu filtrování, který běží na úrovni jádra, a přenést veškeré funkce analýzy pravidel a logiku zpracování protokolů do uživatelského prostoru.
Zdroj: opennet.ru
