Arturo Borrero, vývojář Debianu, člen Coreteam projektu Netfilter a správce balíčků souvisejících s nftables, iptables a netfilter v Debianu, navrhl přejít v příštím významném vydání distribuce Debian 11 na používání nftables jako výchozího. V případě schválení návrhu budou balíčky s iptables přeřazeny do kategorie volitelných možností, které nejsou zahrnuty v základní dodávce.
Balíčkový filtr Nftables se vyznačuje unifikací filtrů pro IPv4, IPv6, ARP a síťové mosty. Nftables poskytuje na úrovni jádra pouze obecné rozhraní, které nezávisí na konkrétním protokolu a nabízí základní funkce pro extrakci dat z paketů, provádění operací s daty a řízení toku. Logika filtrování a specifické protokoly se kompilují do bajtkódu ve uživatelském prostoru, který je pak nahrán do jádra pomocí rozhraní Netlink a provádí se ve speciální virtuální stroji podobné BPF (Berkeley Packet Filters).
Ve výchozím nastavení je v Debianu 11 také navrženo používat dynamickou bránu firewall firewalld, která funguje jako obal nad nftables. Firewalld běží jako proces na pozadí, což umožňuje dynamicky měnit pravidla filtru paketů přes DBus, aniž by bylo nutné restartovat pravidla filtru a bez přerušení existujících spojení. Pro správu brány firewall se používá utilita firewall-cmd, která při vytváření pravidel vychází ne z IP adress, síťových rozhraní a čísel portů, ale z názvů služeb (například pro otevření přístupu k SSH je třeba provést „firewall-cmd --add --service=ssh“, pro uzavření SSH – „firewall-cmd --remove --service=ssh“).
Zdroj: opennet.ru
