Arturo Borrero, Debian-udvikler og medlem af Coreteam for Netfilter-projektet, som vedligeholder pakker relateret til nftables, iptables og netfilter i Debian. oversætte den næste betydelige udgave af Debian 11 til at bruge nftables som standard. Hvis forslaget godkendes, vil pakkerne med iptables blive betragtet som valgfri funktioner, der ikke er inkluderet i basispakken.
Nftables-pakke filtreringssystemet er bemærkelsesværdigt for at forene filtreringsgrænsefladerne for IPv4, IPv6, ARP og netværksbroer. Nftables giver kun et generelt interface på kernelniveau, der ikke afhænger af en specifik protokol og tilbyder grundlæggende funktioner til at ekstrahere data fra pakker, udføre databehandling og styre strømmen. Den specifikke filtreringslogik og protokol-specifikke behandlere kompileres til bytekode i brugerrummet, hvorefter denne bytekode indlæses i kernen via Netlink-interfacet og køres i en særlig virtuel maskine, der ligner BPF (Berkeley Packet Filters).
Som standard i Debian 11 foreslås det også at aktivere den dynamiske firewall firewalld, præsenteret som et wrapper over nftables. Firewalld kører som en baggrundsproces, hvilket gør det muligt at ændre reglerne for pakke filtrering dynamisk via DBus, uden at det er nødvendigt at genstarte reglerne eller afbryde etablerede forbindelser. Til at styre firewallen bruges værktøjet firewall-cmd, der ved oprettelse af regler ikke tager udgangspunkt i IP-adresser, netværksgrænseflader og portnumre, men i stedet i tjenestenavne (for eksempel, for at åbne adgang til SSH, skal man køre «firewall-cmd —add —service=ssh», for at lukke for SSH — «firewall-cmd —remove —service=ssh»).
Kilde: opennet.ru
